Definiera din uppgift

Avsnitt 1: Uppgiftsdefinition

All reaktordesign börjar med en uppgift. Uppgiften styr alla efterföljande beslut.

Effektuttag bestämmer reaktorns storlek, bränslelager och kraven på kylmedjeströmmar. En liten modulär reaktor (SMR) på 100 MWe har helt andra ingeniörmässiga begränsningar än en tryckvattenreaktor på 1 200 MWe.

Plats styr kriterierna för placering, källan till kylmedel, anslutning till elnätet, nödlägesplanering och seismisk designgrund. Plats vid inlandsvatten använder flodvatten för kylning och måste hantera översvämningsrisk. Kustnära platser använder havsvatten men måste hantera tsunamis och stormflod. Avlägsna öar eller platser utanför det nationella elnätet kan kanske inte alls anslutas till ett nationellt elnät.

Anslutning till elnätet kontra isolerat mikronät påverkar hur krav på lastföljning hanteras och vad som händer om elnätet fallerar (risk för station blackout).

Designlivslängd påverkar materialtrötthetsgränser, inspektionsintervall, krav på tillståndsförnyelse och reservfonder för avveckling. NRC (Nuclear Regulatory Commission) tillåter för närvarande 40 års drift med möjlighet till 20 års förlängning. Vissa designkoncept siktar på en livslängd på 80 år.

Typiska missionsprofiler:

- 300 MWe SMR, avlägsen ö, isolerat elnät, 60 års livslängd

- 1 100 MWe PWR, plats vid inlandsvatten, nationellt elnät, 60 års livslängd

- 1 600 MWe EPR, kustnära plats, nationellt elnät, 60 års livslängd

- 2 × 77 MWe NuScale SMR-arrangemang, inlandplats, regionalt elnät, 40 års livslängd

Ditt missionsutlåtande

Definiera reaktorns mission. Detta blir grunden för varje designbeslut som följer.

Analys av kompromisser mellan reaktortyper

Avsnitt 2: Val av reaktortyp

Fem stora kommersiella reaktortyper är i allvarligt övervägande idag. Varje typ har en annan fysikalisk grund, bränslekretslopp, säkerhetsprofil och mognadsnivå. Du måste välja en och motivera ditt val.

Tryckvattenreaktor (PWR)

Den vanligaste reaktortypen i världen (ungefär 70 % av de driftsatta anläggningarna). Lättvatten (H₂O) fungerar som både kylmedel och moderatör. Primärkretslöpet drivs vid ca 155 bar / 325 °C: det höga trycket håller vattnet i flytande form. En ånggenerator överför värme till ett sekundärt kretslopp, som driver turbinen. Radioaktivt vatten förblir i primärkretslöpet.

Fördelar: Decennier av driftserfarenhet, stark negativ tomrumskoefficient (vattenförlust leder till minskad reaktivitet), bevisad säkerhetsrekord, stor industriell leveranskedja.

Nackdelar: Hög drifttryck (kräver tryckkärl med tjocka väggar & tunga pumpar), komplexitet med två slingor, kylmedelsförlustolycka (LOCA) kräver aktiv ECCS-insats.

Kokande vattenreaktor (BWR)

Vattnet kokar inne i reaktorkärlet. Ångan leds direkt till turbinen. Enklare än PWR: ingen ånggenerator krävs.

Fördelar: Lägre drifttryck än PWR, enklare design med en slinga, direktcykeln är mer effektiv.

Nackdelar: Radioaktiv ånga leds till turbinen (turbinbyggnaden är ett strålningsområde), komplex ECCS med flera insprutningssystem, något positiv tomrumskoefficient vid vissa effektnivåer kräver noggrann design.

CANDU (Canada Deuterium Uranium)

Använder tungt vatten (D₂O) som moderatork och kylmedel. Kan använda naturligt uranbränsle (ingen berikning krävs). Unikt drag: online-omlastning: bränslekanaler kan bytas ut utan att reaktorn stängs av.

Fördelar: Inget berikningskrav (fördel i bränslekostnad), online-omlastning innebär mycket hög kapacitetsfaktor, tungt vatten som moderator tillåter flexibel bränslekrets.

Nackdelar: Tungt vatten är dyrt att producera (~1000 USD/kg), vissa konfigurationer har något positivt tomrumskoefficient under vissa förhållanden vilket kräver noggrann säkerhetsdesign, stor fysisk fotavtryck.

Smält saltreaktor (MSR)

Bränslet är upplöst i smält fluorsalt eller kloridsalt. Inget fast bränsle att smälta: om kylningen misslyckas, fryser saltet eller dräneras till en passiv frystopp. Kan använda toriumbränslekrets.

Fördelar: Säker vid avstånd (passiv dränering gör smältning fysiskt omöjlig), drivs vid atmosfärstryck (ingen LOCA-risk), online-omlastning, toriumbränslekretsen producerar mycket mindre långlivat avfall.

Nackdelar: Materialutmaningar (strukturella material måste klara av het, korrosiv och radioaktiv salt under decennier), förkomersiell teknik: inget MSR har drivits kommersiellt, tritiumproduktion i fluoridsalter är en regulatorisk utmaning.

Små modulära reaktorer (SMR): Nucale/Rolls-Royce-typ

Fabriksfabrikerade PWR- eller integrerade PWR-moduler, vanligtvis 50–300 MWe vardera. Passiv säkerhet bygger på naturlig cirkulation, inga pumpar krävs. Flera moduler kan kombineras för skalbarhet.

Fördelar: Fabrikskvalitet, passiva säkerhetssystem (inga pumpar, inget växelspänningsnät krävs för kylning), skalbar kapacitet, kortare byggtid.

Nackdelar: Högre kapital kostnad per kWe än för stora anläggningar, de flesta design är förkomersiella eller har just börjat driftas (Nucale VOYGR godkänd 2022 men projekt avlysta 2023), leveranskedjan är ännu inte utvecklad i skala.

Den centrala säkerhetsfysikfrågan för vilken reaktortyp som helst:

Vad händer om kylmedelstemperaturen stiger eller om kylmedel förloras? En reaktor med ett negativt temperaturkoefficient och ett negativt tomrumskoefficient kommer automatiskt att minska effekten: en självkorrigerande, inneboende säker reaktion. En reaktor med ett positivt tomrumskoefficient (effekten ökar när kylmedel förloras) kräver aktiva system för att stängas av säkert. Detta är vad som gjorde Tjernobels RBMK så farlig.

Välj din reaktortyp

Gå igenom jämförelsediagrammet för reaktortyper ovan innan du fattar beslut.

Bränsledesignparametrar

Avsnitt 3: Bränsledesign

Bränsledesignen avgör hur mycket energi du får, hur länge bränslet håller och vad som händer vid en olycka. Varje parameter påverkar varje annan parameter.

Bränsletyp:

- UO₂ (uraniumdioxid): Den globala standarden. Keramiska pellets, hög smältpunkt (~2850°C), kemiskt stabil, välkarakteriserad. Liten nackdel: låg värmegenomtränglighet: värme ackumuleras i pelletens centrum.

- MOX (blandad oxid): Blandning av UO₂ & PuO₂. Förbränner plutonium från vapen eller omberikat avfall. Lätt lägre smältpunkt än UO₂, kräver licensierad MOX-tillverkningsanläggning.

- TRISO (tri-strukturell isotropisk): Mikrosfärer av bränsle (UO₂ eller UCO) belagda med flera keramiska lager. Varje partikel är sitt eget lilla containervessel. Används i högt tempererade gasreaktorer och vissa avancerade design. Extremt robust: testad till mycket höga temperaturer utan frisättning.

Berikning:

- Naturligt uran (0,7 % U-235): Används i CANDU. Inga berikningskostnader, men kräver tungvattenmoderator.

- LEU 3–5 % (lätt berikad uran): Standard för bränsle i PWR- och BWR-kärnor. Berikad till 3–5 % U-235.

- HALEU 5–20 % (lätt berikad uran med högre andel U-235): Används i många SMR- och avancerade reaktordesigns. Högre berikningsgrad möjliggör mindre, mer kompakta kärnor och längre bränslecykler. Kräver ytterligare säkerhetsåtgärder på grund av den högre berikningsgraden.

- HEU >20 %: Förbjudet i kommersiella kraftreaktorer.

Klädselmaterial:

- Zircaloy-4: Standardklädsel världen över. Låg neutronabsorption och goda mekaniska egenskaper upp till ca 400 °C. Kritisk svaghet: vid temperaturer över ca 1200 °C reagerar det med ånga och bildar vätegas (Zr + 2H₂O → ZrO₂ + 2H₂). Detta var källan till vätet vid Fukushima.

- M5 (Zr-Nb-legering): Bättre korrosionsbeständighet än Zircaloy-4 för bränsle med hög brännsnivå.

- SiC/SiC-komposit: Avancerad olycksresistent bränsleklädsel (ATF). Mycket högre temperaturtolerans och producerar inget väte i ånga. Pågående utveckling, men ännu inte i bred kommersiell användning.

Bränsleutnyttjandemål:

Standardbränsle för LWR (ljusvattenreaktorer) uppnår ~45–50 GWd/tHM (gigawattimmar per metrisk ton tungmetall) innan det tas bort. Högpresterande bränsle kan nå 65–70 GWd/tHM. Vissa avancerade designkoncept siktar på 100+ GWd/tHM för förlängda cykler. Högre utnyttjande innebär färre bränslebyten men kräver bättre kapslingsprestanda och högre berikning.

Brännbara absorber:

Friskt bränsle är mycket reaktivt: för reaktivt om man laddar en full reaktorkärna. Brännbara absorber (gadolinydoxid blandad in i bränslepillarna, eller IFBA: integral fuel burnable absorber, en tunn ZrB₂-beläggning) absorberar överskottet av neutroner i början av livscykeln och förbränns när bränslet utnyttjas, vilket jämnar ut effektutvecklingen under cykeln.

Kärnbeläggningsschema:

- In-out-laddning: Friskt bränsle laddas in i mitten och flyttas utåt när det förbrukas. Enkelt men skapar höga effekttoppar i mitten.

- Laddning med låg läckage: Friskt bränsle placeras på utsidan av kärnan, medan förbrukat bränsle placeras i mitten. Minskar neutronläckage (bättre bränsleekonomi) & minskar fluensen på reaktorns tryckkärl. Standardpraxis för moderna PWR:er.

Specificera ditt bränsledesign

Tänk på hur dina bränsleväld interagerar med din reaktortyp & uppdrag. En CANDU-designer behöver inte berikning. En SMR-designer kan välja HALEU för en kompakt kärna. En PWR-designer måste hantera kapslingen & risken för väteproduktion.

Design av kylvätska och moderator

Avsnitt 4: Kylvätska och moderators kompatibilitet

Din kylvätska, moderator, bränsle och kladding måste vara kemiskt och fysikaliskt kompatibla. En oenighet skapar antingen ett säkerhetsproblem eller en omöjlig design.

Lättvatten (H₂O): PWR, BWR, SMR:

Det bästa moderatormaterialet per volymenhet. Även ett utmärkt kylmedel. Drift vid högtryck (PWR: ~155 bar, BWR: ~70 bar). Huvudrisk: vid hög temperatur övergår det till ånga (förlust av moderation och kylmedel samtidigt: LOCA-scenariot). Kemisk kontroll är kritisk: pH, upplöst syre och zinkinjektion påverkar alla korrosionshastigheten för strukturella material. Zirkaloy-beläggning är kompatibel upp till ~400 °C vid normal drift.

Tungvatten (D₂O): CANDU:

Utmärkt moderatormaterial med mycket lägre neutronabsorption än H₂O: detta är varför CANDU kan köra på naturligt uran. Drift vid ~100 bar i tryckrör. Tungvatten kostar ~1000 USD/kg att producera (via Girdler-sulfidprocess eller annan isotopseparationsprocess). Produktion av tritium från D + n → T är en utmaning i driften: tritium är en betastrålare och måste hanteras. Kemi: liknande lättvatten men med andra överväganden gällande syreisotoper.

Grafit: RBMK, HTGR:

RBMK använde grafit som moderatormaterial med vatten som kylmedel: en farlig kombination på grund av den positiva tomrumskoefficienten. HTGR (högtemperatursgasreaktor) använder grafit som moderatormaterial med helium som kylmedel: en säker kombination eftersom grafit inte bidrar till en positiv tomrumskoefficient med gas som kylmedel. Grafit kan också utgöra en brandrisk om den når mycket höga temperaturer i luft: detta var en faktor i Windscale-branden 1957.

Smält salt: MSR:

Salten är både bränslebärare och kylmedel. Inget separat moderatormaterial behövs (undantaget termiska MSR:er som kan innehålla grafite). Drift vid atmosfäriskt tryck: inget risk för högt tryck vid LOCA (Loss of Coolant Accident). Huvudutmaningar: fluoridsalter är starkt korrosiva mot strukturella metaller, kloridsalter kan aktiveras under neutronflöde. Materialen måste klara av decennier av exponering. Fryskorgen (freeze plug): en frusen saltplugg kyls av en liten fläkt: smälter om strömmen går, vilket dränerar bränslet till en subkritisk geometri. Detta är en passiv säkerhetsfunktion.

Natrium: Snabbreaktor (SFR):

Flytande natrium är ett utmärkt kylmedel för snabbreaktorer. Mycket hög termisk ledningsförmåga, drift vid atmosfäriskt tryck, naturlig cirkulation är effektiv. Allvarlig fara: natrium brinner våldsamt vid exponering för luft och reagerar explosivt med vatten. Alla natriumsystem kräver dubbelväggade värmeskedare och inert atmosfär. En natriumeld var en stor incident vid Monju (Japan) och Superphénix (Frankrike).

Kompatibilitetsmatris (vad som måste fungera tillsammans):

- Kylvätskemikniet får inte orsaka korrosion i omklädnaden under strålning

- Moderatorn måste vara kompatibel med kylvätskan (tungt vatten och lätt vatten är kompatibla; grafit och vatten skapar RBMK:s positiva tomrumproblem)

- Bränslet måste vara kemiskt stabilt i kylvätskan (UO₂ i vatten: bra. UF₄ i fluorsalt: bra. UO₂ i natrium: bra. Men metalliskt uran i vatten korroderar.)

- Drifttemperatur och -tryck måste ligga inom materialkvalificeringsgränserna

Motivera ditt kylvatten och din moderator

Din reaktortyp bestämmer ditt primära kylvatten. Motivera nu kompatibiliteten för hela ditt system: kylvatten, moderator, bränsle och omklädnad: och identifiera den huvudsakliga kemiska eller termiska risken.

Tre oberoende kylkretsar

Avsnitt 5a: Trippelredundanta kylsystem

Varför tre kylkretsar?

Fukushima hade reservkylning. Den misslyckades eftersom alla reservsystem delade en gemensar sårbarhet: de krävde växelström, och samma tsunamivåg som avbröt nätströmmen förstörde också dieselmotorerna. Enskilda fel ledde till en kedjereaktion som orsakade totalt förlust av kylning.

Trippelredundans är inte bara tre kopior av samma system. Sann redundans kräver oberoende i tre dimensioner:

- Fysisk separation: Olika byggnader, olika kvadranter, olika höjdnivåer. En översvämning i en kvadrant kan inte inaktivera en annan.

- Olika strömkällor: Olika elektriska bussar, olika reservkraft. En felaktighet i en buss kan inte inaktivera en annan kylslunga.

- Olika aktiveringslogik: En slinga aktiveras vid hög temperatur, en annan vid lågt tryck och en tredje vid helt frånvarande ström. Olika felaktigheter aktiverar olika slingor.

De tre standardkylslungorna för en modern PWR:

Slinga 1: Normal avstängningskylning (SCS / borttagning av restvärme, RHR):

Aktivt system. Pumpar cirkulerar kylmedel genom värmeskillare för att ta bort sönderfallsvärme efter avstängning. Drivs av normal växelström eller nödväxelström. Fungerar vid lågt tryck efter trycksänkning. Aktiveringsspång: vanligtvis när RCS-temperaturen sjunker under ca 177 °C (350 °F) och trycket under ca 28 bar (400 psi). Detta är det primära systemet för borttagning av sönderfallsvärme under planerade avstängningar.

Loop 2: Nödkylsystem för reaktorkärnan (ECCS): Högtrycks- och lågtrycksinjektion:

Aktivt system. Reagerar på olyckor med kylmediesförlust. Högtrycksinjektion (HPI) aktiveras vid små läckor: upprätthåller trycket i reaktorkylsystemet (RCS) och injicerar borat vatten. Akkumulatorinjektion: stora tankar med borat vatten under kvavet (ca 40 bar): töms passivt när trycket i RCS sjunker under akkulatortrycket (inga pumpar, inget strömbehov för denna fas). Lågtrycksinjektion (LPI) tar över efter att RCS har fullständigt trycksatt. Borkoncentrationen är kritisk: tillräcklig för att uppnå och upprätthålla kall nedstängning utan styrstavar.

Loop 3: Passiv kärnkylning (gravitationsdriven eller naturlig cirkulation):

Passivt system: inga pumpar, inget växelströmsbehov, inga operatörsåtgärder krävs. Två tillvägagångssätt:

- AP1000-stil (Westinghouse): Stora vattentankar ovanför reaktorn (kärntillföretankar, passiva värmeförlustväxlare för restvärme). Gravitationsdriven. Vid olyckstillstånd förbär naturlig cirkulation restvärme från primärsystemet till tankvattnet, som kokar och ventileras: kondenserar på stålcontainershöljet, som kyls av utomhusluften. Helt passivt.

- NuScale-stil: Reaktormodulen sitter i en vattensjö. Naturlig cirkulation inom primärsystemet överför värme till sjön. Inga pumpar någonstans i primärsystemet eller säkerhetssystemen.

- PRHR HX (Passiv värmeförlustväxlare för restvärme): Nedsänkt i en stor vattenfylld tank (containerns vattenlagringstank för omfyllning, IRWST). Naturlig cirkulation genom PRHR HX förbär restvärme utan några som helst pumpar. Fungerar i 72 timmar utan några operatörsåtgärder.

Oberoendeverifiering: vad som måste vara sant:

- Loop 1, 2 och 3 måste ta ström från olika elektriska busar (1A, 1B, 1C eller Del I, II, III)

- Loop 3 måste fungera vid totalt förlust av växelström

- Varje loop måste ligga i en annan fysisk sektion (separerad av barriärer eller avstånd)

- Gemensamma orsaker till fel: som tsunamin i Fukushima: måste analyseras och förebyggas

Analys av gemensamma felorsaker:

Vilket enskilt fel kan inaktivera alla tre slingor? Du måste identifiera det och visa hur din design förhindrar det.

- Seismisk gemensam orsak: alla tre slingor måste vara placerade i byggnader i Seismisk kategori I som är utformade för platsens SSE

- Översvämning som gemensam orsak: slingor på olika höjdnivåer eller i översvämningsskyddade kompartiment

- Brand som gemensam orsak: brandskyddande väggar (3 timmars klassning), separata kabelsträckor, redundanta separationer

- Förlust av värmelagring som gemensam orsak: om alla tre slingor avger värme till samma slutliga värmelagring (flod, hav), måste en förlust av denna lagring analyseras

Designa slinga 1: Normal avstängningskylning

Designa din första kylslunga: systemet för normal avstängningskylning / RHR.

Designa Loop 2: ECCS-högtrycksinjektion

Loop 2 är din nödkylning av kärnan: aktiveras vid olyckor, inte vid normal drift.

Designa Loop 3: Passiv kärnkylning

Loop 3 måste fungera utan växelström och utan operatörsinsats. Det är den sista försvarslinjen: det system som förhindrar Fukushima-scenariot.

Analys av gemensamma felorsaker

Du har tre kylkretsar. Bevisa nu att de är genuina oberoende.

Tre oberoende sätt att stoppa reaktionen

Avsnitt 5b: Trippelredundanta stängningssystem

Att stoppa en kedjereaktion kräver mer än styrstavar. En modern säker reaktor har tre helt oberoende stängningsmekanismer, var och en av vilka är tillräcklig för att uppnå och upprätahålla kall stängning.

Varför inte bara styrstavar?

Styrstängerna misslyckades med att stänga av reaktorn i Tjernobyl tillräckligt snabbt: RBMK:en hade en positiv scram-koefficient: inmatning av stänger med grafitspetsar orsakade först en kortvarig effektökning innan avstängningen skedde. Vid TMI matades styrstängerna in korrekt, men operatörernas förvirring kring kylmedelnivån ledde ändå till en ocklad kärna. Lektionen: inget enskilt system bör vara det enda sättet att stänga av reaktorn.

Avstängningssystem 1: Styrstänger:

Det primära avstängningssystemet. Stänger innehållande neutronabsorberande material (bor-kol B₄C, hafnium eller Ag-In-Cd-legering) matas in i kärnan. Stängerna matas in via tyngdkraft eller fjäderkraft (SCRAM): vid strömavbrott eller säkerhetssignal avaktiveras elektromagneten som håller stängerna uppe, och stängerna faller in i kärnan. SCRAM-tid: vanligtvis är stängerna helt inmatade inom 2–4 sekunder.

Designkrav: (1) Stängervärde: alla stänger tillsammans måste kunna stänga av reaktorn från vilken driftläge som helst, med den stång som har högst värde fast i utmatat läge. Detta är det så kallade "fast stång-kriteriet". (2) SCRAM-tid: mätts och verifieras under starttest. (3) Testfrekvens: styrstängarna måste övas (delvis dras ut och matas in igen) enligt en regelbunden schemaläggning för att verifiera driftbarhet.

Avstängningssystem 2: Nödborering:

Injicera borat vatten i reaktorns kylmediumssystem. Bor-10 är en utmärkt neutronabsorberare. Tillräcklig borinjection uppnår kall avstängning även om alla styrstänger är fast i utmatat läge. Två mekanismer: (1) Standpipe-injection: en tank med borsyra kopplad till RCS via pumpar och isoleringsventiler. (2) ECCS-borering: vattnet i ECCS-ackumulatorm är redan borat; ECCS-injection ger automatiskt bor. Den bor-koncentration som krävs för kall avstängning med alla stänger fast är beräknad i säkerhetsanalysen och är vanligtvis 2000–2500 ppm (som borsyra, H₃BO₃).

Stängningssystem 3: Passiv absorberdrain (baserat på fysik, utan ström):

En mångsidig, passiv stängningsmekanism som använder en annan fysikalisk princip. Exempel:

- Injicering av borbollar (CANDU-stil): Bollar av absorbermaterial faller genom tyngdkraften in i separata moderatorkompartiment vid strömavbrott.

- Passiv borinjicering från högtank: En högtank med koncentrerad borsyra dräneras genom tyngdkraften in i RCS (reaktorcirkulationssystemet) när en fail-open-ventil öppnas vid strömavbrott. Inga pumpar, inget signalbehov.

- Smält salt dräneras till subkritisk geometri: För MSR (motsmältsaltreaktorer) smälter fryskorgen vid avbrott av kylström, vilket dränerar bränslet till en geometri som fysiskt är oförmögen att upprätthålla en kedjereaktion (subkritisk geometri designad in i dräneringstanken).

- Brännbara giftstavar med fjäderutskjutning: I vissa design kan sekundära stängningsstavar fjäderutskötas uppåt i reaktorkärnan vid avbrott av hållmekanismen.

Test- och övervakningskrav:

Varje stängningssystem måste testas oberoende enligt en regelbunden schemaläggning, och resultaten ska registreras och rapporteras till NRC. NRC-inspektioner som påvisar inoperabla stängningssystem är rapporteringsskyldiga händelser. Testerna måste visa att varje system ensamt kan uppnå kall stängning.

Designa dina tre stängningssystem

Designa alla tre stängningssystem för din reaktor.

Tre oberoende strömkällor

Avsnitt 5c: Trippelredundanta strömkällor

Fukushimas kärnläxa: station blackout: totalt förlust av växelströmskraft: får inte leda till skador på reaktorkärnan. NRC:s krav efter Fukushima (FLEX) föreskriver att anläggningar visar att de kan hantera förlängd station blackout med hjälp av olika och oberoende kraftkällor.

Kraftkälla 1: Externt elnät:

Den normala strömförsörjningen. Två eller flera oberoende överföringsledningar från oberoende understationer (olika nätledningar). Transformatorskydd: tryckrelä, differentiellrelä, spärrelä: förhindrar att en felaktig transformator sprider sig till andra bussar. Om anläggningens huvudgenerator trippar, tar extern ström över automatiskt inom sekunder via den hjälptransformatorn.

Svaghet: allt som skadar elnätet (svårt väder, seismisk händelse, nätinstabilitet) kan avbryta den externa strömmen. Extern ström är den mest pålitliga normala källan men den minst pålitliga nödkällan.

Kraftkälla 2: Nöddieselgeneratorer (EDG):

Den primära nödstörseln. NRC:s minimikrav: 2 EDG:er per enhet, var och en kapabel att bära de fulla nödbelastningarna för en säkerhetsdivision. Startkrav: EDG:en måste nå nominell spänning och frekvens inom 10 sekunder efter ett startsignal (NRC-krav). Bränsleförsörjning: NRC:s minimikrav är 7 dagars förråd vid full belastning. Bäst praxis efter Fukushima: designa för 14 dagars förråd, med bränsleleveransavtal som säkerställer påfyllning.

Testning: månatlig belastningstest (start vid full hastighet utan last), kvartalsvis belastningstest (vid nominell last), 18-månaders uthållighetstest (körning vid full last under hela testperioden).

En typisk 1100 MWe PWR har 2–4 EDG:er, var och en med en nominell effekt på ca 7 000 till 9 000 kW.

Strömkälla 3: Stationsbatterier (DC-ström, Klass 1E):

Den sista reservströmkällan för instrumentering, styrning, nödbelysning, ventilstyrning och kommunikation. DC-bussar försörjs från batterier, som laddas från AC-bussar under normal drift. Vid förlust av all AC: batterierna tillhandahåller DC-ström oberoende.

Dimensionering: varje DC-buss måste dimensioneras för att försörja sin lastlista i minst 2 timmar utan AC-omladdning. Moderna designar dimensioneras för 4–8 timmar. Lastlistan inkluderar: styrstångsdryvningsovervakare, säkerhetsrelaterad instrumentering, nödbelysning, nödkommunikation och kritiska ventilaktuatorer.

Batteribyte: enligt tillverkarens schema, vanligtvis 10–20 år. Batteritestning: kapacitetstest årligen, urladdningstest vart 18:e månad.

FLEX-strategi: Portabel utrustning efter Fukushima:

Portabla dieseldrivna generatorer, portabla pumpar och slangar förplaceras på flera platser med varierade tillvägsgångar (inte alla nåbara vid samma översvämning eller brand). Anslutningspunkter till säkerhetsrelaterade bussar och kylsystem är förinstallerade och testade. FLEX-utrustning kan rullas ut av operatörer utan växelström. NRC kräver att FLEX-strategier hanterar: station blackout, förlust av slutlig värmeavledning samt kombinationer av dessa.

Designa dina tre strömkällor

Designa din kompletta strömarchitecture.

Tre oberoende övervakningskanaler

Avsnitt 5d: Trippelredundant övervakning & instrumentering

Instrument- och styrsystemfel (I&S) orsakade eller förvärrade varje större kärnkraftsolycka. Vid TMI blev operatörerna förvirrade av en enda indikator (en lampa som visade om en pilotstyrd säkerhetsventil hade kommandosats att öppnas, inte om den faktiskt var öppen) och fattade beslut som tömde reaktorkärnan. Vid Tjernobyl var viktiga instrument inaktiverade eller vilseledande under den dödliga testningen.

Tre oberoende mätkanaler:

Moderna reaktorer delar upp säkerhetsinstrumenteringen i tre (eller fyra) oberoende kanaler: A, B och C (eller I, II, III, IV). Varje kanal använder olika sensorer, riktade genom separata kabelsträckningar i separata kablar och försörjda från separata säkerhetsnät.

Varför olika tekniker?

Gemensam orsak till fel i sensorer: om alla tre kanaler använder samma sensormodell kan ett systematiskt fel i den modellen orsaka att alla tre samtidigt går sönder eller ger samma felaktiga mätvärde. Att använda olika tillverkare eller olika mätprinciper minskar denna risk.

2-av-3-stemmingslogik:

Tre kanaler, var och en ger ett ja/nej-signal för en säkerhetsfunktion (t.ex. 'högtryck, initiera SCRAM'). Säkerhetsåtgärden utlöses om minst 2 av 3 kanaler är överens. Varför inte 1-av-3? Eftersom en enskild defekt kanal skulle orsaka felaktiga SCRAM:ar (för många falska positiva: anläggningen skulle vara opålitlig). Varför inte 3-av-3? Eftersom en enskild felaktig kanal skulle förhindra att SCRAM:en inträffar (för få sanna positiva: anläggningen skulle vara osäker). 2-av-3 är det matematiska optimum: motståndskraftig mot både enskild felaktig utlösning och enskilt utblåsningssvikt.

Efterolycksmonitorering: NUREG-0696 Kategori 1-variabler:

Följande variabler måste övervakas efter en olycka, oberoende av det vanliga digitala styrsystemet (DCS), specifikt för att ge operatörerna grunddata även om DCS är skadat eller opålitligt:

- Reaktorkylsystemets tryck

- Reaktorkylsystemets temperatur (varm ben, kallt ben)

- Reaktorkylsystemets vattennivå (nivå i behållaren)

- Inneslutningstryck

- Strålningsnivå i inneslutningen

- Strålningsmätare för utsläpp (kylmedel, ånga, inneslutningsatmosfär)

Miljö- och seismisk kvalificering:

All säkerhetsrelaterad I&C måste vara kvalificerad för de miljöförhållanden den skulle utsättas för vid en olycka: temperatur upp till 150 °C, fuktighet upp till 100 %, strålning upp till 10⁷ rad (100 kGy) kumulativt, under olyckans varaktighet (månader). Vi kallar detta 10 CFR 50 Appendix B / IEEE 323 miljöqualificering. Seismisk kvalificering (IEEE 344): måste fungera under och efter platsens SSE (Site Seismic Earthquake).

Designa din övervakningsarkitektur

Designa din instrumenterings- och styrsäkerhetsarkitektur.

Säkerhet som fungerar utan ström eller operatörer

Avsnitt 6: Passiva säkerhetsfunktioner

Passiva säkerhetsfunktioner fungerar enbart genom fysik: inga pumpar, ingen ström, inga operatörsåtgärder. De är alltid på, alltid aktiva och kan inte inaktiveras vid ett stationssvartutfall.

Negativ Doppler-koefficient (alltid närvarande i uranbränsle):

När bränsletemperaturen stiger, breddas U-238:s resonansabsorptions toppar (Doppler-breddning). Fler neutroner fångas av U-238 utan att orsaka fission. Detta minskar automatiskt fissionshastigheten när bränslet värms upp: en självbegränsande, alltid närvarande återkopplingsmekanism. Den fungerar i alla reaktortyper som använder uranbränsle. Det är anledningen till att en uranreaktor inte kan gå amok som en okontrollerad kemisk explosion: fysiken motverkar det.

Negativt moderatortemperaturkoefficient (för LWR:er):

I lättvattenreaktorer minskar vatten densiteten när kyl-/moderatortemperaturen ökar. Mindre tätt vatten modererar färre neutroner, så färre når de termiska energier som krävs för fission. Reaktiviteten minskar automatiskt. Detta förklarar varför PWR:er och BWR:er är inneboende självreglerande över ett brett spektrum av effektnivåer.

Negativt tomrumskoefficient (för de flesta LWR:er vid effekt):

Om bubblor bildas i kylmedlet eller om kylmedlet tappas, minskar moderationen. I LWR:er minskar detta reaktiviteten. Detta är den säkerhetsfunktion som Tjernobels RBMK saknade: dess stora positiva tomrumskoefficient innebar att kylmedlets förlust ökade effekten, vilket skapade en okontrollerad återkopplingsloop.

Passiv bortföring av restvärme: Naturlig cirkulation:

Varmt vatten är mindre tätt än kallt vatten. I primärkretsen stiger den varma kylmedeln från reaktorkärnan naturligt. I designar som AP1000 drivs denna naturliga cirkulation kylmedlet genom PRHR-värmeväxlaren utan några pumpar. Restvärmen tas bort enbart genom fysikens lagar.

Behållning i behållaren (IVR): AP1000-ansatsen:

Om en allvarlig olycka utvecklas till skador på reaktorkärnan, måste det smälta reaktormaterialet (corium) hållas inne i reaktorbärdet. AP1000-designen fyller reaktornischen med vatten (matat via tyngdkraft från IRWST). Vattnet utanför bärdet tar bort värme från bärdets vägg, vilket håller det stålbehållaren intakt och förhindrar att det smälta reaktormaterialet läcker ut till golvet i containern. Detta var en stor designinnovation: tidigare LWR:er (ljusvattenreaktorer) hade inte denna funktion.

Kärnfångare utanför behållaren: EPR-ansatsen:

Ett alternativ till IVR: om reaktormaterialet läcker ur bärdet, faller det i en spridningskompartiment (kärnfångare) som är utformat för att sprida smältan tunt och kyla den från både nedan och ovan. EPR (European Pressurized Reactor) använder denna ansats. Både IVR och kärnfångaren adresserar samma scenario: en allvarlig olycka som utvecklas bortom ett läckage i bärdet.

Vätgestyrning: Passiva autokatalytiska rekombinatorer (PAR):

Reaktioner mellan Zirkaloy och ånga producerar väte. Väte ackumuleras i containern. Vid en vätekonsentration på 4–75 % i luft är det brandfarligt; vid 13–59 % är det explosivt. Väteexplosionerna vid Fukushima förstörde reaktorblokken 1, 3 och 4. Moderna containrar kräver vätestyrning: PAR (passiva autokatalytiska rekombinatorer) är enheter som innehåller en katalysator av platina eller palladium. Väte och syre kombineras på katalysatorns yta vid rumstemperatur, utan tändning, och bildar vattenånga. Ingen ström, fläktar eller operatörsåtgärder krävs. PAR placeras genomgående i containern för att förhindra lokal ackumulering. Det erforderliga antalet och placeringen beräknas utifrån värsta fall för vätekälltermen.

Fyra fysiska barriärer: Försvar i djup:

Ovanstående diagram visar de fyra fysiska barriärerna mellan bränslet och miljön:

1. Bränslematris (UO₂-keramik): behåller ~95 % av fissionsprodukterna under normala förhållanden

2. Bränsleomhullning (Zirkaloy eller SiC): metallbarriär, första containern för eventuella utsläppta fissionsprodukter

3. Reaktorkylmediets tryckgräns: tjockväggigt stålkärl och rörledningar

4. Inneslutningsstrukturen: armerad betong, vanligtvis 1–1,5 meter tjock, designad för tryck och temperatur vid en värsta-tillfällighets-LOCA, samt för flygplanskollision

Designa dina passiva säkerhetsfunktioner

Passiva funktioner är inbyggda i din design fysik och geometri: de kan inte stängas av.

Mänskligt säkerhetslager

Avsnitt 7: Design för mänsklig övervakning

Varje större kärnkraftsolycka innebar en mänsklig faktor: inte för att människor är opålitliga, utan för att det mänskliga övervakningssystemet var dåligt utformat. God design gör det enkelt att göra rätt och svårt att göra fel.

Minst tre kvalificerade personalmedlemmar på plats hela tiden (24/7):

- Reaktorsoperator (RO): NRC-certifierad (10 CFR Part 55). Drar reaktorkontrollerna. Måste klara skriftligt prov och driftstest på anläggningsspecifik simulator. Certifierad för den specifika anläggningen: inte överförbar.

- Senior Reaktorsoperator (SRO): Skiftsupervisor: NRC-certifierad. Övervakar RO:en. Har oberoende SCRAM-makt: kan beordra nödstopp oavsett andra personers instruktioner, inklusive ledningen.

- Strålskyddstekniker / Hälsophysikansvarig: Övervakar strålningsnivåer, hanterar personlig dosimetri, godkänner åtkomst till kontrollerade områden och håller koll på kumulativa doser.

Oberoende SCRAM-autoritet:

Skiftsupervisören har juridisk befogenhet att initiera ett nödstopp när som helst, baserat på sin professionella bedömning, utan att kräva godkännande från ledningen. Detta är ett reglementeringskrav enligt 10 CFR 50.54(x). Läxan från TMI: Operatörerna borde ha haft den utbildning och den befogenhet som krävdes för snabbt att känna igen ett scenario med ovanligt kylmedelsförlust och att tryggt utföra en SCRAM. Istället blev de förvirrade av motstridiga indikatorer och försökte "reparera" symptomen istället för att känna igen den underliggande tillståndet.

Tvåpersoners integritet (TPI):

Angivna operationer: särskilt bränslehantering, styrstangsmhantering under vissa tester, och tillgång till vissa vitala områden: kräver att två kvalificerade personer är närvarande och observerar varandra. Ingen av personerna kan slutföra operationen ensam. Fysiska kontroller (nyckelswitchar som kräver två simultana nycklar, interlockar) genomför detta snarare än att förlita sig på följande av procedurer. TPI förhindrar individuella fel och sabotage.

Skiftgränser: trötthets hantering:

Enligt 10 CFR 26 (Fitness for Duty): maximal skiftlängd är 12 timmar. Minsta viloperiod mellan skiften är 8 timmar. Maximalt antal timmar per vecka är 54 timmar (72 timmar vid nödlägen med ledningens godkännande). Dessa gränser finns eftersom sömnbrist kraftigt försämrar beslutsfattandet: på samma sätt som alkohol gör: och kärnkraftsoperationer kräver ihållande vakenhet.

Krav på utbildning:

- NRC-certifierat utbildningsprogram på en anläggningsspecifik fullskalig simulator

- Initalt tillstånd: skriftligt prov (godkänd/ogodkänd, flervalsfrågor & essäer) + driftstest (praktisk bedömning av NRC-licensierad examinator)

- Omskolning: årligt skriftligt prov, vartannat år driftstest på simulator

- Utvärderade nödövningsövningar: kvartalsvisa övningar under skift, årlig fullskalig nödberedskapsövning med deltagande från stat och län

Nödoperativ förfaranden (EOP):

Symptombaserade procedurer, godkända av NRC. Istället för 'om du ser händelse X, gör Y' säger moderna EOP:er 'om du observerar dessa symptom (högtryck + låg nivå + stigande temperatur), gå in i denna procedur'. Detta tillvägagångssätt: utvecklat efter TMI: är mer robust eftersom operatörerna reagerar på det de observerar snarare än på vad de tror orsaken är.

Kontrollrumsmiljö: efterkrasövervakning oberoende av DCS:

Instrument för efterkrasövervakning måste vara läsbara från kontrollrummet även om anläggningens digitala styrsystem (DCS) har helt felat. Dessa är dedikerade hårdkopplade visningar: analoga mätare eller godkända digitala visningar med separata strömkällor och signalvägar.

Designa ditt mänskliga övervakningssystem

Mänsklig övervakning är ett säkerhetssystem. Designa det med samma noggrannhet som dina kylslöopar.

Platsval och design för externa risker

Avsnitt 8: Placering och civil design

Platsen bestämmer de externa faror som anläggningen måste överleva. NRC kräver en omfattande analys av externa faror som en del av FSAR (Final Safety Analysis Report).

Seismisk design: Safe Shutdown Earthquake (SSE):

Every plant site has a Safe Shutdown Earthquake (SSE): the maximum earthquake the plant is designed to survive while achieving and maintaining safe shutdown. Safety-related structures (reactor building, control building, ECCS buildings, EDG buildings) must be Seismic Category I: designed to withstand the SSE and remain functional. The SSE is determined from a probabilistic seismic hazard analysis (PSHA) with a target of 10⁻⁴ annual exceedance probability: a 10,000-year return period event. The Fukushima design basis earthquake was 6.1 magnitude; the actual earthquake was 9.0. Never underestimate the SSE.

Översvämning: Probable Maximum Flood (PMF):

PMF är den maximala översvämning som kan inträffa på platsen baserat på meteorologisk och hydrologisk analys. Anläggningens grundnivå måste ligga över PMF-nivån, eller så måste anläggningen ha översvämningsbarriärer (väggar, dörrar, luckor) som är klassade för PMF. En kritisk lärdom från Fukushima: havsvallen dimensionerades för 5,7 meter; den faktiska tsunamin var 15 meter. PMF-beräkningen måste vara konservativ.

Externa faror: flygplanskollision, extrem vind, externa explosioner:

- Flygplanskollision: efter 11 september kräver NRC att stora kommersiella anläggningar utvärderar (men inte nödvändigtvis dimensionerar för) flygplanskollision. Nya design som AP1000 och EPR inkluderar motstånd mot flygplanskollision i designen av containern och kontrollrummet.

- Extrem vind / tornado: designbaskraft för tornado för varje platsregion enligt Regulatory Guide 1.76. Skydd mot projektiler: tornadoprojektiler (elstolpar, bilar) får inte kunna penetrera säkerhetsrelaterade strukturer.

- Externa explosioner: närhet till kemiska anläggningar, LNG-terminaler, pipelines eller järnvägslinjer med farligt gods måste utvärderas.

Exclusion Area Boundary (EAB): 10 CFR 100:

EAB är den minsta radie kring anläggningen inom vilken operatören har kontroll över marken. Under de två timmar som följer efter en värsta-tillfällighetsolycka får stråldosen vid EAB inte överskrida 25 rem för helkroppen (TEDE). Detta gränsvärde styr designen av containern och avståndet till anläggningsgränsen. En större anläggning med en större källterm kräver en större EAB.

Nödlägesplaneringszoner (EPZ):

Två zoner kring varje kärnkraftsanläggning:

- EPZ för exponering via luftström (plume exposure pathway): ungefär 10 mils radie. Skyddsåtgärder: evakuering, skydd inomhus, utdelning av kaliumjodid, trafikstyrningsplaner.

- EPZ för exponering via intag (ingestion pathway): ungefär 50 mils radie. Skyddsåtgärder: restriktioner för konsumtion av livsmedel och vatten, övervakning av grödor och mjölkprodukter.

Storleken på EPZ bestäms inte enbart av anläggningens storlek: den är fastlagd av NRC:s regler för alla kommersiella reaktorer (med viss flexibilitet för mycket små SMR:er). Nödlägesplaner måste utvecklas och övas med statliga och lokala myndigheter.

Försvara din anläggning

Nu motiverar du dina val av plats och civila design.

NRC:s tillståndsgivningsprocess

Avsnitt 9: Tillståndsgivningsväg

Att bygga en reaktor utan tillstånd är olagligt i USA. NRC:s tillståndsgivningsprocess enligt 10 CFR Part 52 är utformad för att upptäcka säkerhetsproblem på papper: innan betongen gjuts. Det är också den mekanism genom vilken allmänheten, intressenter och NRC:s tekniska personal utmanar och förbättrar designen.

10 CFR Part 52: Samlat tillstånd (COL):

Den primära moderna licensieringsvägen. En COL (Combined License) kombinerar bygglov och driftstillstånd i ett enda förfarande. Sökanden visar att designen uppfyller NRC:s krav och att platsen är acceptabel. NRC utfärdar COL:en före byggnationen. Under byggnationen verifierar Inspektioner, Tester, Analys och Acceptanskriterier (ITAAC) att det som byggts överensstämmer med det licensierade designet.

Designcertifiering (DC):

En reaktordesign kan certifieras av NRC oberoende av en specifik plats. En designcertifiering gäller i 15 år. När en design är certifierad kan ett elbolag som bygger en COL-anläggning hänvisa till DC:en och behöver inte ompröva den standarddesignen. AP1000 och ABWR är certifierade designar. SMR-designer (NuScale, GEH BWRX-300, Kairos, TerraPower) strävar efter designcertifieringar för sina tekniker.

Slutlig säkerhetsanalysrapport (FSAR): 17 kapitel:

FSAR är det tekniska dokumentet som utgör kärnan i varje licensansökan. Den beskriver anläggningen och visar att den uppfyller alla NRC:s krav. Viktiga kapitel:

- Kapitel 1: Inledning och allmän beskrivning

- Kapitel 2: Platsens egenskaper (seismik, översvämning, meteorologi, befolkning)

- Kapitel 4: Reaktorn (bränsledesign, kärnfysik, termohydraulik)

- Kapitel 5: Reaktorns kylmedelsystem (primärkrets, tryckgräns, ECCS)

- Kapitel 6: Ingenjörsmässiga säkerhetsfunktioner (containment, ECCS, vätekontroll)

- Kapitel 7: Instrumentering och styrning

- Kapitel 8: Elektrisk energi (offsite, onsite, batterier, FLEX)

- Kapitel 9: Hjälpssystem

- Kapitel 13: Driftsättning (organisation, utbildning, EOP)

- Kapitel 15: Olycksanalys (designbaserade olyckor: LOCA, huvudångrörssprängning, styrstångutkastning, m.m.)

- Kapitel 16: Tekniska specifikationer (driftgränser och övervakningskrav)

Probabilistisk riskbedömning (PRA):

En kvantitativ säkerhetsanalys som beräknar sannolikheten för kärnskada och stor tidig utsläpp. Två viktiga mått:

- Kärnskadefrekvens (CDF): sannolikheten per reaktår för kärnskada. NRC:s mål: < 1×10⁻⁴/reaktår. Mål för avancerade reaktorer: < 1×10⁻⁵/reaktår.

- Stor tidig utsläppsfrekvens (LERF): sannolikheten per reaktår för ett stort, tidigt utsläpp av radioaktivitet innan skyddsåtgärder kan vidtas. NRC:s mål: < 1×10⁻⁵/reaktår.

PRA identifierar också de viktigaste olycksekvenserna (dominande bidragande faktorer till CDF) och de viktigaste systemen och komponenterna (viktighetsmått): detta riktar resurser för underhåll, test och designförbättringar.

ITAAC: Inspektioner, tester, analyser och godkännandekriterier:

För varje säkerhetsrelaterat system och struktur specificerar COL ITAAC: vad som måste inspekteras, testas eller analyseras, och vad godkännandekriteriet är. Innan NRC godkänner bränslelastning måste all ITAAC vara slutförd och rapporterad. Om en ITAAC misslyckas, kan anläggningen inte startas förrän den är åtgärdad och ITAAC:en godkänns.

Konstruktion och fördriftstester:

Efter att COL har utfärdats påbörjas konstruktionen. NRC inspekterar konstruktionen enligt Inspektioner, Tester, Analyser och Godkännandekriterier (ITAAC). Fördriftstester verifierar att varje system uppfyller sin designspecifikation innan bränsle lastas. Godkännande för bränslelastning kräver att NRC-personal har fastställt att all ITAAC är uppfylld.

Kartlägg din licensieringsväg

Gå igenom licensieringsvägen för din specifika reaktordesign.

Presentera din kompletta design

Avsnitt 10: Slutlig designgenomgång

Du har designat alla huvudsystem i en kärnkraftscentral. Presentera nu din kompletta design: på samma sätt som en Chief Nuclear Officer skulle presentera för NRC:s säkerhetsgranskningsekommitté.

Din design måste demonstrera:

Fullständig trippelredundans för alla fyra säkerhetsfunktioner:

1. Kylning: tre slingor (aktiv RHR, aktiv ECCS med passiva ackumulatorer, passiv PRHR eller pool)

2. Stängning: tre system (styrsparar, nödborering, passiv absorberdrainage)

3. Ström: tre källor (extert nät, nöddieslar, stationsbatterier) plus FLEX

4. Övervakning: tre oberoende kanaler (A/B/C) med 2-av-3-styrning, efterolycksövervakning

Passiva säkerhetsfunktioner:

- Negativ Doppler-koefficient (alltid närvarande i uranbränsle)

- Negativ moderatör/tömningsskoefficient för din reaktortyp

- Passiv bortföring av restvärme (naturlig cirkulation eller pool)

- Hantering av allvarliga olyckor (IVR, kärninfångare eller MSR-dränering till underkritiskt tillstånd)

- Vätehantering (PAR:s fördelade i containern)

Människokontroll:

- Tre kvalificerade roller på plats 24/7

- Tvåpersoners integritet med fysisk genomförande

- Lagstadiga skiftgränser

- Anläggningsspecifik simulatorutbildning

- Symptombaserade nödlägesförfaranden (EOP)

Platsval:

- Seismisk designbasis (SSE, seismisk kategori I-strukturer)

- Överskydd (PMF eller barriärer)

- EAB-dosgräns (25 rem TEDE)

- EPZ (10-milslut, 50-milsslukning)

Den historiska testen:

Ditt design måste visa hur det förhindrar de specifika felmoderna för TMI, Tjernobyl och Fukushima.

- TMI: Bättre övervakning efter olyckan (direkt RCS-nivå), symtombaserade nödlägesförfaranden (EOP), tränade operatörer

- Tjernobyl: Negativ tomgångskoefficient (ingen positiv scram-effekt), oberoende scram-autoritet, ingen operatörsinaktivering av säkerhetssystem tillåten

- Fukushima: Passiv kylning (kräver inte växelström), högfördelade FLEX-utrustningar, 14 dagars dieselbränsle, anläggning ovanför PMF

Slutlig designgenomgång

Detta är din designförsvar. Svara fullständigt: varje uteläggning kommer att ifrågasättas.

Hur din design förhindrar TMI, Tjernobyl och Fukushima

Avsnitt 11: Att förhindra det förflutna

De tre stora kärnkraftsolyckorna definierade moderna säkerhetskrav för reaktorer. Varje redundanssystem du har designat har en specifik föregångare i någon av dessa olyckor.

Three Mile Island (TMI), 1979: Pennsylvania, USA:

En fastnådd öppen pilotstyrd trycksäkerhetsventil (PORV) tillät primärkylmed att dräneras i timmar. Indikatorlampan visade att ventilen hade KOMMANDERATS stängd, inte att den faktiskt var stängd. Operatörerna, förvirrade av motstridiga indikatorer, sänkte ECCS-injektionen eftersom de trodde att systemet fyllts över. Reaktorkärnan blev avbäddad, överhettad och delvis smältd.

Lärdomar: (1) Direkt övervakning efter olyckan: operatörerna måste kunna se faktisk ventilposition, faktisk kylmedelnivå och faktisk kärntemperatur. (2) Symptombaserade nödlägesförfaranden (EOP): operatörerna reagerar på det de observerar, inte på vad de tror orsakade händelsen. (3) Bättre operatörsträning i olyckskänning och hantering.

Tjernobyl, 1986: Ukrainska SSR, USSR:

En säkerhetstest genomfördes med reaktorn vid låg effekt (instabilt område) och med flera säkerhetssystem inaktiverade eller kringgådda. RBMK-reaktorn hade en stor positiv tomrumskoefficient: när kylmedeln kokade, ökade reaktiviteten. När operatörerna försökte stänga av reaktorn, orsakade de kolstoppade styrstängarna en kort effektspik (positiv scram-effekt). En effektökning på cirka 30 000 MW förstörde reaktorn i en ångexplosion och kolbrand.

Lärdomar: (1) Ingen positiv tomrumskoefficient i kommersiella reaktorer. (2) Säkerhetssystem får inte kunna kringgås under normala driftförhållanden. (3) Oberoende scram-autoritet: ingen testledare får överskrida skiftsuppseendes säkerhetsbedömning. (4) Operatörsträning i reaktorfysik, inte bara följande av förfaranden.

Fukushima Daiichi, 2011: Japan:

En jordbävning med magnitud 9,0 utlöste en 15 meter hög tsunami som översvämmade och förstörde nöddieselmotorerna vid Fukushima Daiichi. Utan växelström och med förstörda dieselmotorer, kokade avfallsvärme bort kylmedlet i enheterna 1, 2 och 3. Väte som producerades genom reaktionen mellan zirkaloy och ånga exploderade i reaktorbyggnaderna. Tre reaktorkärnor smälte under 72 timmar.

Lärdomar: (1) Passiv kylning som inte kräver ström. (2) Dieselmotorer och batterier placerade ovanför översvämningsnivån eller skyddade mot översvämning. (3) FLEX-portabel utrustning stationerad på varierade och tillgängliga platser. (4) PMF-designgrunden måste vara konservativ. (5) Förlängd station blackout måste designas för: inte bara analyseras.

Koppla din design till historien

Detta är den sista frågan i huvudprojektet.