a współczesne bezpieczeństwo INSTYTUT TECHNIKI CIEPLNEJ im. Bohdana Stefanowskiego Wydział Mechaniczny Energetyki i Lotnictwa Politechnika Warszawska Awaria TMI2 a współczesne bezpieczeństwo elektrowni jądrowych Dr inż. Nikołaj Uzunow Seminarium ITC, 4.XI.2014

Plan wystąpienia Stan energetyki jądrowej przed awarią TMI2 Przebieg awarii TMI2 Skutki radiologiczne Zmiany technologiczne Zmiany organizacyjne Reakcja społeczna Podsumowanie

Stan energetyki jądrowej przed awarią TMI2 Pod koniec lat siedemdziesiątych ubiegłego stulecia energetyka jądrowa miała już ponad dwudziestoletnią historię. Stosowane w niej technologie wyrosły z „wieku dziecięcego”, wykrystalizowały się najbardziej udane koncepcje, eksploatacja coraz większej floty reaktorów odbywała się praktycznie bezawaryjnie. Energia jądrowa postrzegana była jako pewne, bezpieczne i tanie źródło, które miało zaspokoić gwałtownie rosnące potrzeby naszej cywilizacji. Budowano zawrotną z dzisiejszej perspektywy liczbę nowych bloków. Jednocześnie, cała sfera atomistyki była objęta tajemnicą. Do społeczeństwa praktycznie nie docierały informacje, związane z zagrożeniami.

WASH-1400 W 1975 r. opublikowano raport NRC o skróconej nazwie WASH-1400, będący pierwszą tak szeroką i dogłębną analizą ryzyka awarii w elektrowniach jądrowych i stanowiący do dziś odniesienie w tej dziedzinie. W owym czasie największe zagrożenie dla bezpieczeństwa elektrowni jądrowych upatrywano w awariach typu LBLOCA. W raporcie WASH-1400 po raz pierwszy zwrócono uwagę na możliwość wystąpienia ciężkich awarii również w wyniku SBLOCA.

EJ Three Mile Island Elektrownia jądrowa Three Mile Island znajduje się w stanie Pensylwania, niedaleko miasta Harrisburg. Pierwszy jej blok z reaktorem typu PWR o mocy 819 MWe firmy Babcock&Wilcox uruchomiono w 1974 r. i eksploatuje się go do dziś – jest pod względem osiągów jednym z najlepszych w USA i na świecie. Blok drugi, z reaktorem PWR tej samej firmy o mocy 880 MWe, był w chwili awarii całkiem nowy: reaktor osiągnął pierwszy raz krytyczność równo rok wcześniej, 27.III.1978 r.; zaś blok podłączono do sieci 30.XII.1978 r.

Schemat cieplny „Klasyczny” UACR, składający się z wysokoprężnego systemu czynnego, biernego systemu średnioprężnego i czynnego systemu niskoprężnego.

Przebieg awarii - początek Awaria w bloku drugim EJ Three Mile Island rozpoczęła około godz. 4.00 rano 28 marca 1979 r., kiedy reaktor pracował na 97% mocy nominalnej, od wyłączenia pomp wody zasilającej wskutek przedostania się do obiegu kondensatu jonitów z instalacji oczyszczania, po którym nastąpiło wyłączenie turbiny. W tej sytuacji załączyć się powinien awaryjny układ wody zasilającej, jednak jego zawór odcinający omyłkowo pozostawiono po niedawnym przeglądzie w pozycji zamkniętej. W wyniku braku zasilania strony wtórnej wytwornic, zmniejszył się strumień odbieranego z obiegu chłodzenia ciepła, co doprowadziło do jego przegrzania.

Przebieg awarii - SBLOCA Rosnące ciśnienie chłodziwa spowodowało otwarcie zaworu nadmiarowego i wypływ pary z poduszki w stabilizatorze do barbotera, gdzie była skraplana. Reaktor nie został wyłączony w wyniku wyłączenia turbiny, lecz wskutek przekroczenia górnego ograniczenia ciśnienia. Dopiero wtedy ciśnienie w obiegu zaczęło spadać. Jednak kiedy ciśnienie spadło poniżej dolnego ograniczenia, zawór nadmiarowy zaklinował się i nie zamknął. Na dodatek układ automatyki nie podawał informacji zwrotnej o jego aktualnej pozycji, więc operator uznał, iż jest zamknięty, ponieważ wcześniej widział, że wysłano sygnał do zamknięcia. Tym samym rozpoczęła się awaria typu SBLOCA.

Przebieg awarii – droga skażenia Chłodziwo wypływające ze stabilizatora ciśnienia zbierało się w zbiorniku zrzutowym (barboterze), w wyniku czego rosło w nim ciśnienie. Po przekroczeniu wartości granicznej, pękła przepona barbotera i od tej chwili woda wypływała do obudowy bezpieczeństwa, zbierając się na jej dnie. Stamtąd pompowana była do zbiornika poza obudową bezpieczeństwa, co w późniejszej fazie awarii oznaczało wydostanie się do otoczenia materiałów promieniotwórczych.

Przebieg awarii – działania operatora Będąc przekonanym o szczelności obiegu chłodzenia, głównym celem operatora stało się niedopuszczenie do wypełnienia całego stabilizatora wodą, czyli zamiany obiegu w system czysto hydrauliczny, co groziłoby jego rozszczelnieniem. Obserwując podnoszący się poziom wody w stabilizatorze, nie zdawał sobie sprawy, iż w wyniku przegrzania w zbiorniku reaktora wytworzył się pęcherz pary, wypychający wodę i utrudniający jej cyrkulację. W takich warunkach, po uprzednim wyłączeniu pomp obiegowych z powodu kawitacji, wyłączył wysokoprężny układ awaryjnego chłodzenia rdzenia.

Przebieg awarii – działania operatora cd. Górna część rdzenia została odsłonięta, kilka prętów się stopiło, formując eutektykę U-Zr-O o temperaturze topnienia niższej o ok. 1000 K od temperatury topnienia UO2. Masa ta zablokowała w dużej mierze przepływ chłodziwa przez rdzeń, co w ostateczności doprowadziło do jego stopienia w ok. 2/3. Operator zorientował się, że spadek ciśnienia spowodowany jest zaklinowaniem się zaworu nadmiarowego po ponad dwóch godzinach. Zamknął zawór odcinający przed nim, dzięki czemu ciśnienie w obiegu zaczęło rosnąć. W tej fazie awarii rdzeń już był częściowo odsłonięty i zaczynał się topić.

Przebieg awarii – działania operatora cd. Chłodzenie rdzenia wtryskiem wody z wysokoprężnego układu awaryjnego chłodzenia wznowiono po ponad 3 godzinach od rozpoczęcia awarii. Przez następne kilkanaście godzin operator próbował najpierw obniżyć ciśnienie, tak aby załączył się niskoprężny układ awaryjnego chłodzenia, a kiedy to się nie udało, podnieść ciśnienie w celu uruchomienia pomp obiegowych i odprowadzenia ciepła przez wytwornice pary, do których wcześniej wznowiono zasilanie wodą z układu awaryjnego po otwarciu zaworu odcinającego. Ostatecznie udało się to osiągnąć po ponad 15 godzinach.

Stan reaktora po awarii Pierwotnie zastygła po kontakcie z wodą w dolnej części rdzenia eutektyka ponownie się stopiła i częściowo wyciekła do dolnej komory mieszania. W części dolnej eutektyki, stykającej się z dnem zbiornika reaktora, udział uranu i produktów rozszczepienia był zmniejszony, zwiększony zaś udział żelaza, co przyczyniło się do tego, iż dno nie zostało przetopione.

Skutki radiologiczne Biorąc pod uwagę stopienie większej części rdzenia reaktora, skutki radiologiczne awarii TMI-2 można uznać za zaskakująco niewielkie. W suchych liczbach wyrażają się one w aktywności materiałów promieniotwórczych uwolnionych do otoczenia w granicach 5,6–7,4·1011Bq. Chodzi przede wszystkim o gazy, które wydobyły się ze zbiornika w budynku pomocniczym, znajdującego się poza obudową bezpieczeństwa, do którego pompowano wodę, zbierającą się na dnie obudowy. Taka emisja spowodowała narażenie pojedynczej osoby na maksymalnym poziomie 0,9 mSv, czyli odpowiadające skutkom trzech zdjęć rentgenowskich lub ok. 1/3 tła naturalnego.

Badania poawaryjne Badania poawaryjne wykazały, iż wbrew ogólnie przyjętym założeniom o uwalnianiu się w wyniku awarii ciężkich 100% gazów szlachetnych i 50% jodu 131, rzeczywiste emisje były znacząco niższe. Sformułowano dwa podstawowe wnioski: lotne produkty rozszczepienia występują głównie w postaci CsI i CsOH, a nie czystych jodu i cezu, mniejsze jest zatem prawdopodobieństwo ich wycieku do obudowy bezpieczeństwa; produkty rozszczepienia tworzą aerozole, które odkładają się na zimnych powierzchniach wewnątrz obudowy bezpieczeństwa i są w większości utrzymywane w jej wnętrzu.

Badania poawaryjne cd. Dalsza analiza skutków awarii prowadziła do stwierdzenia znacznie wyższej niż przypuszczano wytrzymałości zbiornika reaktora. Z jednej strony chodzi tu o nieprzetopienie jego dna przez eutektykę materiałów paliwowych i konstrukcyjnych, z drugiej o nierozszczelnienie w wyniku wybuchów parowych przy zalewaniu przegrzanych i osuszonych elementów paliwowych lub wodoru, wytworzonego w reakcji cyrkonu z parą wodną w tych warunkach. W konsekwencji uznano, że zbiornik powinien wytrzymać uwolnienie energii kinetycznej do 1,5 GJ, co odpowiadałoby kryzysowi wrzenia przy gwałtownym schładzaniu wodą ok. 25 t stopionego rdzenia.

Zmiany technologiczne W pierwszej kolejności zwrócono uwagę na wzajemne położenie źródła ciepła i źródła zimna w obiegu. W układach firmy Babcock&Wilcox, jak już wspomniano, wytwornice pary znajdowały się na poziomie podobnym do zbiornika reaktora. W przypadku utraty cyrkulacji wymuszonej, utrudnia to lub uniemożliwia ustalenie się cyrkulacji naturalnej. Nad źródłem ciepła, czyli rdzeniem, tworzy się pęcherz parowy, pełniący rolę korka, wypychającego wodę ze zbiornika i gorącej nitki obiegu i uniemożliwiający dopływ wody do rdzenia. Stąd wniosek i zalecenie, ujęte we wszystkich późniejszych raportach i dokumentach ciał odpowiedzialnych za bezpieczeństwo jądrowe (m.in. NRC, IAEA), aby konstrukcja obiegu chłodzenia zapewniała ustalenie się cyrkulacji naturalnej, dostatecznie intensywnej do odprowadzenia ciepła powyłączeniowego z rdzenia.

Zmiany technologiczne cd. Kolejne wnioski prowadziły do zalecenia szerszego zastosowania biernych układów awaryjnego chłodzenia rdzenia przy jednoczesnym wprowadzeniu systemów obniżenia ciśnienia w obiegu chłodzenia. Postulaty te zostały uwzględnione przy opracowaniu reaktorów tzw. systemu 80+, które później ewaluowały do projektów AP-600 i AP-1000. Inne, bardziej oczywiste i dużo prostsze do realizacji (nawet w podówczas istniejących instalacjach) zalecenia dotyczyły układu automatyki. Przykładami mogą być wymogi: zmiany logiki wyłączenia reaktora i rozszerzenie listy odpowiednich sygnałów; wprowadzenia sygnalizowania położenia zaworów; wprowadzenia zakazów wyłączania układów bezpieczeństwa.

Zmiany organizacyjne Awaria TMI-2 wykazała niedostateczne przygotowanie teoretyczne i praktyczne operatorów bloków jądrowych do radzenia sobie z zarządzaniem tak złożonych układów w warunkach ekstremalnych. Dodatkowo, świadomość potrzeby podporządkowania wszystkich swoich działań bezpieczeństwu – tzw. kultura bezpieczeństwa – była na niskim poziomie. O ile jednak w dziedzinie technologicznej mówić można po prostu o zmianach, ewolucji, w sferze organizacyjnej Amerykanie wprowadzili zmiany iście rewolucyjne. Na poziomie instalacji wprowadzono nowy system ciągłych szkoleń i egzaminów operatorów bloków (reaktorów) jądrowych. Znacznie poważniejsze działania podjęto jednak na poziomie krajowym.

Powołanie INPO Branża jądrowa powołała w celu realizacji zaleceń Komisji Kemeny’ego INPO – Institute of Nuclear Power Operations. Jego zadaniem jest: określić właściwe standardy bezpieczeństwa odnośnie zarządzania, zapewnienia jakości oraz procedur i praktyki eksploatacyjnej, jak też zapewnić możliwość ich niezależnej oceny; systematyczne zbieranie, przeglądanie, analizowanie i przekazywanie doświadczeń eksploatacyjnych wszystkich elektrowni jądrowych.

Reakcja społeczeństwa Społeczeństwo zareagowało na pierwszą awarię ciężką w energetyce jądrowej szokiem. Należy jednak w tym miejscu zaznaczyć dwa fakty. Po pierwsze, branża atomowa na całym świecie działała w swoistej izolacji, odosobnienia, wyłączenia spod kontroli społecznej, spowodowanego przede wszystkim przeplataniem się w niej technologii i celów cywilnych i wojskowych. Najłatwiej było wszystko utajnić, odgrodzić i zaciemnić. Jednocześnie działała propaganda sukcesu, akurat w tym przypadku poniekąd uzasadniona. Gorzej, że towarzyszyła jej dezinformacja i deinformacja co do zagrożeń.

Reakcja społeczeństwa cd. Po drugie, zadziałało dobrze znane zjawisko subiektywnego postrzegania ryzyka i zagrożenia. Polega ono na różnym stosunku do ryzyka dobrowolnie podejmowanego i narzucanego oraz do ryzyka rozproszonego i skoncentrowanego. Dodając do tego fakt, że promieniowania jonizującego nie widać, nie słychać i nie czuć, otrzymujemy mieszankę odczuć prawdziwie wybuchowych. Wielce prawdopodobnym jest, że do takiego stanu przyczynił się też film sensacyjny „Chiński Syndrom”, którego premiera odbyła się 16 marca 1979 r., 11 wieczorów przed awarią…

Reakcja społeczeństwa cd. Nacisk społeczny w USA sprawił z jednej strony, że wstrzymano wiele już rozpoczętych projektów budowy nowych bloków jądrowych, z drugiej zaś, że przez kilkanaście lat nie uruchomiono nowych – i tak do dziś, choć obecnie przeważają powody czysto gospodarcze. Reasumując, nacisk ten sprawił, iż podejście władz i branży energetycznej do bezpieczeństwa elektrowni jądrowych i przejrzystości wszelkich działań w tym zakresie uległo zasadniczej zmianie, tj. poprawie. Niestety, zmiany te ograniczyły się praktycznie tylko do Stanów Zjednoczonych – pozostała część świata tkwiła w samozadowoleniu aż do katastrofy czarnobylskiej.

Podsumowanie Awaria TMI-2 wykazała słuszność wniosków raportu WASH-1400, dotyczących niebezpieczeństw, jakie mogą stwarzać awarie typu SBLOCA. Biorąc pod uwagę skutki radiologiczne awarii TMI-2, wydaje się uzasadnionym przypuszczenie, iż rzeczywiste skutki awarii ciężkich będą znacząco niższe niż obecnie szacowane na podstawie modeli symulacyjnych. W zakresie technologicznym, awaria wymusiła zmiany w układach i logice automatyki oraz w konstrukcji obiegów chłodzenia, jak też zapoczątkowała badania nad rozbudową biernych układów bezpieczeństwa. Jednym z jej skutków było wycofanie się firmy Babcock&Wilcox jako dostawcy reaktorów jądrowych.

Podsumowanie cd. Po tej awarii zmieniono filozofię i znacznie rozbudowano proces szkolenia operatorów bloków (reaktorów) jądrowych. Jednocześnie powołano INPO, którego zadaniem jest zbieranie i analiza danych eksploatacyjnych, opracowywanie na ich podstawie raportów i zaleceń oraz ich przekazywanie wszystkim zainteresowanym. Dzięki jego działalności wprowadzono ostrzejsze procedury bezpieczeństwa oraz instrukcje eksploatacyjne, w szczególności dotyczące postępowania w przypadku awarii. Wskaźnik wykorzystania mocy amerykańskich elektrowni jądrowych wzrósł z ok. 70 do ponad 90%. Podobny mają tylko elektrownie jądrowe w Szwajcarii. Niestety, działania te ograniczyły się wtedy praktycznie tylko do USA. Na powołanie World Association of Nuclear Operators (WANO), wzorowanej na INPO, świat zdecydował się dopiero po katastrofie czarnobylskiej.

Podsumowanie cd. Utrzymywanie przez władze społeczeństw w błogiej niewiedzy co do zagrożeń i zadowoleniu z posiadania taniego źródła w skojarzeniu z obniżonym poziomem świadomości, spowodowanym przekonaniem o własnej nieomylności, uwarunkowały szok, jaki społeczeństwo amerykańskie przeżyło w wyniku awarii TMI-2. Jego reakcja oraz obudzona świadomość pracowników przemysłu jądrowego wymusiły wyżej wspomniane zmiany filozofii i organizacji działań w branży. Pozostałe społeczeństwa i ich władze poczekały na Czarnobyl… Wahadło nastrojów, będące wcześniej po stronie optymizmu, wręcz euforii, odchyliło się w tym czasie na stronę odrzucenia, a w najlepszym przypadku pesymizmu co do energetyki jądrowej – i pozostaje tam do dziś.

Podsumowanie cd. Awaria w bloku nr 2 elektrowni jądrowej Three Mile Island była pierwszą awarią ciężką w energetyce jądrowej. Jej skutki radiologiczne były niewielkie, ale w reakcji na nią wprowadzono ogromną liczbę zmian w zakresie technologii i organizacji oraz świadomości i komunikacji społecznej.

Na wesoło...