Elektrownia jądrowa Three Mile Island – miejsce jedynej w historii awarii z częściowym stopieniem rdzenia w reaktorze typu PWR

Stopienie rdzenia reaktora jądrowego – poważna awaria reaktora jądrowego polegająca na częściowym lub całkowitym uszkodzeniu przez stopienie, rdzenia reaktora z powodu wysokiej temperatury. Do jego określenia w języku angielskim często używa się potocznego zwrotu nuclear meltdown.

Awaria taka następuje, gdy ciepło generowane w rdzeniu reaktora przez reakcje jądrowe nie zostaje odprowadzone przez układ chłodzenia i w przynajmniej jednym elemencie paliwowym reaktora temperatura osiągnie temperaturę topnienia. Termiczna przyczyna awarii odróżnia ją od innych awarii, również związanych z uszkodzeniem elementu paliwowego, ale mających inne przyczyny, np. mechaniczne.

Do stopienia rdzenia reaktora jądrowego może dojść w wyniku utraty chłodzenia, utraty parametrów pracy przez czynnik chłodzący (np. ciśnienia), obniżenia jego tempa przepływu, lub w wyniku przekroczenia dopuszczalnych parametrów pracy reaktora.

Stopienie rdzenia jest zaliczane do najpoważniejszych awarii reaktorów jądrowych z uwagi na potencjalnie nieodwracalne uszkodzenie reaktora i związaną z tym możliwość uwolnienia się z jego wnętrza substancji radioaktywnych.

Przyczyny

W elektrowni jądrowej generatory prądu elektrycznego są napędzane parą wodą ogrzewaną ciepłem powstającym w rdzeniu reaktora jądrowego. Ciepło to jest odbierane z elementów paliwowych, w których zachodzi kontrolowana reakcja łańcuchowa, poprzez czynnik roboczy obiegu chłodzenia reaktora. Jeśli ciepło nie będzie odbierane z reaktora w odpowiednim tempie, temperatura elementów paliwowych może osiągnąć ich temperaturę topnienia. Do stopienia rdzenia może dojść nawet po wyłączeniu reaktora, z uwagi na ciepło powyłączeniowe, powstające w reaktorze jeszcze jakiś czas po jego wyłączeniu.

Do opisanego stanu w reaktorze jądrowym może dojść w wyniku niedoboru chłodziwa w rdzeniu, utraty ciśnienia chłodziwa, utraty chłodziwa, niekontrolowanego wzrostu mocy termicznej reaktora, a w niektórych rodzajach reaktorów, w przypadku pożaru w rdzeniu. Błędy w sterowaniu reaktorem mogą również prowadzić do ciągu zdarzeń skutkujących utratą chłodzenia.

Zasady bezpieczeństwa, takie jak „obrona w głąb”, „bezpieczne w czasie awarii”, czy nadmiarowość, mają za zadanie nie dopuścić do takiej sytuacji.

Reaktory lekkowodne

Rdzeń reaktora TMI-2 po awarii:
1. Wlot 2B
2. Wlot 1A
3. Przestrzeń po stopionym fragmencie rdzenia
4. Fragmenty rdzenia
5. Skorupa wokół zastygniętych fragmentów stopionego rdzenia
6. Stopione i zastygnięte fragmenty rdzenia
7. Szczątki rdzenia w dolnej komorze mieszania reaktora
8. Możliwy obszar pozbawiony uranu
9. Nadtopiony pręt sterujący
10. Dziura w przegrodzie
11. Warstwa wcześniej stopionego materiału na wewnętrznej powierzchni bocznej rdzenia
12. Uszkodzenia górnej części rdzenia

Aby mogło dojść do uszkodzenia reaktora lekkowodnego, tj. wykorzystującego zwykłą wodę jako chłodziwo i moderator, musi dojść do jednej lub wielu awarii prowadzących do zatrzymania odprowadzania ciepła z reaktora, tj. dojść do awarii utraty chłodzenia i odsłonięcia rdzenia. Dodatkowo musi wystąpić jedna z okoliczności:

Do wystąpienia pierwszej okoliczności doszło w 1979 w przypadku awarii w Three Mile Island, gdzie obsługa wyłączyła UACR nie wiedząc, że zawór bezpieczeństwa stabilizatora parowego zaciął się w pozycji otwartej, doprowadzając do upustu pary i wody chłodzącej. Przyczyną pierwotną było zatrzymanie obiegu wody w pompie cyrkulacyjnej obiegu pierwotnego. Do wystąpienia drugiej okoliczności doszło w przypadku awarii EJ Fukushima I, gdzie trzęsienie ziemi zniszczyło linie zasilające lub wyłączyło inne elektrownie (jądrowe, konwencjonalne, wodne, które mogłyby dostarczyć energię elektrowni) na terenie prefektury Fukushima, tsunami zalało generatory spalinowe (uruchomionym skończyło się paliwo w ciągu paru godzin, a nie można było dowieźć nowego), a akumulatory wyczerpały się.

Kuan i Haskin wyróżniają 6 etapów pomiędzy wystąpieniem ograniczonej awarii (utraty chłodzenia) a potencjalnym wyciekiem stopionego rdzenia do obudowy reaktora, tzw. całkowitego stopienia:

Odkrycie rdzenia

W przypadku awarii reaktory lekkowodne zaprojektowane są do automatycznego przeprowadzenia, tzw. operacji SCRAM, tak jak natychmiastowego pełnego włożenia prętów kontrolnych do rdzenia reaktora (zatrzymanie reakcji jądrowych) i włączenia UACR. Czynności te drastycznie obniżają moc termiczną reaktora i opóźniają ewentualnie odkrycie rdzenia, definiowanego jako niecałkowite zanurzenie elementów paliwowych w czynniku chłodzącym. W przypadku małego wycieku i AUCh (awarii utraty chłodzenia), gdy nie dochodzi do awaryjnego zalania rdzenia, do odkrycia rdzenia może dojść po około 1 godzinie od zaistnienia uszkodzenia. Jeśli nie będą działały pompy chłodziwa, górna część rdzenia znajdzie się w środowisku pary wodnej i zacznie się rozgrzewać. Jeśli pompy działają, rdzeń będzie chłodzony mieszaniną dwufazową (woda i para wodna) do momentu aż cała woda chłodzące ulegnie odparowaniu. W przypadku awarii TMI-2, pompy dostarczały mieszaninę dwufazową przez około 2 godziny.

Nagrzewanie

Jeśli zabraknie mieszaniny woda-para wodna, lub ubytek wody nie będzie kompensowany, pręty paliwowe będą nagrzewały się w środowisku pary wodnej, w tempie 0,3-1 °C/s.. Ciepło to pochodzi głównie z pastylek paliwa jądrowego. W temperaturze 600 °C zaczyna dochodzić do reakcji pary wodnej z cyrkonem: Zr + 2H2O → ZrO2 + 2H2 + 6420 kJ/kgZr. Tylko przy krótkich czasach utleniania, 10-20 minut, warstwa ZrO2 działa jako warstwa ochronna blokująca dalsze utlenianie. Etap ten, z uwagi na dalsze konsekwencje, jest szczególnie odzwierciedlony w przepisach bezpieczeństwa. Wymagają one by układy bezpieczeństwa zapewniały, że temperatura koszulki nie przekroczy 1200 °C w żadnej sytuacji awaryjnej. Koszulka nie musi pozostać nieuszkodzona, a chodzi jedynie, by intensywność reakcji cyrkonu z parą wodną, której tempo silnie zależy od temperatury, nie groziła samorzutnym rozgrzaniem koszulki.

Odkształcanie i pękanie paliwa

Stopiony pręt paliwowy reaktora Sodium Reactor Experiment, rok 1959

W ciągu następnych 30 minut szczytowa temperatura rdzenia osiągnie ok. 1100 °C. Gdy zniekształcenia paliwa i koszulki doprowadzą do zetknięcia się koszulki z pastylką paliwową, dochodzi także do reakcji ditlenku uranu (UO2) z cyrkonem (Zr). O tempie tej reakcji decyduje szybkość dyfuzji tlenu z UO2 do koszulki, temperatura i tempo jej przyrostu. Utlenianie się cyrkonu w parze wodnej i w kontakcie z ditlenkiem uranu powoduje zmiany struktury koszulki i wzrost jej kruchości. Bezpośrednią przyczyną tego jest przemiana fazowa cyrkonu, z β-Zr na α-Zr(O), czyli stabilizowaną tlenem. W temperaturze 1200 °C do osiągnięcia pełnej kruchości wystarcza ok. 30 minut. Im szybciej wzrasta temperatura tym przy większej temperaturze dojdzie do zniszczenia koszulki. Są to pierwsze mechaniczne uszkodzenia rdzenia. Odkształcenia osłon elementów paliwowych, tzw. wydymanie, mogą powodować zburzenie lub zablokowanie przepływu chłodziwa w części rdzenia. Wydymanie jest powodowane głównie przez różnicę ciśnień jakiej poddawana jest koszulka. Od wewnątrz działania na nią ciśnienie uwolnionych gazowych produktów rozszczepienia, a od zewnątrz ciśnienie pary wodnej. Całkowite zablokowanie przepływy w rdzeniu jest mało prawdopodobne z uwagi na to, że zniekształcenia każdego z elementów będą inne. Badania takie były przeprowadzane w wielu instalacjach eksperymentalnych i wykazały, że nawet przy zablokowaniu 90% przekroju przepływu wystarcza do sprawnego chłodzenia odkształconych elementów paliwowych. Dla reaktorów PWR/WWER blokada przepływu nie powinna przekroczyć 80%. Na tym etapie dostarczenie odpowiedniej ilości wody do rdzenia powstrzyma postępowanie uszkodzeń.. Jednak nadkruszone koszulki mogą zostać zniszczone w momencie zalewania rdzenia wodą na skutek szoku temperaturowego wywołanego zetknięciem z zimną wodą chłodzącą. Aby uniknąć takiego procesu przepisy bezpieczeństwa wymagają, aby grubość warstwy utlenionej ZrO2 nie przekroczyła 15-18% grubości koszulki.

Emisja produktów rozszczepienia z paliwa

Różnica ciśnień wewnątrz i na zewnątrz koszulki paliwowej powodują jej wydymanie, a w końcu rozszczelnienie. Rozszczelnienie skutkuje gwałtownym wypływem gazów zawartych pod koszulką. Gazy unoszą gazowe produkty rozszczepienia oraz lotne i stałe produkty rozszczepienia, które osiadły na powierzchni pastylek i wnętrzu koszulki.

Mimo, że po wyrównaniu się ciśnień emisja gazów ustaje (tym samym również wydalanie produktów nielotnych), to towarzyszące temu różnice temperatur powodują przyspieszenie dyfuzji produktów rozszczepienia i ich szybsze wydostawanie się poza pastylki paliwowe. Jeśli obieg pierwotny chłodzenia reaktora nie jest przerwany, to produkty te zostaną zatrzymane w nim. Poza obieg pierwotny uwolniona może zostać frakcja gazów szlachetnych.

Gwałtowne utlenianie

Kolejny etap rozpoczyna się po przekroczeniu temperatury ok. 1500 °C, gdy następuje gwałtowne utlenianie się Zircaloy w parze wodnej. W procesie tym wydziela się wodór i znaczne ilości ciepła. Ogólna reguła mówi, że na każdy megawat mocy elektrycznej reaktora może wydzielić się z niego 1 kilogram wodoru. Przy temperaturze powyżej 1500 °C ciepło wydzielające się z procesu utleniania przekracza ciepło powyłączeniowe reaktora, chyba że tempo utlenianie zostanie ograniczone dostępnością zircaloyu lub pary wodnej. Przy około 1600 °C, w ciągu 2-3 minut, dochodzi do niemal całkowitego uwolnienia gazowych produktów rozszczepienia z przestrzeni między ziarnami paliwa jądrowego, gdyż reakcja utleniania zachodzi w tej temperaturze ponad sto razy szybciej niż w 600 °C. Wpływ na rozerwanie koszulek paliwowych mają obwodowe różnice jej temperatury. Różnice temperatur doprowadzają do wygięcia się rurki, zaniku szczeliny między pastylką po jednej stronie, powiększenie szczeliny po stronie chłodniejszej. Doprowadza to do dalszego wzrostu gradientu temperatury, dalszych deformacji i ostatecznie do rozerwania koszulki. Rozerwanie się koszulki wpływa pozytywnie na chłodzenie pręta paliwowego mimo, że gazowe produkty rozpadu w koszulce zostają zastąpione parą wodną, o niższym współczynniku przewodności cieplnej. Napływ pary odcina cieplnie koszulkę od paliwa, co powoduje sprawniejsze chłodzenie koszulki do temperatury zwilżania. Front zwilżania obejmie uszkodzony pręt szybciej niż niezdeformowany.

Zbieranie się szczątków na dnie rdzenia

Postęp stopienia rdzenia reaktora jądrowego przy rosnącej temperaturze w zbiorniku reaktora

Gdy temperatura w rdzeniu osiąga ok. 1700 °C, dochodzi do topnienia elementów kontrolnych reaktora. W temperaturze ok. 1850 °C cała metaliczna część koszulki paliwowej ulega stopieniu. Ciekły materiał koszulki, zależnie od stopnia nasycenia tlenem i uranem, może zacząć rozpuszczać ZrO2 lub UO2 (jeśli wzrost temperatury następował szybko, to stopiony materiał zawierać będzie małe ilości tlenu, co przyspieszy rozpuszczanie tlenku uranu).

Początkowo eutektyka Zr-U-O utrzymuje się jeszcze na nierozpuszczonych warstwach tlenku cyrkonu i paliwa. Wzrost temperatury powoduje jednak ostatecznie rozerwanie powłok koszulki. Eutektyka Zr-U-O wypływa z miejsca uszkodzenia i ścieka po pręcie pod działaniem siły ciężkości.

Rosnąca temperatura przyspiesza proces utleniania się cyrkonu (w temp. 1200 °C reakcja przebiega 100 razy szybciej niż w temp. 600 °C), co może doprowadzić do jej wzrostu do wartości temperatury topnienia zircaloyu (ok. 2150-2600 °C). Dochodzi wtedy do powstania nacieku eutektyki o większej zawartości tlenu, która spływając rozpuszcza koszulki metaliczne i eutektyki na powierzchni paliwa. Powyżej temperatury 2600 °C dochodzi do topnienia UO2.

Gdy koszulki rozpadną się, roztopione stopy cyrkonu spływają i zastygają w dolnych częściach rdzenia, wraz z rozpuszczonym UO2. Wraz z roztopionymi wcześniej elementami kontrolnymi, substancje te utworzą wzrastającą skorupę zastygniętych szczątków wnętrza rdzenia.

Do topienia się rdzenia dochodzi zwykle w jego geometrycznym środku (największa wydzielana moc w osi pionowej i poziomej), albo od góry, która to część zostaje odsłonięta jako pierwsza, w przypadku powolnego ubytku chłodziwa. Postępowanie topnienia będzie przebiegało różnie w różnych jego częściach, rozszerzając się w dół i na zewnątrz rdzenia. Różnice w tempie topnienia wynikają z różnego nagrzewania się różnych materiałów rdzenia. Pastylki paliwowe nagrzewają się głównie przez ciepło powyłączeniowe, koszulki przez utlenianie, a między nimi i otoczeniem zachodzi przepływ energii rożnymi drogami (promieniowanie, przewodnictwo, konwekcja). Stopione materiały przemieszczają się, również powodując zmiany przewodnictwa cieplnego między poszczególnymi elementami rdzenia.

Przemieszczanie się rdzenia

Gdy koszulki paliwowe stopią się i spłyną, pozostały stos pastylek paliwa jądrowego może załamać się i opaść albo pozostać w postaci kolumny utrzymywanej eutektyką cyrkonu, pełniącą rolę spoiwa. Ponieważ w trakcie uprzedniej reakcji paliwa z koszulką w UO2 występuje stechiometryczny niedobór tlenu, stos pastylek ulega kruszeniu przy zwilżaniu. Powodowane jest to tworzeniem się struktury α-U(O), która ulega chłodzeniu w innym tempie niż UO2.

Skutki upadku bądź spłynięcia rdzenia na dno zbiornika reaktora w reaktorze lekkowodnym są trudne do przewidzenia z uwagi na mnogość czynników, jakie miałyby wpływ na taką sytuację, np. temperatury poszczególnych elementów rdzenia, wiek paliwa, ilość stopionego paliwa, fizyczne wymiary i właściwości zbiornika, ciśnienie w pierwotnym obiegu chłodzenia, i in. W pewnym zakresie taką sytuację badano w Loss-of-Fluid-Test Reactor w Idaho National Laboratory. W jedynej zbliżonej do takiego scenariusza awarii w Three Mile Island częściowe stopienie rdzenia nie doprowadziło do uszkodzenia zbiornika ciśnieniowego reaktora, mimo oddziaływania na siebie przez ponad 6 godzin. Zapobiegły temu roztopione równolegle pręty kontrolne i inne elementy tworzące rdzeń. Niemniej, niektórzy uważają, że roztopiony rdzeń mógłby przepalić zbiornik ciśnieniowy, osłonę biologiczną, osłonę bezpieczeństwa, i dostać się do gruntów pod reaktorem, narażając na skażenie wody zaskórne. Szacuje się, że w takim wypadku fundament reaktora zostałby przepalony w ciągu ok. 100 godzin od awarii (uszkodzenie zbiornika ciśnieniowego nastąpiłoby po 25 godzinach).

W rozpatrywanym przez Kuana scenariuszu małego wycieku z utratą chłodzenia w momencie opadania rdzenia, na dnie zbiornika rdzenia znajduje się pewna ilość wody. Opadnięcie roztopionych elementów rdzenia do wody zawsze pociąga za sobą wygenerowanie dużych ilości pary wodnej. Jeśli zetknięcie się z wodą będzie miało charakter rozległy i gwałtowny, może dojść do eksplozji pary wodnej. Dodatkowo, nieutleniony do tej pory cyrkon ulegnie utlenieniu generując wodór.

W najgorszym zakładanym przypadku dla reaktorów lekkowodnych, maksymalnej awarii projektowej z całkowitą utratą UACR, do stopienia i spłynięcia rdzenia minie od kilkudziesięciu minut do kilku, kilkunastu godzin. Nawet częściowe działanie UACR opóźnia nastąpienie uszkodzenia rdzenia i daje dodatkowy czas na naprawę i przywrócenie całkowitego działania układów chłodzenia. Wysoce nieprawdopodobne jest też, że obsługa nie będzie w stanie przywrócić chociażby częściowego działania UACR zanim nastąpi uszkodzenie zbiornika reaktora. Może jednak się zdarzyć, że jeśli rdzeń wydziela bardzo duże ilości ciepła, a jego stopienie bardzo utrudniło przepływ płynu chłodzącego, to uszkodzenie rdzenia może postępować. W takim przypadku uruchomienie UACR może spowodować wzrost ilości wydzielanego wodoru i pary wodnej.

Jeśli zbiornik reaktora nie zostanie naruszony, awarię określa się jako „częściowe stopienie”, a eskalacja zniszczeń w rdzeniu ustaje po odpowiednim schłodzeniu rdzenia. Awarię z częściowym stopieniem rdzenia oznacza się zwykle w skali INES jako awarię stopnia 4. lub 5. Uszkodzenie ciśnieniowego zbiornika reaktora określane jest jako „całkowite stopienie”, i może zostać sklasyfikowane powyżej stopnia 5. skali INES.

Z uwagi na to, że większość izotopów promieniotwórczych w rdzeniu jest krótkożyjąca (ma krótki okres półrozpadu), im dłużej operatorzy reaktora mogą zatrzymać produkty rozpadu wewnątrz reaktora, tym ewentualnie mniej substancji radioaktywnych wydostanie się na zewnątrz. Na przykład, gdyby cały jod zgromadzony w reaktorze wypuścić na zewnątrz tydzień po wyłączeniu reaktora, to dawka na tarczyce otrzymana przez populację będzie niższa niż od samego jodu-131 wypuszczonego godzinę po wyłączeniu reaktora.

Uszkodzenie zbiornika ciśnieniowego

Spłynięcie rdzenia do dolnej komory mieszania zbiornika ciśnieniowego może spowodować szybkie uszkodzenie zbiornika, gdy paliwo opadając nie zdąży wychłodzić się. Uszkodzenie może nastąpić poprzez uderzenie rozgrzanego płynnego rdzenia, penetrację zbiornika przez stopiony rdzeń, albo przez uszkodzenie kanałów prętów, lub ich spawów, poprzez ich ablację. Gdy uszkodzenie nie nastąpi od razu, dalszy przebieg awarii będzie zależał od wielu czynników, np. temperatury poszczególnych elementów rdzenia, wieku paliwa, ilości stopionego paliwa, fizycznych wymiarów i właściwości zbiornika, ciśnienia w pierwotnym obiegu chłodzenia, stosunku elementów płynnych do zestalonych, ich składu, porowatości, przewodności cieplnej, i in. W odpowiednich warunkach może dojść do lokalnego uszkodzenia zbiornika, poprzez rozgrzanie i naruszenie ciągłości.

W wypadku uszkodzenia zbiornika i przedostania się fragmentów stopionego rdzenia do obudowy bezpieczeństwa, najważniejszym zadaniem jest utrzymanie jej szczelności, w czym największą trudność mogą sprawić płynne elementy stopionego rdzenia. Może też dojść wtedy do bezpośredniego ogrzewania osłony.

Natychmiastowe uszkodzenie ciśnieniowego zbiornika reaktora nie jest immanentnie związane z przemieszczeniem się rdzenia na dno zbiornika. Do sytuacji takiej doszło w wyniku awarii w elektrowni Three Mile Island. Tamże, stopione elementy jednej trzeciej rdzenia spłynęły i zastygły na dnie zbiornika bez jego uszkadzania – zbiornik zachował szczelność i nie wydostały się z niego substancje radioaktywne. Co więcej, najpewniej spowodowało to utworzenie dodatkowej warstwy izolującej zbiornik reaktora i dało czas na przywrócenie działania UACR. Z drugiej strony, wypadek w TMI-2 pokazał, że trudności w przewidywaniu zachowania reaktora w trakcie awarii. Zbiornik reaktora nie był zbudowany tak, aby wytrzymać temperatury jakie osiągnął rdzeń. Stopione elementy rdzenia najpewniej jednak utworzyły na dnie zbiornika warstwę, która wzmocniła jego odporność na działanie wyższego ciśnienia i temperatury jaka później wystąpiła. W innym reaktorze tego samego typu ta sama awaria mogła mieć inny przebieg, nawet w podobnych warunkach.

W reaktorach BWR wyciek rdzenia może nastąpić przez otwory techniczne znajdujące się na dnie zbiornika ciśnieniowego. W reaktorach tych bowiem pręty kontrolne wsuwane są od spodu zbiornika. Dno zawiera kilkaset uszczelnionych otworów na pręty kontrolne i pomiarowe. Stopione, nieschłodzone elementy rdzenia mogą uszkodzić zbiornik w tychże miejsca i otworzyć drogę na zewnątrz zbiornika. Amerykańskie badania nad reaktorami lekkowodnymi wskazują, mimo dużych niepewności symulacji, że w przypadku reaktorów BWR z punktem drenażu w dnie zbiornika ciśnieniowego, to miejsce właśnie jest najbardziej narażone na uszkodzenie. Przy niskich ciśnieniach układu chłodzenia reaktora, zagłębienie drenażu musiałoby wypełnić się zawartością, która zachowa przepływ ciepła na poziomie 50 kW/m². W przypadku reaktorów o innej konstrukcji dna, najpewniej nie grozi im uszkodzenie, jeśli materiał stopionego rdzenia będzie charakteryzował się przepływem cieplnym poniżej 200 kW/m², co wymagałoby rozgrzanego materiału ceramicznego (ostatnia faza topnienia rdzenia).

Oddziaływanie paliwo-chłodziwo

W momencie przemieszczenia się rdzenia na dno zbiornika ciśnieniowego niektórzy specjaliści rozważają zajście zdarzenia nazywanego „oddziaływaniem paliwo-chłodziwo” (ang. fuel-coolant interaction, FCI), które mogłoby uszkodzić lub zniszczyć zbiornik ciśnieniowy z uwagi na gwałtowne wytworzenie wielkich ilości pary wodnej przy zetknięciu rozgrzanego rdzenia z pozostałościami ciekłej, chłodniejszej wody na dnie zbiornika. Reakcja taka mogłaby rozszczelnić zbiornik ciśnieniowy lub, gdyby para wodna uformowałaby falę uderzeniową, wyrwanie szczytu zbiornika. W obu przypadkach doszłoby do uwolnienia substancji radioaktywnych do obudowy reaktora.

Ponowne osiągnięcie krytyczności

Teoretycznie, stopiony rdzeń na dnie zbiornika reaktora może ponownie osiągnąć stan krytyczny (samoistne przywrócenie reakcji łańcuchowej), np. przy nieobecności boru w wodzie na dnie zbiornika. Scenariusz taki jest jednak mało prawdopodobny. Po pierwsze, musiałoby by być tam na tyle dużo wody, że po schłodzeniu i zastygnięciu dawnego rdzenia pozostała woda mogłaby pełnić funkcję moderatora. Po drugie, elementy rdzenia musiałby przybrać geometrię zapewniającą stan krytyczny. Po trzecie, wszelkie stopione elementy kontrolne rdzenia, przede wszystkim substancje pochłaniające neutrony a tworzące pręty kontrolne, nie mogłyby przeszkadzać w osiągnięciu krytyczności.

Nie istnieją modele teoretyczne opisujące ponowne osiągnięcie stanu krytycznego w stopionym paliwie. Z drugiej zaś strony, założenie o niezachodzeniu reakcji rozszczepienia w stopionym rdzeniu nigdy nie zostało zweryfikowane eksperymentalnie.

Bezpośrednie ogrzewanie osłony

Jednym z przewidywanych skutków spłynięcia rdzenia na dno zbiornika reaktora w reaktorze lekkowodnym jest efekt bezpośredniego ogrzewania atmosfery osłony bezpieczeństwa (Direct Containment Heating, DCH). Gdy będący pod wysokim ciśnieniem stopiony rdzeń uszkodzi zbiornik ciśnieniowy, to w zależności od wielu warunków, jak temperatura poszczególnych elementów rdzenia, wiek paliwa, ilość stopionego paliwa, fizyczne wymiary i właściwości zbiornika, ciśnienie w pierwotnym obiegu chłodzenia, i in., ale przede wszystkim od geometrii rdzenia i przestrzeni w jego sąsiedztwie, może dojść do wydostania się stopionego rdzenia poza osłonę biologiczną. Stopiony rdzeń będzie reagował z atmosferą osłony bezpieczeństwa i osłony biologicznej, parą wodną, elementami metalowymi, co może prowadzić do uszkodzenia osłony biologicznej i generowania wodoru. Oddawanie ciepła do atmosfery osłony i jej elementów może zachodzić na kilka sposobów i w kilku etapach:

Proces DCH może podnieść ciśnienie w obudowie o kilka, kilkanaście barów. W badaniach dla elektrowni jądrowej Zion wykazano, że w przypadku stopienia połowy rdzenia wzrost ten może wynieść ok. 4 bary, bez deflagracji wodoru, i ok. 9 barów, przy deflagracji wodoru. Badania tych procesów uwzględniono przy budowie Europejskiego Reaktora Ciśnieniowego. Dla istniejących reaktorów, gdy było to uzasadnione, większość państw wprowadziła zmiany w instrukcjach obsługi dla operatorów, np. w USA: NUREG/CR-6075, NUREG/CR-6109, NUREG/CR-6338 (dla reaktorów firmy Westinghouse).

Pierwsze badania nad wydostaniem się stopionego rdzenia pod wysokim ciśnieniem ujęto w probabilistycznym studium bezpieczeństwa elektrowni jądrowej Zion, w 1981 roku. Do tamtego czasu uznawano, że w przypadku uszkodzenia zbiornika ciśnieniowego stopiony rdzeń będzie zalegał w osłonie biologicznej bez dalszego przemieszczania się. W studium dla EJ Zion rozważono jednak, że oddziaływanie stopionego rdzenia z wodą, parą wodną i wodorem, może spowodować wydostanie się pewnych ilości stopionego rdzenia poza sąsiedztwo zbiornika ciśnieniowego.

Dla reaktorów typu PWR/BWR za główną przyczynę jaka może doprowadzić do takiego scenariusza jest rozszczelnienie układu chłodzenia reaktora, celowe lub przypadkowe. Celowe rozszczelnienie układu chłodzenia w celu obniżenia ciśnienia w reaktorze jest wymagane przez niektóre procedury użycia czynnego niskociśnieniowego układu awaryjnego chłodzenia reaktora (CNUACR), w przypadku, gdy nie działa czynny wysokociśnieniowy UACR (CWUACR).

Rozszczelnienie przypadkowe rozważane jest szczególnie w reaktorach ciśnieniowych, gdyż w reaktorach wrzących obecnych jest wiele zaworów zwrotnych i upustowych, z których każdy wystarczy do obniżenia ciśnienia. W reaktorach ciśnieniowych za możliwą przyczynę rozszczelnienia jest naturalny przepływ między górną komorą mieszania zbiornika reaktora a rdzeniem, które może doprowadzić do nadmiernego rozgrzania się wylotu pierwotnego obiegu chłodzenia.

Zalanie osłony biologicznej

W przypadku stopienie się rdzenia i zaistnienia możliwości uszkodzenia zbiornika ciśnieniowego rozważa się zalanie osłony biologicznej lub osłony biologicznej reaktora. Metoda taka może być też rozważna w przypadku, gdy wpuszczenie wody do rdzenia mogłoby spowodować wytwarzanie się znacznych ilości pary wodnej czy wodoru. Operacja taka jest jednak zależna ściśle od konstrukcji danego reaktora i wymaga każdorazowej oceny. Generalnie, uznaje się, że współczesne reaktory nie są konstrukcyjnie przygotowane na taką operację. Zalanie osłony wymagałoby bowiem takiego poziomu cieczy, że gazy w zbiorniku reaktora uległyby takiej kompresji, że trzeba by zbiornik wentylować, co oznacza emisję radioaktywnych gazów z budynku reaktora. Zalanie wymaga też bezpośredniego kontaktu wody ze zbiornikiem ciśnieniowym. Ograniczeniom podlega też ciepło powyłączeniowe emitowane przez reaktor, do 1 MW/m³. Konstrukcja osłony biologicznej i usytuowanie zbiornika ciśnieniowego w niej musi pozwalać na efektywne zakrycie dna zbiornika wodą. Jest to możliwe, np. w reaktorach PWR/WWR (EJ Loviisa, EJ Zion), ale już nie w reaktorach BWR Mark I, jak użyte w EJ Peach Bottom, z uwagi na małą objętość osłony i wysokie usytuowanie zbiornika.

Projektowy przebieg awarii

Zachowanie się zbiornika reaktora w przypadku stopienia rdzenia jest cały czas przedmiotem badań i eksperymentów.

We współczesnych rosyjskich reaktorach jądrowych na dnie budynku obudowy reaktora znajduje się miejsce przygotowane na przechwycenie stopionego rdzenia, który mógłby wydostać się z uszkodzonego zbiornika ciśnieniowego. Miejsce to pokryte jest warstwą metalu, które w przypadku upadku nań rdzenia roztopi się i zmiesza z elementami rdzenia, zwiększając jego przewodnictwo cieplne i umożliwiając schłodzenie przez cyrkulację wody po podłodze takiego pomieszczenia. Pełnowymiarowe próby działania takiego układu nigdy nie miały miejsca. Podobnie skonstruowany „chwytacz rdzenia” stosowany jest w reaktorach EPR.

Innym, powszechniejszym rozwiązaniem, jest hermetyczna osłona bezpieczeństwa. Ma ona za zadanie ograniczyć oddziaływanie promieniowania jonizującego do granicy budynku reaktora. Wewnątrz osłon panuje podciśnienie a kontrolowane uwalnianie zgromadzonych par odbywa się za pośrednictwem filtrów. Obudowy zawierają też rekombinatory wodoru i tlenu, aby zapobiegać nagromadzeniu się wodoru w ilości mogącej wywołać detonację.

W przypadku stopienia rdzenia spłynie on do przestrzeni pod reaktorem. Mimo, że przestrzeń ta zaprojektowana jest tak, aby pozostała sucha, kilka wytycznych urzędów dozoru jądrowego zaleca operatorom zalanie jej wodą w przypadku topnienia rdzenia. Uwolni to pewne ilości pary wodnej, które zgromadzą się pod osłoną bezpieczeństwa. Uruchomi to automatyczne spryskiwacze zamontowane pod osłoną, które skroplą pary i obniżą ciśnienie wywierane na osłonę. Rekombinatory zapobiegną zgromadzeniu się nadmiernej ilości wodoru. Zalanie przestrzeni wodą spowoduje schłodzenie stopionego rdzenia i jego zastygnięcie.

Procedury te mają za zadanie zapobiec emisji promieniowania jonizującego. W przypadku awarii TMI-2 w 1979 roku hipotetyczna osoba stojąca na skraju terenu elektrowni w trakcie trwania całej awarii otrzymała by dawkę około 2 mSv, czyli w przybliżeniu tyle co przy prześwietleniu klatki piersiowej. Dawkę tę otrzymałaby drogą oddechową na skutek emisji par zawierających izotopy promieniotwórcze, które wówczas wydostawały się przechodząc przez filtry węglowe i HEPA. Szacuje się, że zatrzymały one od 49% do 75% jodku metylu i ok. 99,9% jodu molekularnego (J2). Łączna wydajność filtrowania jodu szacowana była na 9,5, tj. zredukowało ono emisję radioaktywnego jodu ze 112 Ci do 13 kiurów, w trakcie trwania awarii.

Następnie reaktor musi wypromieniować swoją energię cieplną, podobnie ściany i inne elementy bloku reaktora. Po około dziesięciu latach, gdy reaktor wystygnie w sensie rozpadu krótkożyjących izotopów promieniotwórczych, można przystąpić do otwarcia obudowy bezpieczeństwa i ew. rozbiórki bloku.

Hipotetyczne przebiegi awarii

Jednym z hipotetycznych rozważanych scenariuszy awarii jest nagły upadek całego rdzenia reaktora w ciecz chłodzącą lub moderującą, z jednoczesną generacją ogromnej ilości pary. Dochodzi o uszkodzenia zbiornika ciśnieniowego i pary przedostają się do obudowy reaktora. Jeśli znajdują się tam substancje palne, to mogą ulec zapłonowi.

Widoczne zniszczenia w elektrowni atomowej w Fukushimie, w tym skutki eksplozji wodoru w hali roboczej

Innym teoretycznym przypadkiem jest „awaria alfa”, rozważana w 1975 przez Rasmussena w studium WASH-1400. W awarii takiej ilość wytworzonej pary jest tak duża, że dochodzi do odstrzelenia górnej pokrywy zbiornika reaktora. Jeśli uderzyłaby w sklepienie obudowy bezpieczeństwa, mogłaby ją naruszyć. Studium WASH-1400 zostało później zastąpione przez nowsze lub lepiej udokumentowane raporty, a w 2011 amerykański urząd dozoru jądrowego, NRC, zapowiedział opublikowanie nadrzędnego dokumentu dotyczącego tej problematyki: State-of-the-Art Reactor Consequence Analyses (SOARCA).

W jeszcze innym scenariuszu przewiduje się gromadzenie wodoru pod osłoną bezpieczeństwa, która w końcu prowadzi do detonacji. Od lat 80. XX wieku obudowy wyposaża się w katalityczne rekombinatory wodoru, które mają zapobiegać takiemu zdarzeniu. W 1979 doszło do takiej eksplozji w trakcie awarii w Three Mile Island. W trakcie awarii wydzieliło się około 400 kilogramów wodoru, w tym około połowy w wyniku ponownego zalania rdzenia wodą, który uległ deflagracji około 10 godzin po nastąpieniu awarii. Wybuch spowodował powstanie fali ciśnienia o szczytowej wartości 190 kPa, co było poniżej połowy projektowej wytrzymałości obudowy bezpieczeństwa (414 kPa). Obudowa zniosła więc siłę eksplozji, zachowała szczelność i nie wydostały się przez nią produkty rozpadu promieniotwórczego. Stężenie wodoru oceniane było na 7,3-7,9%. Eksplozje takie miały też miejsce w czasie awarii EJ Fukushima I, ale tam doszło do nich poza zbiornikami reaktora – w hali roboczej na szczycie obudowy bezpieczeństwa.

Jednakże niektórzy inżynierowie nadal rozpatrują detonację wodoru jako możliwej drogi uszkodzenia obudowy bezpieczeństwa.

Reaktory innych typów

Każdy rodzaj reaktora może zachowywać się inaczej w sytuacji zaistnienia awarii ze stopieniem rdzenia i wykorzystywać inne środki bezpieczeństwa, aby jej zapobiegać lub ograniczać jej skutki. Współczesne implementacje większości z nich są uważane za bezpieczne w stopniu podobnym do reaktorów PWR.

CANDU

Kanadyjskie reaktory ciężkowodne CANDU są budowane wraz z jednym lub dwoma zasobnikami wody w pobliżu kanałów paliwowych i chłodzących. Pierwszym jest duży zbiornik zawierający moderującą ciężką wodę (osobny od układów chłodzenia). Drugim jest zbiornik osłonowy zawierający wodę lekką. Ilość wody moderującej jest wystarczająca do zapobiegnięcia stopienia rdzenia. Woda ze zbiornika może zostać użyta w wypadku wyparowania wody moderującej. W reaktorach CANDU bardziej prawdopodobne są inne uszkodzenia paliwa niż jego stopienie, np. deformacja kalandrii. Wszystkie reaktory CANDU budowane są z osłoną bezpieczeństwa.

Reaktory chłodzone gazem

Reaktory typu AGCR są bardzo mało podatne na awarie z utratą chłodziwa lub z uszkodzeniem reaktora, prócz ekstremalnych okoliczności. Z uwagi na właściwości chłodziwa (dwutlenek węgla), jego dużą ilość i wysokie ciśnienie, transfer ciepła z reaktora odznacza się wysoką wydajnością. W przypadku ograniczonej awarii, czas od jej wystąpienia do uszkodzenia rdzenia liczony jest w dniach. Przywrócenie chociaż częściowego działania układów chłodzenia powinno zapobiec uszkodzeniu rdzenia.

Inne wysokozaawansowane reaktory chłodzone gazem, nazywane reaktorami wysokotemperaturowymi, jak japoński High Temperature Test Reactor czy amerykański Very High Temperature Reactor, są odporne na stopienie rdzenia ad hoc, gdyż stopienie rdzenia nie może w nich fizycznie nastąpić. Rdzenie takich reaktorów składają się z heksagonalnych graniastosłupów z grafitu wzmacnianego węglikiem krzemu i zawierających paliwo jądrowe (TRISO, QUADRISO, MOX, uran, tor). Rdzeń umieszczony jest w wypełnionym helem zbiorniku ciśnieniowym, pod ziemią, w obudowie bezpieczeństwa. Ponieważ do stopienia rdzenia nie może dojść, dodatkowe możliwości usuwania ciepła z rdzenia zapewnia wentylowanie powietrzem, z użyciem konwekcji i wymiennika ciepła.

Podobnie niewrażliwe na stopienie rdzenia był zachodnioniemiecki reaktor AVR, południowoafrykański reaktor PBMR, czy projektowany chiński reaktor HTR-10.

Reaktory eksperymentalne i koncepcyjne

PIUS (Process inherent ultimate safety) – szwedzki projekt reaktora lekkowodnego z lat 70. XX wieku, wewnętrznie odporny na uszkodzenia rdzenia. Nigdy nie zbudowany.

Reaktory typu TRIGA – zaprojektowane i zbudowane przez amerykańską firmę General Atomics, używane w wielu ośrodkach akademickich i medycznych. Wewnętrznie odporny i niewrażliwy na uszkodzenia rdzenia. Jego budowa celowo umożliwia impulsową pracę powyżej mocy nominalnej w celu produkcji wiązek neutronów. Po wygenerowaniu impulsu reaktor samoczynnie wraca do równowagi neutronowej. Uszkodzenie rdzenia jest fizycznie niemożliwe, a przegrzanie reaktora powoduje wyłączenie na poziomie molekularnym i zaprzestanie generowania energii cieplnej. Na tej technologii oparto projekt mobilnego reaktora Deployable Electrical Energy Reactor i małego reaktora TRIGA Power System.

Hydrogen Moderated Self-regulating Nuclear Power Module – reaktor używający wodorku uranu jako moderatora i paliwa. Podobny we właściwościach chemicznych i bezpieczeństwa do TRIGA.

LFTR (liquid fluoride thermal reactor) – reaktory, w których roztopiony rdzeń jest normalnym stanem pracy. Stanowią go eutektyczna mieszanina ciekłych soli fluoru i toru. Stan roztopiony jest dla niego normalnym i bezpiecznym, nie może być więc mechanicznie uszkodzony. W przypadku przegrzania następuje roztopienie metalowej blokady odpływu, co powoduje spłynięcie rdzenia do zbiorników. Tam, w stanie niekrytycznym, ulegają schłodzeniu.

Zaawansowane reaktory chłodzone ciekłym metalem, jak amerykański Integral Fast Reactor, rosyjskie BN-350, BN-600, czy BN-800, wszystkie wykorzystują wysokowydajne chłodziwo w postaci ciekłego sodu. Mogą więc sprostać awarii z utratą chłodzenia lub chłodziwa, bez wykonania awaryjnego wyłączenia (SCRAM), co kwalifikuje je jako wewnętrzne bezpieczne.