La seguridad nuclear pasiva es un enfoque de diseño para las características de seguridad, implementadas en un reactor nuclear , que no requieren ninguna intervención activa por parte del operador o retroalimentación eléctrica/electrónica para llevar al reactor a un estado de apagado seguro, en caso de un tipo particular de emergencia (generalmente sobrecalentamiento resultante de una pérdida de refrigerante o pérdida de flujo de refrigerante). Tales características de diseño tienden a depender de la ingeniería de componentes de modo que su comportamiento previsto ralentizaría, en lugar de acelerar, el deterioro del estado del reactor; típicamente aprovechan fuerzas naturales o fenómenos como la gravedad, la flotabilidad, las diferencias de presión, la conducción o la convección natural de calor para cumplir funciones de seguridad sin requerir una fuente de energía activa. [1] Muchos diseños de reactores comunes más antiguos utilizan sistemas de seguridad pasiva en una medida limitada, confiando más bien en sistemas de seguridad activa como motores diésel. Algunos diseños de reactores más nuevos presentan más sistemas pasivos; la motivación es que son altamente confiables y reducen el costo asociado con la instalación y el mantenimiento de sistemas que de otro modo requerirían múltiples trenes de equipos y fuentes de alimentación de clase de seguridad redundantes para lograr el mismo nivel de confiabilidad. Sin embargo, las fuerzas impulsoras débiles que impulsan muchas funciones de seguridad pasiva pueden plantear desafíos importantes para la eficacia de un sistema pasivo, particularmente en el corto plazo después de un accidente.
La "seguridad pasiva" describe cualquier mecanismo de seguridad cuya activación requiere poca o ninguna energía externa o control humano. Los diseños de reactores modernos se han centrado en aumentar la cantidad de sistemas pasivos para mitigar el riesgo de errores humanos.
A pesar de la mayor seguridad asociada a una mayor cobertura de los sistemas pasivos, todos los reactores nucleares actuales a gran escala requieren tanto sistemas externos (activos) como internos (pasivos). No existen reactores "pasivamente seguros", sólo sistemas y componentes. Los sistemas de seguridad se utilizan para mantener el control de la planta si esta sale de las condiciones normales en caso de incidentes operativos previstos o accidentes, mientras que los sistemas de control se utilizan para operar la planta en condiciones normales. A veces, un sistema combina ambas características. La seguridad pasiva se refiere a los componentes del sistema de seguridad, mientras que la seguridad inherente se refiere al proceso del sistema de control independientemente de la presencia o ausencia de subsistemas específicos de seguridad.
Un ejemplo de un sistema de seguridad con componentes de seguridad pasiva es el recipiente de contención de un reactor nuclear. Las paredes de hormigón y el revestimiento de acero del recipiente presentan seguridad pasiva, pero requieren sistemas activos (válvulas, circuitos de retroalimentación, instrumentación externa, circuitos de control, etc.) que requieren energía externa y operación humana para funcionar.
El Organismo Internacional de Energía Atómica (OIEA) clasifica el grado de “seguridad pasiva” de los componentes de la categoría A a la D en función de lo que el sistema no utiliza: [2]
En la categoría A (1+2+3+4) se encuentra la vaina de combustible, la capa exterior protectora y no reactiva de la pastilla de combustible, que no utiliza ninguna de las características anteriores: siempre está cerrada y mantiene el combustible y los productos de fisión en su interior y no se abre antes de llegar a la planta de reprocesamiento. En la categoría B (2+3+4) se encuentra la línea de sobrepresión, que conecta la pata caliente con el presurizador y ayuda a controlar la presión en el circuito primario de un reactor de agua a presión y utiliza un fluido de trabajo en movimiento cuando cumple su misión. En la categoría C (3+4) se encuentra el acumulador, que no necesita entrada de señal de "inteligencia" o energía externa. Una vez que la presión en el circuito primario cae por debajo del punto de ajuste de las válvulas del acumulador accionadas por resorte, las válvulas se abren y se inyecta agua en el circuito primario mediante nitrógeno comprimido. En la categoría D (sólo 4) se encuentra el SCRAM , que utiliza fluidos de trabajo en movimiento, partes mecánicas móviles y entradas de señales de "inteligencia", pero no energía o fuerzas externas: las barras de control caen impulsadas por la gravedad una vez que se han liberado de su abrazadera magnética. Pero la ingeniería de seguridad nuclear nunca es tan simple: una vez liberada, la barra puede no cumplir su misión: puede atascarse debido a condiciones de terremoto o debido a estructuras del núcleo deformadas. Esto demuestra que, aunque es un sistema pasivo seguro y ha sido activado correctamente, puede no cumplir su misión. Los ingenieros nucleares han tenido esto en cuenta: por lo general, solo una parte de las barras caídas son necesarias para apagar el reactor. Se pueden encontrar muestras de sistemas de seguridad con componentes de seguridad pasiva en casi todas las centrales nucleares: la contención, los hidroacumuladores en los reactores de agua a presión o los sistemas de supresión de presión en los reactores de agua a presión .
En la mayoría de los textos sobre componentes "pasivamente seguros" en los reactores de próxima generación, la cuestión clave es que no se necesitan bombas para cumplir la misión de un sistema de seguridad y que todos los componentes activos (generalmente I&C y válvulas) de los sistemas funcionan con la energía eléctrica de las baterías.
El OIEA utiliza explícitamente la siguiente advertencia: [2]
... la pasividad no es sinónimo de fiabilidad ni disponibilidad, y menos aún de la suficiencia garantizada de la característica de seguridad, aunque varios factores potencialmente adversos al rendimiento pueden contrarrestarse más fácilmente mediante un diseño pasivo (percepción pública). Por otra parte, los diseños activos que emplean controles variables permiten un cumplimiento mucho más preciso de las funciones de seguridad; esto puede ser especialmente deseable en condiciones de gestión de accidentes.
Las propiedades de respuesta de los reactores nucleares, como el coeficiente de reactividad de temperatura y el coeficiente de reactividad de vacío, suelen referirse a la respuesta termodinámica y de cambio de fase del proceso de transferencia de calor del moderador de neutrones , respectivamente. Se dice que los reactores cuyo proceso de transferencia de calor tiene la propiedad operativa de un coeficiente de reactividad de vacío negativo poseen una característica de proceso de seguridad inherente . Un modo de falla operativa podría alterar potencialmente el proceso y hacer que dicho reactor sea inseguro.
Los reactores podrían estar equipados con un componente de sistema de seguridad hidráulica que aumenta la presión de entrada del refrigerante (especialmente agua) en respuesta al aumento de la presión de salida del moderador y del refrigerante sin la intervención del sistema de control. Dichos reactores se describirían como equipados con un componente de seguridad pasiva que podría, si así se diseñara, generar en un reactor un coeficiente de reactividad de vacío negativo, independientemente de la propiedad operativa del reactor en el que esté instalado. La característica solo funcionaría si respondiera más rápido que un vacío emergente (vapor) y los componentes del reactor pudieran soportar la mayor presión del refrigerante. Un reactor equipado con ambas características de seguridad, si se diseña para interactuar de manera constructiva, es un ejemplo de un enclavamiento de seguridad . Los modos de falla operativa más raros podrían hacer que ambas características de seguridad fueran inútiles y restar valor a la seguridad relativa general del reactor.
Los sistemas de seguridad de los reactores tradicionales son activos en el sentido de que implican la operación eléctrica o mecánica de los sistemas de mando (por ejemplo, bombas de agua a alta presión). Pero algunos sistemas de reactores diseñados funcionan de forma totalmente pasiva, por ejemplo, utilizando válvulas de alivio de presión para gestionar la sobrepresión. Todavía se requieren sistemas redundantes en paralelo. La seguridad inherente y pasiva combinada depende únicamente de fenómenos físicos como los diferenciales de presión, la convección, la gravedad o la respuesta natural de los materiales a las altas temperaturas para ralentizar o detener la reacción, no del funcionamiento de componentes diseñados como las bombas de agua a alta presión.
Los reactores de agua a presión y de agua en ebullición actuales son sistemas que se han diseñado con un tipo de característica de seguridad pasiva. En caso de una condición de potencia excesiva, a medida que el agua en el núcleo del reactor nuclear hierve, se forman bolsas de vapor . Estos huecos de vapor moderan menos neutrones , lo que hace que el nivel de potencia dentro del reactor disminuya. Los experimentos con BORAX y el accidente de la fusión del SL-1 demostraron este principio.
Un diseño de reactor cuyo proceso inherentemente seguro proporciona directamente un componente de seguridad pasiva durante una condición de falla específica en todos los modos operativos se describe típicamente como relativamente a prueba de fallas para esa condición de falla. [2] Sin embargo, la mayoría de los reactores actuales enfriados y moderados por agua, cuando se apagan , no pueden eliminar la producción residual y el calor de decaimiento sin la transferencia de calor de proceso o el sistema de enfriamiento activo. En otras palabras, mientras que el proceso de transferencia de calor inherentemente seguro proporciona un componente de seguridad pasiva que evita el calor excesivo mientras el reactor está en funcionamiento, el mismo proceso de transferencia de calor inherentemente seguro no proporciona un componente de seguridad pasiva si el reactor se apaga (SCRAMed). El accidente de Three Mile Island expuso esta deficiencia de diseño: el reactor y el generador de vapor se apagaron pero, con la pérdida de refrigerante, aún sufrieron una fusión parcial. [3]
Los diseños de tercera generación mejoran los diseños anteriores al incorporar características de seguridad pasivas o inherentes [4] que no requieren controles activos ni intervención operativa (humana) para evitar accidentes en caso de mal funcionamiento, y pueden depender de diferenciales de presión, gravedad, convección natural o la respuesta natural de los materiales a altas temperaturas.
En algunos diseños, el núcleo de un reactor reproductor rápido se sumerge en un charco de metal líquido . Si el reactor se sobrecalienta, la expansión térmica del combustible metálico y del revestimiento hace que más neutrones escapen del núcleo y la reacción nuclear en cadena ya no puede sostenerse. La gran masa de metal líquido también actúa como disipador de calor capaz de absorber el calor de desintegración del núcleo, incluso si fallaran los sistemas de refrigeración normales.
El reactor de lecho de bolas es un ejemplo de un reactor que presenta un proceso inherentemente seguro que también es capaz de proporcionar un componente de seguridad pasiva para todos los modos operativos. A medida que aumenta la temperatura del combustible , el ensanchamiento Doppler aumenta la probabilidad de que los neutrones sean capturados por átomos de U-238 . Esto reduce la posibilidad de que los neutrones sean capturados por átomos de U-235 e inicien la fisión, reduciendo así la potencia de salida del reactor y estableciendo un límite superior inherente a la temperatura del combustible. La geometría y el diseño de las bolas de combustible proporcionan un importante componente de seguridad pasiva.
Los reactores de sales fundidas de fluoruro de fluido único presentan radioisótopos fisionables , fértiles y actínidos en enlaces moleculares con el refrigerante de fluoruro . Los enlaces moleculares proporcionan una característica de seguridad pasiva en el sentido de que un evento de pérdida de refrigerante se corresponde con un evento de pérdida de combustible. El combustible de fluoruro fundido no puede alcanzar por sí mismo la criticidad, sino que solo la alcanza mediante la adición de un reflector de neutrones como el grafito pirolítico . La mayor densidad del combustible [5] junto con el refrigerante de fluoruro FLiBe de menor densidad adicional sin combustible proporciona un componente de seguridad pasiva de capa de flotación en el que el grafito de menor densidad que se desprende de las barras de control o una matriz de inmersión durante una falla mecánica no induce criticidad. El drenaje impulsado por gravedad de los líquidos del reactor proporciona un componente de seguridad pasiva.
Los reactores de piscina de baja potencia , como SLOWPOKE y TRIGA, han sido autorizados para funcionar sin supervisión en entornos de investigación porque, a medida que aumenta la temperatura del combustible de hidruro de aleación de uranio poco enriquecido (19,75 % U-235), el hidrógeno ligado a las moléculas en el combustible hace que el calor se transfiera a los neutrones de fisión a medida que son expulsados. [6] Este desplazamiento Doppler o endurecimiento del espectro [7] disipa el calor del combustible más rápidamente en toda la piscina cuanto más aumenta la temperatura del combustible, lo que garantiza un enfriamiento rápido del combustible mientras se mantiene una temperatura del agua mucho más baja que el combustible. La transferencia de calor de hidrógeno-neutrón rápida, autodispersante y de alta eficiencia en lugar de la transferencia de calor ineficiente de radionúclidos al agua garantiza que el combustible no se pueda fundir por accidente solo. En las variantes de hidruro de aleación de uranio-circonio, el propio combustible también es resistente a la corrosión química, lo que garantiza un rendimiento de seguridad sostenible de las moléculas de combustible durante su vida útil. La gran extensión de agua y el marco de hormigón que rodea la piscina para que los neutrones de alta energía puedan penetrar garantizan un alto grado de seguridad intrínseca del proceso. El núcleo es visible a través de la piscina y las mediciones de verificación se pueden realizar directamente en los elementos de combustible del núcleo, lo que facilita la vigilancia total y proporciona seguridad en materia de no proliferación nuclear. Tanto las propias moléculas de combustible como la extensión abierta de la piscina son componentes de seguridad pasiva. Las implementaciones de calidad de estos diseños son, sin duda, los reactores nucleares más seguros.
La Unidad 2 de Three Mile Island no pudo contener la liberación de unos 480 PBq de gases nobles radiactivos al medio ambiente y la liberación de unos 120 kL de agua de refrigeración contaminada radiactiva más allá del confinamiento hacia un edificio vecino. La válvula de alivio operada por piloto en TMI-2 fue diseñada para cerrarse automáticamente después de aliviar la presión excesiva dentro del reactor en un tanque de extinción. Sin embargo, la válvula falló mecánicamente causando que el tanque de extinción de PORV se llenara y el diafragma de alivio finalmente se rompiera en el edificio de contención. [8] Las bombas de sumidero del edificio de contención bombearon automáticamente el agua contaminada fuera del edificio de contención. [9] Tanto una PORV en funcionamiento con tanque de extinción como por separado el edificio de contención con sumidero proporcionaron dos capas de seguridad pasiva. Una PORV poco fiable anuló su seguridad pasiva diseñada. El diseño de la planta presentaba solo un único indicador de apertura/cierre basado en el estado de su actuador de solenoide, en lugar de un indicador separado de la posición real de la PORV. [10] Esto hizo que la confiabilidad mecánica del PORV fuera indeterminada directamente y, por lo tanto, su estado de seguridad pasiva fuera indeterminado. Las bombas de sumidero automáticas y/o la capacidad insuficiente del sumidero de contención anularon la seguridad pasiva diseñada para el edificio de contención.
Los reactores RBMK , moderados con grafito y refrigerados por agua, que se utilizaron en el desastre de la central nuclear de Chernóbil, fueron diseñados con un coeficiente de vacío positivo y barras de control de boro sobre pinzas electromagnéticas para controlar la velocidad de reacción. En la medida en que los sistemas de control eran fiables, este diseño tenía un grado correspondiente de seguridad inherente activa . El reactor no era seguro a niveles de potencia bajos porque un movimiento erróneo de las barras de control tendría un efecto contraintuitivo y magnificado. El reactor 4 de Chernóbil fue construido con barras de control de boro accionadas manualmente con grúas que estaban recubiertas con la sustancia moderadora, grafito, un reflector de neutrones . Fue diseñado con un sistema de refrigeración de emergencia del núcleo (ECCS) que dependía de la red eléctrica o del generador diésel de reserva para funcionar. El componente de seguridad del ECCS no era, decididamente, pasivo. El diseño incluía una contención parcial que consistía en una losa de hormigón por encima y por debajo del reactor (con tubos y varillas que lo atravesaban), un recipiente metálico lleno de gas inerte para mantener el oxígeno alejado del grafito caliente enfriado por agua, un techo ignífugo y los tubos debajo del recipiente sellados en cajas secundarias llenas de agua. El techo, el recipiente metálico, las losas de hormigón y las cajas de agua son ejemplos de componentes de seguridad pasiva. El techo del complejo de la central eléctrica de Chernóbil estaba hecho de betún (en contra del diseño), lo que lo hacía inflamable. A diferencia del accidente de Three Mile Island , ni las losas de hormigón ni el recipiente metálico podían contener una explosión de hidrógeno impulsada por vapor, grafito y oxígeno . Las cajas de agua no podían soportar una falla de alta presión de las tuberías. Los componentes de seguridad pasiva tal como estaban diseñados eran inadecuados para cumplir con los requisitos de seguridad del sistema.
El ESBWR (reactor de agua en ebullición simplificado y económico, BWR ) de General Electric Company es un diseño que utiliza componentes de seguridad pasiva. En caso de pérdida de refrigerante , no se requiere ninguna acción del operador durante tres días. [11]
El Westinghouse AP1000 ("AP" significa "Advanced Passive") utiliza componentes de seguridad pasiva. En caso de accidente, no se requiere ninguna acción del operador durante 72 horas. [12] Las versiones recientes del VVER ruso han agregado un sistema pasivo de eliminación de calor a los sistemas activos existentes, utilizando un sistema de enfriamiento y tanques de agua construidos sobre la cúpula de contención. [13]
El reactor rápido integral era un reactor reproductor rápido dirigido por el Laboratorio Nacional de Argonne . Era un reactor refrigerado por sodio capaz de soportar una pérdida de flujo (de refrigerante) sin SCRAM y una pérdida de disipador de calor sin SCRAM . Esto se demostró a lo largo de una serie de pruebas de seguridad en las que el reactor se apagó con éxito sin la intervención del operador. El proyecto se canceló debido a preocupaciones por la proliferación antes de que pudiera copiarse en otro lugar.
El experimento del reactor de sal fundida [14] (MSRE) era un reactor de sal fundida dirigido por el Laboratorio Nacional de Oak Ridge . Estaba moderado por grafito nuclear y la sal refrigerante utilizada era FLiBe , que también transportaba el combustible de fluoruro de uranio-233 disuelto en ella. El MSRE tenía un coeficiente de reactividad de temperatura negativo: a medida que aumentaba la temperatura de FLiBe, se expandía, junto con los iones de uranio que transportaba; esta densidad reducida resultó en una reducción del material fisionable en el núcleo, lo que disminuyó la tasa de fisión. Con menos entrada de calor, el resultado neto fue que el reactor se enfriaría. Extendiéndose desde la parte inferior del núcleo del reactor había una tubería que conducía a tanques de drenaje enfriados pasivamente. La tubería tenía una "válvula de congelación" a lo largo de su longitud, en la que la sal fundida se enfriaba activamente hasta formar un tapón sólido mediante un ventilador que soplaba aire sobre la tubería. Si el recipiente del reactor desarrollaba un calor excesivo o perdía energía eléctrica para el enfriamiento por aire, el tapón se derretía; El FLiBe sería extraído del núcleo del reactor por gravedad hacia tanques de descarga, y la criticidad cesaría cuando la sal perdiera contacto con el moderador de grafito.
El diseño del reactor de alta temperatura de General Atomics incluye un sistema de eliminación de calor de desintegración totalmente pasivo e inherentemente seguro, denominado sistema de enfriamiento de la cavidad del reactor (RCCS). En este diseño, una serie de conductos de acero recubren el contenedor de hormigón (y por lo tanto rodean el recipiente de presión del reactor ) que proporcionan una ruta de flujo para la circulación natural impulsada por aire desde chimeneas ubicadas por encima del nivel del suelo. Los derivados de este concepto RCCS (con aire o agua como fluido de trabajo) también se han utilizado en otros diseños de reactores enfriados por gas, incluido el reactor de prueba de ingeniería de alta temperatura japonés , el HTR-10 chino, el PBMR sudafricano y el GT-MHR ruso . Si bien ninguno de estos diseños se ha comercializado para la generación de energía, la investigación en estas áreas está activa, específicamente en apoyo de la iniciativa Generación IV y los programas NGNP , con instalaciones experimentales en el Laboratorio Nacional de Argonne (sede de la Instalación de Prueba de Eliminación de Calor por Apagado por Convección Natural, un RCCS enfriado por aire de escala 1/2) [15] y la Universidad de Wisconsin (sede de RCCS enfriados por aire y agua de escala 1/4 por separado). [16] [17]
{{cite web}}: Mantenimiento de CS1: ubicación ( enlace )