2. Odporność EJ na awarie projektowe

Elektrownie jądrowe budowane w krajach zachodnich od początku rozwoju energetyki jądrowej były projektowane tak, by skutki awarii uważanych za możliwe, choćby i bardzo mało prawdopodobne, nie wykraczały poza poziom uważany za dopuszczalny. Służyły temu liczne i niezawodne zabezpieczenia, w dużej mierze oparte na zjawiskach naturalnych takich jak siła ciężkości, układy bezpieczeństwa z trzema lub czterema podsystemami zapewniającymi wzajemne rezerwowanie, duże zapasy bezpieczeństwa przyjmowane w projekcie i wiele innych środków projektowych i organizacyjnych opisanych w artykule „Ochrona przed zagrożeniami po awariach w elektrowniach jądrowych" opublikowanym we wrześniowym Biuletynie PSE [1]. Jako zasadę w odniesieniu do awarii projektowych przyjmowano, że układy bezpieczeństwa EJ muszą wystarczyć do opanowania awarii w dowolnym elemencie EJ nawet, jeśli awaria ta wystąpi w najbardziej niewygodnym dla operatora elemencie i najbardziej niesprzyjającym stanie EJ, a towarzyszyć jej będzie pojedyncze uszkodzenie, które może wystąpić w dowolnym systemie elektrowni, również takim, który przeznaczony jest do opanowania tej właśnie awarii.

Dla takich założeń projektant elektrowni musiał opracować scenariusz przebiegu awarii, przyjmując najbardziej niekorzystne założenia, np. że wskutek awarii nastąpi utrata zasilania elektrycznego z sieci zewnętrznej (niezależnie od dodatkowego pojedynczego uszkodzenia postulowanego w dowolnym układzie EJ) i udowodnić, że istniejące w EJ układy bezpieczeństwa wystarczą, by zapewnić wyłączenie elektrowni, jej wychłodzenie i powstrzymanie uwolnień substancji promieniotwórczych.

A dowód taki nie był wcale łatwy, bo przeciw projektantowi występowali specjaliści Dozoru Jądrowego, których głównym zadaniem i powodem do chwały było znalezienie słabych punktów w rozumowaniu projektanta i zmuszenie go do dodatkowych środków ostrożności. Taka procedura poprzedzająca wydanie licencji na budowę EJ trwała zwykle 3-4 lata i wymagała intensywnej pracy wielu specjalistów. I nic dziwnego, że specjaliści dozoru wymagali wiele od projektanta - według np. przepisów amerykańskich musieli oni w chwili akceptacji projektu podpisać oświadczenie, w którym wyraźnie stwierdzali, że sprawdzili wszystkie cechy bezpieczeństwa projektu (specjalnie omówione w wymaganiach dozoru) i że są w pełni przekonani, że przedstawiony projekt spełnia wszystkie postawione przez dozór wymagania.

Poza specjalistami dozoru, bezpieczeństwo EJ kwestionowali też eksperci wynajmowani przez organizacje antynuklearne, które korzystając z dotacji państwowych na ten cel prowadziły długie procesy sądowe przeciw budowie EJ. Pełna jawność projektu i subwencje rządu dla „prostych obywateli" walczących z "potężnymi organizacjami przemysłu nuklearnego" ułatwiały krytykę rozwiązań przyjmowanych w EJ i często opóźniały budowę elektrowni, ale też służyły jako środki kontroli projektantów, stale wystawionych na możliwą krytykę społeczną.

Chociaż budowa EJ jest skomplikowana, podstawowy warunek bezpieczeństwa jest bardzo prosty: Póki paliwo jądrowe pozostaje dobrze chłodzone wodą, póty wszelkie zakłócenia w pracy EJ powodują znikome skutki dla środowiska i człowieka. Dzieje się tak dlatego, że ogromna większość produktów rozszczepienia znajduje się w pastylkach paliwowych i tylko przegrzanie paliwa i przetopienie jego koszulki może spowodować ich znaczące uwolnienie poza elementy paliwowe. Ucieczka chłodziwa z reaktora, choć powoduje spektakularny wypływ pary, nie stwarza jeszcze poważnego zagrożenia, jeśli paliwo pozostaje dobrze chłodzone i pokryte wodą. Dlatego w przypadku awarii trzeba zrealizować trzy podstawowe zalecenia:

•    Wyłączyć reaktor (by zmniejszyć intensywność grzania paliwa)
•    Utrzymać paliwo pod wodą (do tego służą układy awaryjnego zalewania rdzenia)
•    Uchronić obudowę bezpieczeństwa przed utratą szczelności (by nie dopuścić do ucieczki produktów rozszczepienia).

Trudność polega na tym, że te stosunkowo proste wymagania muszą być spełnione we wszystkich warunkach awaryjnych, nawet bardzo mało prawdopodobnych.

Jak wspomnieliśmy w artykule na temat ochrony przed zagrożeniami po awariach w EJ [1] reaktory PWR samoczynnie zmniejszają moc przy zaburzeniach chłodzenia, a do wyłączenia reaktora wykorzystujemy siłę ciężkości, tak że pręty bezpieczeństwa zawieszone nad rdzeniem zawsze spadają w dół. Zapewnia to niezawodne wyłączanie reaktora w razie awarii. Dlatego za najtrudniejsze zadanie układów bezpieczeństwa uważa się utrzymanie rdzenia reaktora pod wodą. Głównym zagrożeniem jest rozerwanie obiegu pierwotnego, po którym woda pod ciśnieniem wypływa gwałtownie z reaktora. Powoduje to spadek ciśnienia w obiegu i przemianę wody w parę. Wobec tego, że para odbiera ciepło od paliwa znacznie gorzej niż woda, temperatura paliwa rośnie i jeśli do rdzenia nie dostarczymy wody, może nastąpić przegrzanie paliwa i wydzielenie zeń produktów rozszczepienia.

Obieg pierwotny chłodzenia reaktora projektowany jest więc z dużym zapasem bezpieczeństwa, tak by nie groziło mu uszkodzenie ani w przypadku gwałtownych zmian temperatur chłodziwa, ani wskutek wstrząsów sejsmicznych i innych możliwych obciążeń. Wszystkie możliwe stany pracy analizuje się starannie i dobiera się wytrzymałość rurociągów, zaworów i innych elementów zgodnie z najwyższymi wymaganiami stawianymi przez przepisy takie jak np. kod ASME dla zbiorników i rurociągów jądrowych. Zapewnia to bardzo wysoką niezawodność i trwałość obiegu pierwotnego.

Dodatkowym elementem bezpieczeństwa jest fakt, że zwykle przed rozerwaniem rurociągu występuje w nim niewielkie pęknięcie, przez które zaczyna wyciekać woda pod ciśnieniem. Jeśli operator wykryje taki przeciek dostatecznie wcześnie, to może wyłączyć reaktor, obniżyć ciśnienie w obiegu pierwotnym a po wystudzeniu reaktora dokonać potrzebnych napraw. Zapobiega to niebezpieczeństwu awarii i pozbawienia reaktora chłodziwa w czasie, gdy jeszcze generuje on duże ilości ciepła. Dlatego we współczesnej praktyce energetyki jądrowej wprowadzono koncepcję „przecieku przed rozerwaniem", (Leak before Break -LBB), która wymaga wprawdzie zainstalowania i utrzymywania w pracy dwóch lub trzech czułych i dokładnych układów wykrywania przecieków, ale znakomicie obniża potencjalną częstość rozerwania rurociągów.

Dane statystyczne zbierane w elektrowniach jądrowych wskazują, że małe przecieki o powierzchni wypływu wody rzędu kilku mm mogą zdarzać się dość często, około raz na 10 lat pracy reaktora. Nie stanowią one zagrożenia, bo układ napełniania obiegu pierwotnego może bez trudu uzupełniać stan wody w obiegu, ale dają wskazówkę, że należy podjąć działania zaradcze. Większe przecieki są rzadsze, np. przecieki przez uszczelnienia pomp obiegu pierwotnego występują raz na 20-200 lat, rozerwanie rurki wymiany ciepła w wytwornicy pary raz na 100-1000 lat, a małe przecieki, których już nie może pokryć układ uzupełniania obiegu pierwotnego występują około raz na 1000 lat. Duże rozerwanie rurociągu może zdarzyć się raz na około 1000-10 000 lat, ale jeśli w reaktorze wprowadzone są układy wykrywania przecieku przed rozerwaniem, to częstość dużych rozerwań obiegu pierwotnego spada około 100 razy, do raz na milion lat pracy reaktora.

Elektrownie jądrowe budowane w krajach OECD były projektowane tak, by nie było znaczących zagrożeń zdrowotnych ani potrzeby ewakuacji ludności dla wszystkich awarii, które mogły zdarzyć się częściej niż raz na 10 000 lat. Dotychczasowe doświadczenie, które obejmuje ponad 10 000 reaktoro-lat pracy reaktorów energetycznych typu PWR, BWR i im podobnych, a tylko jedną awarię z uszkodzeniem rdzenia w EJ TMI potwierdza, że cel postawiony przed energetyką jądrową [3] został osiągnięty już przez obecnie pracujące reaktory. Co więcej, nie każda awaria ze stopieniem rdzenia powoduje duże uwolnienia produktów radioaktywnych poza elektrownię. Przeciwnie, obudowa bezpieczeństwa zapewnia że uwolnienia te mogą wystąpić dużo rzadziej, raz na 100 000 lub raz na milion lat.

Stwierdzenie, że awarie projektowe obejmują awarie występujące tak rzadko jak raz na milion lat może nie być wystarczające, by uzmysłowić Czytelnikowi, jak daleko idzie przemysł jądrowy w swych rozważaniach. Dla porównania przypomnijmy, że według statystyk wypadków śmiertelnych działania, które mogą spowodować zgon człowieka raz na milion razy to np. jazda samochodem przez 65 km lub przelot samolotem na odległość 2000 km. Czy boimy się jazdy samochodem tam i z powrotem do znajomych mieszkających w odległości 30km?

Takie samo zagrożenie związane jest z możliwością śmierci wskutek uderzenia piorunu w ciągu 10 lat. Są to wypadki bardzo mało prawdopodobne, tak że nie uwzględniamy ich w naszych codziennych planach. Mieszkanie przez całe życie tuż obok EJ wiąże się z mniejszym zagrożeniem życia niż uderzenie piorunu. Czy warto więc obawiać się jej awarii?

3. Skutki awarii projektowych

W energetyce jądrowej wprowadzono zasadę, że w przypadku normalnej eksploatacji i zdarzeń oczekiwanych przy normalnej eksploatacji dawki promieniowania otrzymane przez człowieka mieszkającego na granicy elektrowni muszą być bardzo małe, przy awariach zdarzających się rzadko mogą być wyższe, a przy awariach bardzo rzadkich mogą sięgać granic uznanych za dopuszczalne i określonych w przepisach. Całą gamę takich różnych awarii analizuje się w projekcie i określa się je jako awarie projektowe, to jest takie dla których projekt reaktora zapewnia wymagany stopień bezpieczeństwa. W Tabl. 1 pokazano nie tylko oczekiwaną częstość różnych kategorii awarii, ale i wielkość granicznych dawek promieniowania uznanych za dopuszczalne przy tych awariach. Jak widać, istnieje gradacja skutków dopuszczalnych, o wielkości uzależnionej od częstości awarii.

4. Skutki awarii poza projektowych

Stopienie rdzenia zdarzyło się już raz w historii reaktorów wodnych. Było to w czasie awarii w Three Mile Island (TMI), gdzie wprawdzie zasilanie elektryczne było zapewnione, ale błędne decyzje operatorów spowodowały wyłączenie układów awaryjnego chłodzenia rdzenia i stopienie paliwa.

Ale, choć w następstwie tych błędnych decyzji rdzeń i reaktor zostały uszkodzone tak, że naprawa elektrowni nie była później możliwa, to jednak zbiornik ciśnieniowy reaktora pozostał szczelny, a obudowa bezpieczeństwa zatrzymała produkty rozszczepienia tak skutecznie, że dawki promieniowania poza elektrownią były pomijalnie małe. Nikt nie stracił ani życia, ani zdrowia wskutek awarii w TMI [5]. Pokazało to, że już dawniej zbudowane elektrownie posiadają rezerwy bezpieczeństwa pozwalające im na ograniczenie skutków awarii poza projektowych ze stopieniem rdzenia. Jednocześnie awaria w TMI pokazała, że błędy ludzkie są możliwe, a w warunkach awaryjnych szybkie zrozumienie zachodzących procesów awaryjnych może być trudne i prowadzić do fatalnych błędów.

Rozpoczęto więc analizy by sprawdzić, czy możliwe jest stworzenie procedur postępowania chroniących operatora przed popełnianiem błędów. Jednocześnie do projektowanych, a także do istniejących reaktorów wprowadzano dodatkowe zabezpieczenia by utrzymać uwolnienia radioaktywności pod kontrolą nawet przy najcięższych możliwych awariach hipotetycznych.

Prace te trwały przez wiele lat i odporność EJ na awarie poza projektowe stopniowo rosła. W końcu XX wieku w praktyce krajów Unii Europejskiej przyjęto, że cechy i układy bezpieczeństwa EJ powinny wystarczać nie tylko do opanowania awarii projektowych, ale także poza projektowych, by uniknąć dużych uwolnień materiałów radioaktywnych poza obudowę bezpieczeństwa. Obecnie, po ponad 25 latach od chwili awarii w TMI, istnieją już opracowane w UE i w USA projekty nowoczesnych reaktorów (zwanych reaktorami III generacji), które zapewniają bezpieczeństwo okolicznej ludności nawet w razie ciężkich awarii ze stopieniem rdzenia.

Przepisy określające wymagania bezpieczeństwa na wypadek awarii poza projektowych są różne w różnych krajach. W Finlandii, budującej obecnie dużą elektrownię jądrową EPR o mocy 1500 MWe, Decyzja Rady Państwa [6] stanowi, że wielkością graniczną dla uwolnień substancji promieniotwórczych w przypadku poważnej awarii jest uwolnienie, które nie spowoduje ani ostrych szkód zdrowotnych wśród osób z ogółu ludności w sąsiedztwie EJ ani długotrwałych ograniczeń w wykorzystaniu dużych obszarów gleby i wody. Dla zaspokojenia wymagania dotyczącego skutków długotrwałych, wielkością graniczną dla uwolnień substancji promieniotwórczych jest w przypadku cezu Cs 137 wielkość 100 TBq. Łączny opad promieniotwórczy złożony z substancji innych niż Cs-137 nie może spowodować długoterminowo - po upływie 3 miesięcy od chwili awarii - zagrożenia większego niż wynikałoby z uwolnienia cezu odpowiadającego wymienionej powyżej wielkości granicznej.

Możliwość nie wypełnienia tego wymagania w przypadku poważnej awarii musi być krańcowo mała. Zgodnie z wytycznymi dozoru jądrowego Finlandii oznacza to, że prawdopodobieństwo poważnej awarii powodującej zagrożenie większe niż określone powyżej musi być mniejsze niż 1 na 2 miliony lat eksploatacji reaktora. (5 10-7/(R-R)) [6].

W W. Brytanii jako ciężką awarię przyjmuje się awarię ze stopieniem rdzenia powodującą uwolnienie poza obudowę bezpieczeństwa 200 TBq cezu Cs-137, co odpowiada dawce 100 mSv dla osoby najbardziej narażonej [7] W innych krajach Unii Europejskiej wymagania są podobne, ale określane w różny sposób, głównie poprzez definiowanie dopuszczalnych uwolnień radioaktywności i ich częstości. Dla ujednolicenia tych wymagań Organizacje Techniczne Dozoru Jądrowego (TSO) w UE oraz Towarzystwa Energetyczne UE [8] ustaliły wartości progowe uwolnień tak by osiągnąć następujące cele:

•    W odległości ponad 800 m od reaktora wczesne uwolnienia z obudowy bezpieczeństwa wymagają tylko minimalnych działań interwencyjnych
•    Nie potrzeba długotrwałych działań interwencyjnych, takich jak tymczasowa ewakuacja ludności, w żadnym momencie po awarii w odległości większej niż 3 km od reaktora
•    Nie potrzeba działań długoterminowych obejmujących długotrwałe (ponad rok) przesiedlenie ludności w odległości większej niż 800 m od reaktora.

Czwarty cel wiąże się z ograniczeniem potencjalnych skutków ekonomicznych poważnej awarii. Ograniczenie spożycia żywności i zbiorów powinno być ograniczone co do skali czasowej i terytorialnej. Jest to kryterium związane ze skutkami ekonomicznymi i z akceptacją społeczną energetyki jądrowej, natomiast nie związane z bezpieczeństwem ludzi, bo dla uchronienia ich przed zagrożeniem na drodze pokarmowej wystarcza wdrożenie przepisów państwowych i międzynarodowych oraz norm określających dopuszczalne skażenie produktów żywnościowych.

Wg wymagań energetyki jądrowej, EJ winna spełnić następujące kryteria probabilistyczne:

•Łączna częstość uszkodzeń rdzenia poniżej raz na sto tysięcy lat [8]
•Łączna częstość przekroczenia kryteriów ograniczonego oddziaływania raz na milion lat/rok
•Znacznie mniejsza łączna częstość wcześniejszych lub większych uwolnień awaryjnych.

W uzupełnieniu można dodać, że w Polsce obowiązują wartości poziomów interwencyjnych dla poszczególnych rodzajów działań interwencyjnych [9] na wypadek ciężkich awarii podane w tablicy 2 i zgodne z obecnymi zaleceń MAEA [10].



Warto zwrócić uwagę, że wielkości dawek uzasadniających trwałe przesiedlenie ludności ustalono jako równe 1 Sv w ciągu życia, a więc na poziomie znacznie wyższym niż stosowany przez władze radzieckie po awarii w Czarnobylu. Zapewnia to uniknięcie błędnych decyzji, takich jak przesiedlenie ludności z terenów wokoło Czarnobyla, na których moce dawki były niższe niż w Finlandii, w masywie centralnym Francji i w wielu rejonach świata. Wielkości te zgadzają się z wielkościami dawek podanymi w wytycznych bezpieczeństwa MAEA [10] uzgodnionych przez FAO, ILO, NEA, PAHO i WHO.

5. Jak zabezpiecza się EJ przed uwolnieniami radioaktywności przy ciężkich awariach?

Przy rozpatrywaniu ciężkiej awarii przyjmuje się jako założenie, że wskutek nieprzewidzianych uszkodzeń układów bezpieczeństwa (gdybyśmy mogli je przewidzieć, to byśmy się przed nimi zabezpieczyli!) oraz błędów ludzkich doszło do uszkodzenia i stopienia rdzenia. Dalszy scenariusz zależy od rodzaju awarii, a przy rozpatrywaniu przewidywanego scenariusza uwzględnia się cechy bezpieczeństwa reaktora i rzeczywiste rozwiązania jego układów bezpieczeństwa, a także możliwe działania i błędy operatora. Zasadniczym celem jest ograniczenie rozprzestrzeniania produktów rozszczepienia, po pierwsze przez obronę zbiornika reaktora przed przetopieniem, a po drugie przez obronę szczelności obudowy bezpieczeństwa.

5. Ochrona zbiornika reaktora przed przetopieniem

W czasie awarii w TMI rdzeń uległ stopieniu i spłynął na dno zbiornika, ale nie zdołał przetopić dna zbiornika, zbiornik pozostał szczelny i stopiony materiał rdzenia nie wydostał się do obudowy. Zmniejszyło to znacznie zagrożenie po awarii. Analizy po awarii wykazały, że zbiornik został uratowany dzięki temu, że podczas awarii udało się uruchomić na kilka minut pompy obiegu pierwotnego, które wprowadziły do zbiornika kilkanaście metrów sześciennych wody. Chociaż następnie pompy zostały wyłączone, wystarczyło to do uchronienia dna zbiornika przed przetopieniem. Obecnie stosowana strategia obrony w razie poważnej awarii w pierwszym etapie zmierza do jak najszybszego obniżenia ciśnienia wewnątrz zbiornika, by umożliwić dostarczenie doń wody z różnych źródeł, również i tych, w których woda znajduje się pod niskim ciśnieniem. Jeśli się to powiedzie, szczelność zbiornika będzie uratowana.

Gdyby jednak po obniżeniu ciśnienia zbiornik został przetopiony, to przy niskim ciśnieniu energia wypływającego zeń stopionego materiału byłaby znacznie mniejsza a w ślad za tym maleje niebezpieczeństwo gwałtownego rozproszenia materiału rdzenia w obudowie i nagłego rozerwania obudowy w chwili przetopienia zbiornika. Dlatego w nowo budowanych reaktorach instaluje się układ zaworów bezpieczeństwa o dużej przepustowości, które można otwierać zdalnie i utrzymywać w położeniu otwartym, dopóki ciśnienie w obiegu pierwotnym nie spadnie do wartości bliskich ciśnienia w obudowie. W reaktorach już zbudowanych trwa proces wymiany zaworów bezpieczeństwa na nowe, pozwalające na realizowanie procesu zasilania obiegu wodą i upuszczania z niego pary wodnej (feed and bleed) aż do chwili osiągnięcia pożądanego spadku ciśnienia. Oceny bezpieczeństwa wykazały, że taka strategia pozwala na dziesięciokrotne obniżenie zagrożenia rozerwaniem obudowy bezpieczeństwa [11].

6. Obrona przed wybuchem wodoru

Skąd w reaktorze w czasie awarii bierze się wolny wodór? W elektrowni jądrowej nie ma znaczących ilości wolnego wodoru, ale jest woda. Wobec tego, że rozpatrujemy ciężką awarię, musimy założyć, że temperatura w rdzeniu wzrośnie bardzo wysoko. Wolny wodór H2 powstaje wskutek reakcji pary wodnej z rozżarzonym cyrkonem w rdzeniu. Intensywność reakcji Zr + 2 H2O > ZrO2 + H2 wzrasta z temperaturą. W czasie awarii w TMI doprowadziło to do powstania wodoru w ilości wystarczającej do samorzutnego spalenia go we wnętrzu obudowy, co zaobserwowano jako skokowy wzrost ciśnienia w obudowie.

Jeśli nastąpi wypływ stopionego rdzenia poza zbiornik reaktora, to wodór uwalnia się także wskutek reakcji stopionego rdzenia z betonem. Grozi to wzrostem frakcji wodoru powyżej 4,1% przy których następuje spalanie, a nawet powyżej 10%, przy których może dojść do wybuchu wskutek gwałtownego łączenia wodoru z tlenem.

Sama wielkość frakcji wodoru nie decyduje jednak o zagrożeniu.. Zdolność do gwałtownego spalania, prowadzącego do wybuchu, zależy też od zawartości pary wodnej i tlenu. Przy wzroście zawartości pary wodnej możliwości spalania wodoru maleją, a powyżej 60% pary wodnej wybuch już nie grozi, niezależnie od tego, ile wodoru jest w tym momencie w atmosferze. Z drugiej strony, jeśli brakuje tlenu, to wodór nie może ulegać spalaniu i przy zawartości tlenu poniżej 5% również wybuch jest niemożliwy. Znajomość tych progów i mierzenie aktualnej zawartości pary wodnej, tlenu i wodoru pozwala operatorowi EJ wybierać strategię działania chroniącą przed wybuchem wodoru. Przykład takiej skutecznej strategii pokazany jest na rys. 1.

Rys. 1 Przebieg zmian zawartości pary wodnej, tlenu i wodoru w suchej dużej obudowie bezpieczeństwa po ciężkiej awarii w EJ, przy którym nie ma groźby wybuchu wodoru [12].


Jak widać, w przypadku scenariusza awarii pokazanego na rys. 1 do wybuchu wodoru nie dochodzi, bo w pierwszej fazie wodoru jest zbyt mało, potem frakcja tlenu spada poniżej wartości progowej, a następnie frakcja pary wodnej rośnie powyżej 60%. Gdy po wielu godzinach stężenie wodoru osiąga próg, przy którym mogłoby dojść do wybuchu, w obudowie nie ma już dość tlenu i jest zbyt dużo pary wodnej.

Jednakże ten stan względnego bezpieczeństwa nie jest trwały, bo jeśli uruchomimy układ zraszania obudowy bezpieczeństwa dla usunięcia z niej ciepła generowanego przez długi czas po wyłączeniu reaktora, to para ulegnie skropleniu i jej frakcja gwałtownie zmaleje. Odpowiednio wzrośnie też frakcja objętościowa tlenu. Ponadto, prędzej czy później obudowę trzeba będzie rozszczelnić i otworzyć, więc pozostawienie w niej dużych ilości wodoru nie może być traktowane jako rozwiązanie docelowe.

Aby usunąć bezpiecznie wolny wodór, w obudowach bezpieczeństwa instaluje się układy do katalitycznej rekombinacji wodoru z tlenem, które działają w sposób ciągły począwszy od niskich stężeń wodoru (już od około 2%) i zapewniają usunięcie znacznej części wodoru z atmosfery zanim dojdzie do detonacji. Wielką zaletą takich układów jest to, że nie potrzeba zasilać ich energią elektryczną. Gdy mieszanina wodoru i tlenu znajdzie się w kontakcie z katalizatorem, wodór spala się tworząc parę wodną, a wydzielane przy tym ciepło zapewnia dobrą cyrkulację atmosfery w konwekcji naturalnej i wysoka wydajność rekombinacji. Przykład wpływu rekombinacji na zawartość wodoru w obudowie podczas ciężkiej awarii widać na rysunku 2.

Rys. 2 Masa wodoru w obudowie po LOCA [12].

Krzywe na rysunku poczynając od góry przedstawiają kolejno całkowitą ilość wodoru wydzieloną do obudowy wskutek utleniania cyrkonu w rdzeniu i wskutek reakcji stopionego rdzenia z betonem, ilość usuniętą z atmosfery w obudowie wskutek działania układów rekombinacji katalitycznej, oraz ilość pozostającą w atmosferze w obudowie.

We współczesnych EJ w UE instaluje się z zasady układy rekombinacji wodoru, a EJ w krajach dawnego Związku Radzieckiego wyposaża się w takie układy przy pomocy finansowej Unii Europejskiej. W nowych typach reaktorów w UE układy rekombinacji wodoru są uważane za niezbędną część wyposażenia elektrowni.

Warto pamiętać, że trudności w stworzeniu systemu bezpieczeństwa EJ zapewniającego zatrzymanie produktów rozszczepienia wewnątrz obudowy bezpieczeństwa wynikają stąd, że w razie ciężkiej awarii z definicji zakładamy utratę wielu systemów bezpieczeństwa, które przecież są zaprojektowane i zbudowane tak, aby działały w pełni niezawodnie. Ale gdyby były one niezawodne, awaria nie byłaby ciężka - więc autorzy analiz przyjmują, że np. zabraknie energii elektrycznej, mimo zasilania EJ z układu potrzeb własnych, z dwóch niezależnych sieci zewnętrznych i z trzech niezależnych awaryjnych generatorów Diesla.

Podobnie przyjmuje się, że może zabraknąć wody w obiegu chłodzenia reaktora, mimo wszystkich zabezpieczeń przed rozerwaniem obiegu pierwotnego podejmowanych zarówno na etapie projektowania jak i na etapie eksploatacji, a także mimo istnienia układu chłodzenia wysoko, średnio i nisko ciśnieniowego z wieloma równoległymi i niezależnymi podukładami. Dlatego np. wprowadzamy układy rekombinacji katalitycznej wodoru, które działają bez zasilania elektrycznego, lub tworzymy układy z konwekcją naturalną, pozwalające na odbiór ciepła od reaktora do atmosfery bez udział pomp i zaworów, a więc niezależne od dostaw energii z zewnątrz.

Omówienie pełnego zestawu działań i środków technicznych stosowanych w nowoczesnych reaktorach dla ograniczenia skutków hipotetycznie możliwych ciężkich awarii poza projektowych wykracza znacznie poza ramy niniejszego artykułu - a zapewne także i poza granice cierpliwości Czytelnika. Dlatego dla zilustrowania stosowanych środków przytoczymy poniżej tylko dwa rozwiązania techniczne - jedno stosowane w reaktorze EPR dla ochrony obudowy bezpieczeństwa przed przetopieniem jej dna przez stopiony, rozżarzony rdzeń, drugie - stosowane w reaktorze AP 1000 dla długotrwałej ochrony obudowy bezpieczeństwa.

7. EJ z reaktorem EPR

Obudowa bezpieczeństwa stosowana w reaktorze EPR to pełno wymiarowa obudowa o dużej wytrzymałości, skonstruowana tak by nie groziło jej rozerwanie wskutek nadmiernego wzrostu ciśnienia gazów we wnętrzu obudowy. Wobec tego, że przy topieniu rdzenia w wysokich temperaturach cyrkon stanowiący koszulki prętów paliwowych reaguje z parą wodną powodując uwolnienie wodoru, we wnętrzu obudowy EPR rozmieszcza się układy katalitycznej rekombinacji wodoru o dużej wydajności, chroniące przed nadmiernym wzrostem stężenia wodoru i ewentualnym jego wybuchem.

W razie długotrwałego braku odbioru ciepła generacja mocy powyłączeniowej powoduje nagrzewanie stopionego rdzenia, a co za tym idzie również nagrzewanie gazów we wnętrzu obudowy bezpieczeństwa i wzrost ich ciśnienia. Mogłoby to spowodować wzrost ciśnienia powyżej wartości dopuszczalnej w obudowie, ale w reaktorze EPR przewidziano układ kontrolowanego upuszczania nadmiaru gazów do atmosfery, zaopatrzony w zespół filtrów, które usuwają z odpływających gazów produkty rozszczepienia takie jak jod i cez, chroniąc w ten sposób otoczenie przed zagrożeniem radioaktywnym. Te i inne środki techniczne chronią obudowę przed zniszczeniem wskutek nadmiernego ciśnienia gazów wewnątrz obudowy.

Pozostaje jednak jeszcze bardzo trudny problem uchronienia przed zniszczeniem fundamentu obudowy bezpieczeństwa w przypadku, gdyby stopiony rdzeń wypłynął ze zbiornika i rozlał się na dnie obudowy. Chociaż oddziaływanie stopionego materiału rdzenia z betonem badano wielokrotnie w małej i średniej skali, trudno było o pełną informację, bo temperatura stopionego rdzenia wynosi powyżej 2000 oC, a modelowanie zjawisk w tak wysokich temperaturach jest bardzo trudne. W reaktorach obecnie już zbudowanych przetopienie dna obudowy traktuje się jako jedną z podstawowych dróg przenikania stopionego rdzenia na zewnątrz, do otoczenia. Na szczęście jest to proces powolny, przepalenie dna obudowy następuje dopiero po kilku dniach od chwili awarii. Ponadto nawet po przetopieniu dna obudowy materiał radioaktywny nie ma bezpośredniego dostępu do atmosfery, bo dno znajduje się kilka metrów pod ziemią, tak że produkty rozszczepienia wypływają wprawdzie z obudowy ale są skutecznie zatrzymywane przez warstwę fundamentową wokoło obudowy bezpieczeństwa. Zmniejsza to znacznie narażenie okolicy reaktora.

Tym niemniej, w dotychczas budowanych EJ niebezpieczeństwo przetopienia fundamentu obudowy bezpieczeństwa istniało. Osławiony film „Syndrom chiński" wyświetlany w czasie awarii TMI opierał się właśnie na założeniu, że po awarii rdzeń reaktora przetopi fundament obudowy i wypłynie w dół, drążąc Ziemię coraz głębiej, aż przebije się na wskroś na jej drugą stronę. Skojarzenie efektowne, choć zupełnie nieprawdziwe, przyczyniło się znacznie do paniki ludności po awarii w TMI i zahamowania rozwoju reaktorów w USA po tej awarii.

W reaktorze EPR projektanci postanowili dołożyć starań by ochronić dno obudowy przed przetopieniem i zatrzymać stopiony rdzeń w obudowie.

8. Zapobieganie przetopieniu obudowy bezpieczeństwa przez stopiony rdzeń w EJ z EPR

W reaktorze EPR, nawet w bardzo mało prawdopodobnym przypadku stopienia rdzenia i przebicia przezeń zbiornika reaktora, w którym się rdzeń znajduje, stopione materiały pozostaną zamknięte. Schemat pomieszczeń i układów służących do ukierunkowania przepływu stopionego rdzenia i jego wychłodzenia pokazano na rys.3.

Rys. 3. Układ chwytacza stopionego rdzenia w EJ z EPR. 1) rdzeń reaktora, 2) zbiornik ciśnieniowy reaktora, 3) pokrywa przetapiana przez rdzeń, 4) dno tunelu przelewowego, 5) beton fundamentów obudowy bezpieczeństwa, 6) tunel przelewowy, 7) materiał ogniotrwały ZrO2, 8) chłodzenie wodne chwytacza, 9) warstwa powierzchniowa przeznaczona na wytopienie, 10) chwytacz rdzenia - basen dla stopionego rdzenia.

Ostateczne schładzanie stopionego rdzenia odbywa się w specjalnym pomieszczeniu zwanym chwytaczem rdzenia, umieszczonym w obudowie bezpieczeństwa pod zbiornikiem reaktora. Stopiony rdzeń zbiera się w obszarze retencji na dnie studni reaktora. Pod obszarem retencji znajduje się pokrywa, która w razie jej przetopienia pozwala stopionemu materiałowi rdzeniowemu przepłynąć przez krótki tunel przelewowy do specjalnie zaprojektowanego pomieszczenia znajdującego się na dnie obudowy bezpieczeństwa pod zbiornikiem reaktora. Pomieszczenie to jest wyłożone materiałami ogniotrwałymi i specjalnie chłodzone, by uchronić je przed przegrzaniem i przetopieniem przez rdzeń, wydzielający ciepło powyłączeniowe [13].

Przepływ stopionego materiału rdzeniowego i początek jego chłodzenia zachodzi bez potrzeby uruchamiania jakichkolwiek elementów aktywnych.

Dzięki temu rozwiązaniu, nawet awaria ze stopieniem rdzenia nie spowoduje wypływu stopionego materiału poza obudowę bezpieczeństwa. Bezpośrednie sąsiedztwo EJ, gleba i wody podskórne są w pełni chronione.

9. AP 1000

Rozwiązanie amerykańskiego reaktora AP1000 opiera się na zastosowaniu wypróbowanej technologii, z położeniem nacisku na te cechy bezpieczeństwa, które oparte są na zjawiskach naturalnych, jak siła ciężkości, przepływ w obiegu konwekcji naturalnej, ciśnienie sprężonych gazów i konwekcja naturalna. Układy bezpieczeństwa działają na zasadzie pasywnej, zapewniając odbiór ciepła od rdzenia i chłodzenie obudowy bezpieczeństwa przez długi czas bez zasilania prądem zmiennym i nie wymagają działania operatora przez 3 doby.

Nie ma w nich elementów czynnych ( jak pompy, wentylatory lub generatory z silnikami Diesla), a działanie tych systemów nie wymaga systemów pomocniczych zakwalifikowanych do systemów bezpieczeństwa (takich jak zasilanie prądem zmiennym, chłodzenie elementów systemów bezpieczeństwa, odpowiedzialna woda techniczna, wentylacja i klimatyzacja). Dzięki temu wyeliminowano zaliczone do układów bezpieczeństwa awaryjne generatory z silnikami Diesla i cały kompleks potrzebnych dla nich podsystemów, jak sprężone powietrze potrzebne do ich uruchomienia, zbiorniki paliwa i pompy, a także system poboru powietrza i usuwania spalin.

Pasywne systemy bezpieczeństwa obejmują układ pasywnego wtrysku chłodziwa do reaktora, pasywny układ odbioru ciepła powyłączeniowego i pasywny układ chłodzenia obudowy bezpieczeństwa. Ten ostatni układ jest specyficznym rozwiązaniem charakterystycznym dla reaktorów AP600 i AP000 i opisany jest poniżej.

Liczba i złożoność działań operatora potrzebnych do kontroli systemów bezpieczeństwa są zredukowane do minimum. Ogólna strategia polega raczej na eliminowaniu akcji operatora, a nie na ich automatyzacji [14].

Ważnym elementem bezpieczeństwa reaktora AP1000 jest układ automatycznej redukcji ciśnienia w obiegu pierwotnym, który w przypadku hipotetycznych awarii poza projektowych zapewnia szybkie i niezawodne obniżenie ciśnienia w rdzeniu, aby umożliwić zalanie rdzenia wodą z układów niskociśnieniowych i wykluczyć niebezpieczeństwo rozerwania zbiornika reaktora pod wysokim ciśnieniem. (Wspominaliśmy o tym powyżej- zapewnia to możliwość wykorzystania dodatkowych źródeł wody i chroni obudowę przed rozerwaniem). Układ ten składa się z czterech sekcji. Pierwsze trzy podłączone są do kopuły stabilizatora ciśnienia i obejmują w sumie 6 zaworów zrzutowych o wymiarach dobranych tak, by obniżyć ciśnienie w obiegu pierwotnym dostatecznie dla skutecznego wtrysku z hydro akumulatorów i pozwolić na przejście do czwartego etapu redukcji ciśnienia. W czwartym etapie otwierają się 4 stacje redukcji ciśnienia połączone z gorącymi gałęziami obiegu pierwotnego, mające obniżyć ciśnienie tak, by możliwy był wtrysk wody ze zbiornika zapasu wody chłodzącej i z miski ściekowej obudowy bezpieczeństwa w fazie długoterminowego chłodzenia rdzenia po awarii.

Tak więc, zalanie rdzenia wodą w reaktorze AP 1000 może nastąpić zawsze, a zapasy wody znajdują się do dyspozycji wewnątrz obudowy bezpieczeństwa.

Co więcej, zbiornik reaktora zostaje od zewnątrz zalany wodą tak że ciepło wydzielane w paliwie odbierane jest przez wodę z całej zewnętrznej powierzchni zbiornika reaktora (rys. 4)
Rys. 4. Zalanie reaktora wodą w razie ciężkiej awarii w reaktorze AP 1000 1. Wyloty pary, cztery kanały, 2. Zbiornik reaktora, 3. Rdzeń, 4. Stalowa podpora zbiornika reaktora, 5.Ściana osłonowa, 6. Izolacja cieplna, 7 Wlot wody.


Aby mieć pewność, że niezależnie od typu awarii będzie dość wody, by zalać rdzeń i zbiornik reaktora, zbiornik z wodą umieszczony jest bezpośrednio wewnątrz obudowy, powyżej rdzenia, i w razie awarii woda wycieka zeń pod działaniem siły ciężkości. Jest jej dostatecznie dużo, by wypełniła dolną część obudowy, gdzie znajduje się zbiornik, jak widać na rys. 5. Tak więc bezpieczeństwo reaktora AP 1000 konsekwentnie opiera się na wykorzystaniu naturalnych sił przyrody, takich jak siła ciężkości.

Rys. 5 Układ przestrzenny obiegu pierwotnego reaktora AP 1000 i zbiornika z wodą, pozwalającego zalać rdzeń reaktora i utrzymać go pod wodą [15]. a) zbiornik wodny RWST, b) urządzenie rozpryskujące, c) wymiennik ciepła układu chłodzenia powyłączeniowego, d) zawory układu zrzutu ciśnienia, e) Stabilizator ciśnienia, f) Zbiornik reaktora, h) Pomieszczenia pętli obiegu pierwotnego, i) Miska ściekowa, j) Filtry, k) pompy l) wytwornice pary.


Zabezpiecza to przed przegrzaniem zbiornika i paliwa. Ciepło wydzielane w rdzeniu nie powoduje już przegrzewu paliwa, a tylko wrzenie i odparowanie wody. Ale para wodna wypełnia obudowę bezpieczeństwa, i w miarę upływu czasu musi przejmować ciepło z rdzenia.

W przypadku awarii uważanych za awarie projektowe w elektrowni jądrowej dysponujemy zasilaniem elektrycznym, zapewnionym przez wiele układów zasilania, zarówno przeznaczonych do normalnej pracy jak i do warunków awaryjnych. Ale w razie ciężkiej awarii przyjmujemy jako założenie, że wszystkie te układy przestają pracować. Jak więc odebrać ciepło od obudowy bezpieczeństwa? Gdyby brak było odbioru ciepła, to po kilku dniach ciągłego braku energii elektrycznej (nieprawdopodobne - ale możliwe...) temperatura gazów wewnątrz obudowy wzrosła by tak bardzo że ich ciśnienie spowodowałoby rozerwanie obudowy. W wielu elektrowniach jako dodatkowe zabezpieczenie na wypadek ciężkiej awarii stosuje się specjalną linię zasilania łączącą EJ z pobliską hydroelektrownią, wydzieloną poza normalne zasilanie sieciowe. W innych zapewnia się dodatkowe przewoźne generatory Diesla. W AP 1000 przyjęto rozwiązanie bardziej eleganckie, uniezależniające EJ od jakichkolwiek zewnętrznych źródeł zasilania elektrycznego.

10. Obudowa bezpieczeństwa z pasywnym układem chłodzenia w EJ z AP 1000.

Obudowa bezpieczeństwa reaktora AP1000 pokazana na rys. 6 składa się z dwóch warstw: wewnętrznej powłoki stalowej zapewniającej szczelność i zewnętrznej grubej powłoki betonowej, zatrzymującej promieniowanie bezpośrednie i chroniącej obudowę przed przebiciem z zewnątrz. Średnica obudowy stalowej wynosi 39,6 m a wysokość 65,6 m. Grubość powłoki stalowej wynosi 4,45 cm, a maksymalne ciśnienie projektowe 5,1 bar [15].

Zasadniczym elementem pasywnego układu chłodzenia obudowy bezpieczeństwa jest zbiornik wody chłodzącej, posadowiony na szczycie obudowy bezpieczeństwa. Po sygnale o wystąpieniu wysokiego ciśnienia wewnątrz obudowy zawory pod tym zbiornikiem otwierają się i woda chłodząca zaczyna spływać po zewnętrznej powierzchni stalowej powłoki obudowy bezpieczeństwa. Wystarcza to do odbioru ciepła powyłączeniowego z reaktora. Para generowana w rdzeniu skrapla się na wewnętrznej powierzchni powłoki stalowej i skropliny powracają do miski ściekowej obudowy bezpieczeństwa, skąd pompowane są ponownie do rdzenia. Ciepło przewodzone przez powłokę stalową odbierane jest przez odparowanie wody spływającej po zewnętrznej powierzchni powłoki, co zapewnia utrzymanie ciśnienia wewnątrz obudowy w przedziale ciśnień projektowych.

Rys. 6 Obudowa bezpieczeństwa reaktora AP600 z pasywnym układem odbioru ciepła [15]. 1)    komin dla odpływu powietrza w konwekcji naturalnej, 2)   zbiornik wody do zwilżania powłoki obudowy bezpieczeństwa przez spływ pod działaniem siły ciężkości, 3) parowanie warstwy wodnej, 4) wlot powietrza chłodzącego z zewnątrz, 5) stalowa powłoka obudowy, 6) pierścieniowa szczelina powietrzna, 7) wewnętrzne skraplanie pary i konwekcja naturalna.


Powłoka betonowa otaczająca wolno stojącą powłokę stalową tworzy pierścieniową drogę przepływu powietrza, które napływa przez otwory wentylacyjne w pobliżu szczytu obudowy i spływa ku dołowi wzdłuż przegrody między powłoką betonową a powłoką stalową. W pobliżu podstawy obudowy kierunek przepływu powietrza zmienia się o 180o i powietrze wpływa do mniejszego pierścienia między przegrodą a powłoką stalową. Powietrze płynie ku górze, grzane przez stalową obudowę i wypływa przez komin na szczycie obudowy bezpieczeństwa. Połączenie odparowania ściekającej wody i chłodzenia przez powietrze płynące w układzie konwekcji naturalnej zapewnia skuteczny odbiór ciepła z zewnętrznejpowierzchni powłoki stalowej [15].

Dzięki tym rozwiązaniom, rdzeń reaktora pozostaje zawsze pod wodą, zbiornik zalany wodą od zewnątrz jest chroniony przed przegrzaniem, a samoczynne chłodzenie obudowy bezpieczeństwa zapewnia, że reaktora AP 1000 nie spowoduje uwolnień znaczących ilości produktów rozszczepienia i zagrożenia okolicy nawet w razie ciężkiej awarii z długotrwałą utratą zasilania w energię elektryczną ze wszystkich źródeł.

Te ulepszenia w dziedzinie bezpieczeństwa dały wyniki w postaci znacznego zmniejszenia prawdopodobieństwa awarii z uszkodzeniem rdzenia. Według wymagań US NRC powinno ono być mniejsze od 10-4/rok, obecnie pracujące EJ osiągają wskaźnik około 5 10-5/rok, wg wymagań towarzystw energetycznych prawdopodobieństwo uszkodzenia rdzenia powinno być niższe niż 1 10-5/rok, a reaktor AP1000 zapewnia, że nie przekroczy ono 2,5 10-7/rok, a więc jest 400 razy mniejsze od wymagań NRC.

Rys. 7. Częstotliwość ciężkich awarii z uszkodzeniem rdzenia w USA i w AP 1000 [15].

11. Podsumowanie

Jak widać w podejściu przemysłu jądrowego do możliwych awarii wiele się zmieniło. Dziś nie ograniczamy się do oświadczenia, że przecież, jeśli ulegnie uszkodzeniu jeden element, to mamy drugi, a nawet i trzeci i czwarty, działający na innej zasadzie i w pełni niezależnie, a więc nie mogący również ulec jednocześnie uszkodzeniu. W analizach ciężkich awarii analizuje się wszystkie, nawet pozornie najbardziej nieprawdopodobne kombinacje uszkodzeń i błędów człowieka, a przede wszystkim możliwości uszkodzeń wielu elementów z powodu wspólnej przyczyny. I w konsekwencji - niezależnie od zapobiegania takim możliwościom w fazie projektu lub potem w fazie eksploatacji - dochodzimy do scenariuszy ze jest stopieniem rdzenia i towarzyszącymi mu poważnymi następstwami.

Ale stopienie rdzenia to jeszcze nie wydzielenie produktów rozszczepienia poza elektrownię. Warto pamiętać, że w przypadku jedynej poważnej awarii, jaka wystąpiła w reaktorach PWR i BWR, a mianowicie awarii w TMI, gdzie rdzeń i reaktora zostały całkowicie zniszczone, dawki poza EJ były tak małe, że długi czas sądzono, że awaria musiała być znacznie mniejsza. Tajemnica sukcesu leży w skuteczności obudowy bezpieczeństwa i chroniących ją układów. W przepisach Dozoru Jądrowego przyjmuje się, że częstotliwość dużych uwolnień z obudowy winna być co najmniej 10 razy mniejsza niż częstotliwość ciężkich awarii ze stopieniem rdzenia. Jak widzieliśmy z kilku przytoczonych powyżej rozwiązań technicznych, nowoczesne EJ dysponują już układami zapewniającymi, że nawet po ciężkiej awarii produkty rozszczepienia pozostaną wewnątrz obudowy. Dlatego przemysł UE może gwarantować, że dla nowych EJ skutki awarii praktycznie nie wykraczają poza teren samej elektrowni.

Parlament fiński przyjął uchwałę, że rozwój energetyki jądrowej jest potrzebny dla dobra społeczeństwa. Podobne zdanie prezentuje ogromna większość naukowców i inżynierów w krajach UE. Stojąc u progu budowy polskich elektrowni jądrowych można śmiało stwierdzić, że zgodnie z decyzją parlamentu polskiego z końca XX wieku, budowane w Polsce EJ będą przyjazne dla środowiska i nawet w razie ciężkiej awarii nie stworzą zagrożenia dla człowieka i dla kraju.

13. Literatura

1    A. Strupczewski: Ochrona przed zagrożeniami po awariach w elektrowniach jądrowych, Biuletyn PSE Nr 9(171), s. 10-27, wrzesień 2005.

2    A. Strupczewski Czy awaria taka jak w Czarnobylu może powtórzyć się w polskiej elektrowni jądrowej? Biuletyn PSE Nr. 10 (172) s 9-24, październik 2005.

3    INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP, "Basic Safety Principles for Nuclear Power Plants", Safety Series No 75-INSAG-3, IAEA, Vienna (1988).

4    Kingdom of Belgium, Third Meting of the Contracting Parties to the Convention on Nuclear Safety, National Report, Sept. 2004.

5    KEMENY, J.G., et al., "Report of the President's Commission on the Accident at Three Mile Island", (October 30, 1979).

6    Decision of the Council of State on the general regulations for the safety of nuclear power plants, Radiation and Nuclear Safety Authority Publications, Legislation and Decrees14 Feb. 1991/395.

7    LEWIS, M.J. et al., "Societal risk: a UK utility's view for future reactors", Proc. of ANF'92, Tokyo, (1992).

8    European Utility Requirements For LWR Nuclear Power Plants, Revision C, April 2001.

9    Rozporządzenie Rady Ministrów z dnia 27 kwietnia 2004 r. w sprawie wartości poziomów interwencyjnych dla poszczególnych rodzajów działań interwencyjnych.

10    IAEA. (1994). Safety Series No. 109, Intervention criteria in a nuclear or radiation emergency. STI/PUB/900. IAEA, Vienna. pp. 117.

11    GRS 89: "Deutsche Risikostudie Kernkraftwerke Phase B", Gesellschaft fur Reaktorsicherheit (GRS) mbH, GRS 72 (Juni 1989).

12    Sartmadjiev A.: Severe Accident Analyses for Temelin NPP, DTR-ENPR-0259, Sofia, 5.7.2003.

13    Markus Nie: Temporary Melt Retention in the Reactor Pit of the European Pressurized Water Reactor (EPR), Institut fur Kernenergetik und Energiesysteme, Universitat Stuttgart, Februar 2005.

14    Schulz T.L., Wright R.F. Cummins W.E. AP1000 Status Overview, Proc. Of ICONE 9, 9th International Conference on Nuclear Engineering, April 8-12, 2001, Nice, France.

15    Wright R.F. P1000 Containment Design and Safety Assessment, ICONE 9516, Proc. Of ICONE 9, 9th International Conference on Nuclear Engineering, April 8-12, 2001, Nice, France.