沸騰水型原子炉の安全システム

沸騰水型原子炉安全システムは、事故や自然災害が発生した場合に環境や健康への危害を防止または軽減するために 沸騰水型原子炉内に構築された原子力安全システムです。

加圧水型原子炉と同様に、沸騰水型原子炉の炉心は、核分裂反応が停止した後も放射性崩壊により熱を発生し続けるため、すべての安全システムが故障し、炉心に冷却材が供給されなくなった場合には、炉心損傷事故が発生する可能性があります。また、加圧水型原子炉と同様に、沸騰水型原子炉は負のボイド係数を持ちます。つまり、原子炉内の液体水に対する蒸気の割合が増加すると、原子炉の中性子（および熱）出力が減少します。

しかし、原子炉の炉心に蒸気が存在しない加圧水型原子炉とは異なり、BWR の蒸気圧が急激に上昇すると (たとえば、原子炉の主蒸気遮断弁 (MSIV) が作動することによって)、原子炉内の蒸気と液体の水の比率が急激に減少します。水と蒸気の比率が増加すると、中性子減速が増加し、原子炉の出力が増加します。このタイプのイベントは、「圧力過渡現象」と呼ばれます。

BWR は、圧力過渡現象に対応するために特別に設計されており、「圧力抑制」タイプの設計を採用しています。この設計では、安全逃し弁を使用して、格納容器内の液体の水のプール (「ウェットウェル」、「トーラス」、または「抑制プール」と呼ばれる) の表面下に過圧を放出します。すべての BWR は、過圧に対して多数の安全/逃し弁を使用しています。これらのうち最大 7 つは自動減圧システム (ADS) ^[1]の一部であり、ABWR モデルには 18 個の安全過圧逃し弁があります^[2]。過渡現象の圧力上昇を止めるために機能する必要があるのは、そのうちのほんのわずかです。さらに、過渡現象が RPV に影響を与える前に、原子炉は既に急速に停止しています (以下の原子炉保護システムのセクションで説明されているように) 。 ^[3]

BWR におけるこの効果のため、運転コンポーネントと安全システムは、燃料または原子炉冷却材を含むコンポーネントに損傷が発生する前に原子炉を迅速に停止するシステムの能力を超える圧力と出力の増加を引き起こすような想定されるシナリオが発生しないように設計されている。ATWS (スクラムなしで予測される過渡状態) の乱れにより、高い中性子出力レベル (約 200%) が 1 秒未満発生する可能性があり、その後 SRV が作動して圧力が急激に低下します。中性子出力は、ARI または SLCS が作動する前であっても、公称出力 (循環が停止し、ボイドが除去される 30% の範囲) をはるかに下回るまで低下します。熱出力にはほとんど影響がありません。

すべての安全システムが機能しなくなるような不測の事態が発生した場合、各原子炉は、原子炉を環境から遮断するように設計された、1.2～2.4 m (3.9～7.9 フィート) の鉄筋プレストレストコンクリートでできた格納容器に囲まれています 。

しかし、格納容器は燃料サイクル全体を通じて燃料を保護するわけではありません。最も重要なことは、使用済み燃料が一次格納容器の外で長期間保管されることです。一般的な使用済み燃料貯蔵プールは、炉心内の燃料の約 5 倍を保管できます。再装填では通常、炉心の 3 分の 1 が放出されるため、プールに保管されている使用済み燃料の多くは、かなりの崩壊時間を経ています。しかし、プールから水を抜いた場合、以前の 2 回の燃料交換で放出された燃料は、崩壊熱で溶けるほど「新鮮」なままです。ただし、この燃料のジルカロイ被覆は加熱中に発火する可能性があります。その結果生じる火災は、プール内の燃料のほとんどまたはすべてに広がる可能性があります。燃焼熱と崩壊熱の組み合わせにより、「劣化の境界線」にある燃料が溶融状態になる可能性があります。さらに、火災が酸素不足に陥ると（このようなピットの底で発生した火災ではかなりあり得る）、高温のジルコニウムが二酸化ウラン燃料から酸素を奪い、金属ウラン、ジルコニウム、酸化ジルコニウム、溶解した二酸化ウランの液体混合物を形成する。これにより、溶融燃料とほぼ同等の核分裂生成物が燃料マトリックスから放出される。さらに、BWR 使用済み燃料プールは密閉されているものの、ほとんどの場合、一次格納容器の外側に位置する。この過程で水素が発生すると、おそらく爆発が起こり、二次格納容器の建屋が損傷する。したがって、大気への放出は、原子炉コアに関連する同様の事故よりも起こりやすい。^[4]

原子炉保護システム (RPS) は、後期 BWR モデルでコンピュータ化されたシステムで、原子炉が危険な動作状態になる可能性のある何らかのイベントが発生した場合に、原子炉蒸気供給システム (NSSS - 原子炉圧力容器、ポンプ、格納容器内の水/蒸気配管) を自動的、迅速、かつ完全に停止して安全を確保するように設計されています。さらに、RPS は、いくつかの信号を検出すると、緊急炉心冷却システム (ECCS) を自動的に起動できます。操作に人間の介入は必要ありません。ただし、原子炉のオペレーターは、必要に応じて RPS の一部をオーバーライドできます。オペレーターは、状態の悪化を認識し、自動安全システムが起動することを知っている場合、安全システムを事前に起動するように訓練されています。

原子炉が出力中または出力上昇中の場合 (つまり、原子炉が超臨界状態にある場合、つまり、原子炉が吸収する中性子よりも多くの中性子を生成する点まで制御棒が引き抜かれる場合)、安全上の不測の事態が発生し、原子炉の急速な停止、または西側諸国の原子力用語で言う「SCRAM」が必要になる場合があります。 SCRAM とは、手動または自動ですべての制御棒を原子炉に急速挿入することであり、これにより原子炉は数十秒以内に崩壊熱出力レベルに達します。 約 0.6% の中性子は、核分裂後数秒または数分で発生する核分裂生成物 ( 「遅延」中性子) から放出されるため、すべての核分裂を瞬時に停止することはできませんが、燃料はすぐに崩壊熱出力レベルに戻ります。 手動 SCRAM は原子炉オペレータによって開始できますが、自動 SCRAM は次の場合に開始されます。

1. タービン停止弁またはタービン制御弁の閉鎖。
   1. タービン保護システムが重大な異常を検出した場合、蒸気の流入は停止されます。原子炉の急速停止は、反応度が上昇する可能性のある圧力過渡現象を予測して行われます。
   2. 発電機の負荷遮断により、タービンバルブが閉じられ、RPS がトリップすることもあります。
   3. このトリップは、原子炉出力が約 1/3 を超えた場合にのみ有効になります。この量以下では、バイパス蒸気システムは炉心で反応度過渡現象を引き起こすことなく原子炉圧力を制御することができます。
2. 外部電源の喪失（LOOP）
   1. 通常運転中、原子炉保護システム（RPS）は外部電源から電力を供給されている。
      1. 外部電源が失われると、RPS 内のすべてのリレーが開き、すべての急速シャットダウン信号が冗長的に入力されることになります。
      2. RPS はフェイルセーフであるため、MSIV も閉じます。プラントは、主蒸気の破損が外部電源の喪失と同時に発生すると想定します。
3. 中性子モニターのトリップ - これらのトリップの目的は、起動時に中性子と熱出力が均等に増加するようにすることです。
   1. ソースレンジモニター (SRM) または中間レンジモニター (IRM) アップスケール:
      1. 機器の校正、前臨界、非熱的臨界初期に使用されるSRMと、出力上昇、中期/後期非熱的臨界、初期または中期熱的段階に使用されるIRMは、どちらもトリップが組み込まれており、原子炉の反応度が高い場合（ボイドが存在せず、水が冷たく、水が濃い場合など）に、そのような周期の減少が意図的であることをオペレータが明確に確認しない限り、原子炉周期^[5]が急速に減少するのを防ぎます。トリップが発生する前に、事前設定されたレベルをわずかに超えた場合に、オペレータの警戒を確実にするために、ロッド移動ブロックが作動します。
   2. 平均パワーレンジモニター（APRM）アップスケール：
      1. 原子炉の状態が「実行」に遷移して起動の終了がオペレーターによって確実に確認される前に、原子炉が運転中に事前に設定された中性子出力レベルの最大値または相対的な最大値を超えることを防ぎます。
   3. 平均出力範囲モニター / 冷却水流量サーマルトリップ:
      1. 十分な冷却水の流れがない場合、原子炉が可変出力レベルを超えることを防ぎます。
   4. 振動パワー範囲モニター
      1. 低流量高出力状態での原子炉電力の急激な振動を防ぎます。
4. 原子炉水位が低い:
   1. 冷却材喪失事故（LOCA）
   2. 適切な給水量の喪失（LOFW）
   3. 水位が蒸気分離器と蒸気乾燥機のスタックより下にある場合、タービンを過剰な水分の持ち越しから保護します。
5. 高水位（BWR6プラント）
   1. 主蒸気ラインの浸水を防止し、タービン設備を保護します。
   2. 容器への冷水の追加速度を制限し、過剰供給過渡時の原子炉出力の増加を制限します。
6. ドライウェル（一次封じ込め）圧力が高い
   1. 冷却材の喪失の可能性を示す
   2. また、注入許可がクリアされると、ECCS システムを起動してコア注入の準備をします。
7. 主蒸気遮断弁の閉鎖（MSIV）
   1. 炉心内の圧力過渡現象から保護し、反応性過渡現象を引き起こす。
   2. バルブが8%以上閉じている場合にのみ各チャネルがトリガーされます
   3. 原子炉トリップを開始せずに 1 つのバルブを閉じることができます。
8. 高圧RPV圧力:
   1. MSIV の閉鎖を示します。
   2. 高圧による沸騰空隙の崩壊を補うために反応性を低下させます。
   3. 圧力逃し弁が開くのを防ぎます。
   4. タービントリップなど、他のいくつかのトリップのバックアップとして機能します。
9. 低いRPV圧力:
   1. 蒸気トンネルまたはドライウェルの高圧を引き起こさない他の場所での配管破損を示す
   2. 原子炉が運転モードでないときにバイパスされ、自動スクラム信号なしで加圧と冷却が可能になります。
10. 地震イベント
    1. 通常、このトリップが有効になるのは、地震の多い地域のプラントのみです。
11. スクラム排出量高
    1. スクラム油圧排出容積が満たされ始めると、容積が満たされる前に原子炉がスクラムされます。これにより、制御棒の挿入を妨げる可能性のある油圧ロックが防止されます。これは、ATWS (スクラムなしの予期される過渡状態) を防ぐためです。

原子炉保護システムは原子炉を停止するように設計されているのに対し、ECCS は適切な炉心冷却を維持するように設計されています。ECCS は、原子炉圧力容器内の燃料 (「原子炉心」と呼ばれます) を過熱から保護するように設計された、相互に関連する一連の安全システムです。ECCS の 5 つの基準は、燃料被覆管のピーク温度が 2200 °F (1204 °C) を超えないようにすること、燃料被覆管の 17% を超える酸化を防ぐこと、ジルカロイ金属と水の反応による理論上の最大水素生成量の 1% を超えるのを防ぐこと、冷却可能な形状を維持すること、および長期冷却を可能にすることです。 ^[6] ECCS システムは、原子炉圧力容器 (RPV) の冷却水位を維持することでこれを実現します。それが不可能な場合は、冷却剤を炉心に直接流し込みます。

これらのシステムには、主に次の 3 つのタイプがあります。

1. 高圧システム: 大量の水を注入して炉心を保護し、水位の低下によって燃料が露出するのを防ぐように設計されています。通常、安全弁が開いたままになっている場合、補助パイプが少し破損している場合、タービントリップや主蒸気遮断弁の閉鎖によって特に激しい過渡現象が発生した場合に使用されます。高圧システムだけでは水位を維持できない場合 (高圧システムがフル稼働している状態でも水位が設定値より下がっている場合)、次の一連のシステムが対応します。
2. 減圧システム: これらのシステムは、原子炉圧力を安全限度内に維持するように設計されています。さらに、原子炉水位が高圧冷却システムだけでは維持できない場合、減圧システムは原子炉圧力を低圧冷却システムが機能できるレベルまで下げることができます。
3. 低圧システム: これらのシステムは、減圧システムが機能した後に機能するように設計されています。高圧システムに比べて容量が大きく、複数の冗長電源によって電力が供給されます。維持可能な水位を維持し、炉心の下で最悪のタイプの大規模なパイプ破損が発生して一時的に燃料棒が「露出」した場合には、燃料が加熱されて炉心が損傷する前に、その状態を迅速に緩和します。

高圧冷却材注入システムは、緊急炉心冷却システムの第一防衛線です。HPCI は、原子炉が高圧のときに大量の水を注入して、自動減圧、炉心スプレー、低圧冷却材注入システムの起動を防ぐように設計されています。HPCI は原子炉からの蒸気で作動し、開始信号から起動するまでに約 10 秒かかり、炉心圧力が 6.8 atm (690 kPa、100 psi) を超えると、約 19,000 L/分 (5,000 US ガロン/分) を炉心に供給できます。これは通常、補給水ラインの大きな破損などの重大な偶発事態を除き、自動減圧を回避するのに十分な水位を維持するのに十分です。HPCI は「圧力制御モード」でも動作でき、このモードでは、原子炉容器に水をポンプで送り込まずに HPCI タービンが動作します。これにより、HPCI は原子炉から蒸気を取り除き、安全弁や安全弁を操作せずにゆっくりと減圧することができます。これにより、安全弁の作動回数が最小限に抑えられ、安全弁が開いたままになって小規模な LOCA が発生する可能性が低減されます。

HPCI システムで使用される一般的な蒸気タービンは、サウスカロライナ州サマービルの Curtiss-Wright Corporationが製造する「固体ホイール」または「水車」のテリー蒸気タービンです。

バージョンノート: 一部の BWR/5 および BWR/6 では、蒸気タービン駆動の HPCI ポンプを AC 駆動の高圧コアスプレー (HPCS) に置き換えています。ABWR では、HPCI を RCIC システムのモードである高圧コアフラッダー (HPCF) に置き換えています (詳細は後述)。(E)SBWR は主に受動的な安全冷却システムを使用しているため、同等のシステムはありませんが、ESBWR では、受動システムを補完するために制御棒駆動システム (CRDS) の動作モードを使用する代替の能動的な高圧注入方法を提供しています。

一部の原子炉（BWR/2およびBWR/3プラントの一部、および（E）SBWRシリーズの原子炉を含む）には、隔離凝縮器と呼ばれる受動システムがあります。これは、大気に開放された水のプール内の格納容器の上部に設置された熱交換器です。作動すると、崩壊熱で蒸気が沸騰し、熱交換器に引き込まれて凝縮されます。その後、重力によって原子炉内に戻ります。このプロセスにより、冷却水が原子炉内に保持されるため、動力付き給水ポンプを使用する必要がありません。開放されたプールの水はゆっくりと沸騰し、きれいな蒸気が大気中に放出されます。これにより、熱を除去するために機械システムを稼働させる必要がなくなります。定期的にプールを補充する必要がありますが、消防車にとっては簡単な作業です。（E）SBWR原子炉は、プールに3日分の水を提供します。^[7]福島第一原子力発電所1号機など、一部の古い原子炉にもICシステムがありますが、水プールはそれほど大きくない場合があります。

通常の状態では、IC システムは作動していませんが、IC コンデンサーの上部は開いたバルブを介して原子炉の蒸気ラインに接続されています。IC は、水位が低い、または蒸気圧が高いという表示が出ると自動的に起動します。起動すると、蒸気が IC コンデンサーに入り、水で満たされるまで凝縮します。IC システムが作動すると、IC コンデンサーの下部にあるバルブが開き、原子炉の下部に接続されます。水は重力によって原子炉に落下し、コンデンサーが蒸気で満たされ、その後凝縮します。このサイクルは、下部のバルブが閉じられるまで継続的に実行されます。^[8]

原子炉隔離時冷却システムは、厳密には緊急炉心冷却システムではありませんが、通常の熱シンク機能が失われた場合、またはすべての電力が失われた場合に原子炉を冷却するのに役立つ、安全上重要な機能を果たすため含まれています。BWR の高度なバージョンでは、追加の機能があります。

RCIC は、非常用補助給水ポンプです。原子炉に高圧で冷却水を注入することができます。原子炉炉心に約 2,000 L/分 (600 gpm) を注入します。起動時間は HPCI システムよりも短く、起動信号から約 30 秒です。残留崩壊熱で蒸発した冷却水を補充するのに十分な容量があり、小さな漏れにも対応できます。

RCIC システムは原子炉自体からの高圧蒸気で作動するため、制御弁を操作するためのバッテリー電源以外の電力なしで作動します。制御弁は、原子炉内の水位を適切に維持するために、必要に応じて RCIC をオン/オフします。(連続的に作動すると、RCIC は原子炉をオーバーフローさせ、独自の蒸気供給ラインに水を送ります。) 発電所の全停電中 (すべての外部電源が失われ、ディーゼル発電機が故障した場合)、RCIC システムは AC なしで「ブラック スタート」され、手動で起動される場合があります。RCIC システムは、原子炉抑制プールに蒸気を凝縮します。RCIC は、この水の損失を、格納容器の外側にある補給水タンクまたはウェットウェル自体のいずれかの 2 つのソースから補うことができます。RCIC は、LOCA またはその他の漏れの際に原子炉の水位を維持するようには設計されていません。HPCI と同様に、RCIC タービンは再循環モードで作動し、原子炉から蒸気を除去して原子炉の減圧を助けます。 ^[9]

RCIC システムで使用される一般的な蒸気タービンは、サウスカロライナ州サマービルの Curtiss-Wright Corporationが製造する「固体ホイール」または「水車」のテリー蒸気タービンです。

バージョンに関する注記: RCIC と HPCF は ABWR に統合されており、HPCF は RCIC の高容量モードを表します。福島 1 号機やドレスデンなどの古い BWR や新しい (E)SBWR には RCIC システムがなく、代わりに隔離凝縮器システムがあります。

自動減圧システムは冷却システムの一部ではありませんが、ECCS に不可欠な補助装置です。容器への高圧冷却が失われた場合、または高圧冷却システムが RPV 水位を維持できない場合に作動するように設計されています。ADS は手動または自動で起動できます。水が低低低水位アラーム設定点に達したときに ADS が自動起動信号を受信します。次に ADS は低水位アラームで確認し、少なくとも 1 つの低圧冷却ポンプが動作していることを確認し、105 秒のタイマーを開始します。タイマーが切れるか、手動の ADS 起動ボタンが押されると、システムは圧力容器から蒸気の形で急速に圧力を解放します。この圧力は、サプレッション プール (トーラス/ウェットウェル) の水位より下まで配管されたパイプを通して放出されます。このプールは、ADS またはその他の安全弁の作動によって放出された蒸気を水に凝縮するように設計されています。これにより、原子炉容器が 32 atm (3200 kPa、465 psi) 未満になり、低圧冷却システム (LPCS/LPCI/LPCF/GDCS) が原子炉の水位を回復できるようになります。ADS ブローダウン中は、原子炉から除去される蒸気で、炉心が覆われていなくても十分な炉心冷却を確保できます。原子炉圧力が低下すると、原子炉内の水は急速に蒸気になり、蒸発潜熱を奪って原子炉全体を冷却します。低圧 ECCS システムは、緊急ブローダウンが終了する前に炉心を再び満水にし、イベント全体を通じて炉心が適切に冷却されるようにします。

炉心スプレー システム、または低圧炉心スプレー システムは、重大な偶発事象によって発生する蒸気を抑制し、部分的にまたは完全に覆われていない原子炉の炉心を適切に冷却するように設計されています。LPCS は、炉心の上部から最大 48,000 L/分 (12,500 US ガロン/分) の水を大量に噴射できます。炉心スプレー システムは、炉心上部の蒸気の空隙を崩壊させ、燃料が露出したときに原子炉の圧力を下げるのに役立ちます。また、原子炉に水位を維持できないほど大きな破損が発生した場合、炉心スプレーは、燃料が適切にスプレーされて崩壊熱が除去されるようにすることで、燃料の損傷を防ぐことができます。BWR の初期のバージョン (BWR 1 または 2 プラント) では、LPCS システムが唯一の ECCS であり、炉心が完全に露出していても、炉心スプレーによって適切に冷却できました。ドレスデン 2 号機と 3 号機以降、炉心スプレー システムは HPCI/LPCI システムによって強化され、十分な炉心冷却を確保する方法としてスプレー冷却と炉心浸水の両方が提供されるようになりました。ほとんどの BWR モデルでは、LPCI システムと組み合わせて使用​​することで、炉心スプレーにより、LOCA 時に炉心の上部 1/3 の被覆管酸化が 17% を超えず、水素生成が 1% を超えないことが保証されます。

バージョンノート: ABWR および (E)SBWR には、ドライウェルとサプレッションプールを冷却するための追加の水噴霧システムがあります。

低圧冷却材注入は、残留熱除去 (RHR) システムの緊急注入モードです。LPCI は、原子炉容器圧力が 375 psi 未満で動作できます。LPCI は、最大 150,000 L/分 (40,000 US ガロン/分) の水を原子炉に注入できる複数のポンプで構成されています。コア スプレー システムと組み合わせることで、LPCI は原子炉に急速に冷却材を注入するように設計されています。LPCI システムは、ドレスデン 2 号機と 3 号機で初めて導入されました。LPCI システムでは、RHR 熱交換器を使用して原子炉から崩壊熱を除去し、格納容器を低温状態まで冷却することもできます。LPCI システムの初期のバージョンでは、再循環ループまたはダウンカマーを介して注入していました。BWR の後のバージョンでは、注入ポイントが炉心シュラウドの内側に直接移動され、コアの再浸水時間が最小限に抑えられ、LOCA 中の原子炉のピーク温度が大幅に低下しました。

バージョンノート: ABWR は、LPCI を同様の原理で動作する低圧コア攻法 (LPCF) に置き換えます。(E)SBWR は、以下に説明するように、LPCI を DPVS/PCCS/GDCS に置き換えます。

(E)SBWR には、完全に受動的で非常にユニークであり、深層防御を大幅に向上させる追加の ECCS 機能があります。このシステムは、RPV 内の水位がレベル 1 に達すると起動します。この時点で、カウントダウン タイマーが開始されます。

原子炉圧力容器の上部近くには、大型の減圧弁がいくつか設置されています。これらが DPVS を構成しています。これは ADS を補足する機能で、(E)SBWR にも搭載されています。DPVS は 8 つの弁で構成されており、そのうち 4 つは主蒸気ライン上にあり、作動するとドライウェルに排気され、4 つはウェットウェルに直接排気されます。

カウントダウン開始後 50 秒以内にレベル 1 が再び水没しない場合、DPVS が作動し、原子炉圧力容器内の蒸気が急速にドライウェルに放出されます。これにより、RPV 内の水の量が増加し (圧力低下による)、炉心の冷却に使用できる水の量が増えます。さらに、減圧により飽和温度が下がり、相転移による熱除去が強化されます (実際、ESBWRとABWRはどちらも、最大限に実行可能な不測の事態でも炉心の冷却水層が失われないように設計されています)。

DPVS 作動後 100 秒以内にレベル 1 が再び水没しない場合は、GDCS バルブが作動します。GDCS は、ドライウェル内の原子炉圧力容器の上部と側面にある一連の非常に大きな水タンクです。これらのバルブが作動すると、GDCS は RPV に直接接続されます。さらに約 50 秒の減圧の後、GDCS 内の圧力は RPV とドライウェルの圧力と等しくなり、GDCS の水が RPV に流れ始めます。

RPV 内の水は崩壊熱によって蒸気に変わり、自然対流によってドライウェルへと上昇し、天井の配管アセンブリへと流れて、ドライウェルの上にある深いプールにある 4 つの大型熱交換器 (受動型格納容器冷却システム (PCCS)) へと蒸気が送られます。蒸気は冷却され、再び液体の水に凝縮します。液体の水は熱交換器から GDCS プールへと排出され、崩壊熱によって沸騰した余分な水を補うために RPV へと流れ戻ります。さらに、GDCS ラインが破損した場合、RPV とドライウェルの形状により、液体の水の「湖」が形成され、RPV の底部 (および内部の炉心) が水没します。

PCCS の熱交換器を 72 時間冷却するのに十分な水があります。この時点で必要なのは、PCCS の熱交換器を冷却するプールに水を補充することだけです。これは、ポータブル消火ポンプとホースがあれば実行できる、比較的簡単な作業です。

SLCS は原子炉保護システムのバックアップです。RPS が何らかの理由で原子炉をスクラムできない場合、SLCS は原子炉容器に液体ホウ素溶液を注入し、格納容器または原子炉容器の制限を超える前に原子炉容器を確実な停止状態にします。スタンバイ液体制御システムは、251 インチ BWR 原子炉容器に、重量比 13% の五ホウ酸ナトリウム溶液 86 gpm 相当を供給するように設計されています。 ^[10] SLCS は、代替燃料棒挿入システム、自動再循環ポンプトリップ、および炉心内の水位を下げる手動オペレーター操作と組み合わせることで、原子炉容器が ASME コードの制限を超えず、燃料が炉心を損傷する不安定性に悩まされず、高出力スクラム失敗時に過圧によって格納容器が破損しないことを保証します。

SLCS は、中性子吸収材としてホウ酸水が入ったタンクで構成され、爆発的に開くバルブと冗長ポンプで保護されており、内部の圧力に逆らってホウ酸水を原子炉に注入することができます。ホウ酸水は原子炉を停止させ、停止状態を維持します。SLCS は、LOCA または燃料被覆管の破損時にも注入され、漏れた原子炉冷却材の pH を調整して、一部の放射性物質の放出を防ぐことができます。

バージョンノート: SLCS は、他のすべての対策が失敗した場合を除いて、起動されることが意図されていないシステムです。BWR/1 ～ BWR/6 では、SLCS が起動すると、プラントに十分な損傷を与える可能性があり、古い BWR は完全なオーバーホールを行わないと動作不能になる可能性があります。ABWR と (E)SBWR の登場により、これらの原子炉にはホウ素を除去するように設計された原子炉水浄化システム (RWCS) があるため、運転員は SLCS の起動をそれほどためらう必要がなくなりました。原子炉が安定したら、RPV 内のホウ素水をこのシステムで濾過して、そこに含まれる可溶性中性子吸収剤を速やかに除去し、プラント内部の損傷を回避できます。

すべての BWR の内外にある究極の安全システムは、原子炉を外界から保護し、原子炉から外界を保護する多数のレベルの物理的遮蔽です。

シールドには 5 つのレベルがあります。

1. 原子炉圧力容器内の燃料棒は厚いジルコニア製の遮蔽材で覆われています。
2. 原子炉圧力容器自体は厚さ 6 インチ (150 mm) の鋼鉄で製造されており、内側と外側の両方に、極めて高温、振動、腐食に強い外科用ステンレス鋼グレード 316Lプレートが使用されています。
3. 主な格納容器構造は厚さ 1 インチの鋼鉄で作られています。
4. 二次格納容器構造は、厚さ1.2～2.4メートル（3.9～7.9フィート）の鉄筋プレストレストコンクリートで作られています。
5. 原子炉建屋（遮蔽壁/ミサイルシールド）も、厚さ0.3～1メートル（0.98～3.28フィート）の鉄筋プレストレストコンクリートで作られています。

安全な運転と炉心損傷の間にあるあらゆる可能な対策が失敗した場合、格納容器は無期限に密閉することができ、ほぼあらゆる状況で環境への放射線の大量放出を防ぐことができます。

上記のシステムの説明でわかるように、BWR の設計は PWR とはかなり異なります。一般的に非常に予測可能な外部格納容器設計 (円筒の上に典型的なドーム) に従う PWR とは異なり、BWR 格納容器は外部形状が多様ですが、内部の独自性は PWR と比較して非常に顕著です。BWR 格納容器には、主に 5 つの種類があります。

• 「前近代的」な格納容器（第 1 世代）は、球形で、蒸気ドラム分離器、または RPV 外の蒸気分離器、および低圧蒸気用の熱交換器を備えていますが、現在は廃止されており、稼働中の原子炉では使用されていません。

• マーク I 格納容器は、長方形の鉄筋コンクリートの建物と、鋼鉄で裏打ちされた円筒形のドライウェルとその下の鋼鉄で裏打ちされた圧力抑制トーラスを囲む追加の鉄筋コンクリート層で構成されています。マーク I は広く使用された最も初期のタイプの格納容器であり、マーク I を備えた多くの原子炉が現在も稼働しています。このタイプの格納容器には、特に複合制限断層の圧力によって引き起こされる格納容器の負荷を秩序正しく軽減するための安全対策が長年にわたって数多く施されてきました。マーク I の原子炉建屋は、通常、大きな長方形の鉄筋コンクリート構造です。

• マーク II 格納容器はマーク I に似ていますが、明確な圧力抑制トーラスが省略され、代わりにドライウェルの非原子炉空洞セクションの下に円筒形のウェットウェルが配置されています。ウェットウェルとドライウェルの両方に、マーク I と同様に鋼鉄製の一次格納容器構造があり、マーク I の鋼鉄強化コンクリートの層が、外側の一次格納容器構造と原子炉建屋本体の外壁の間に二次格納容器を構成しています。マーク II の原子炉建屋は、一般的に平らな上面を持つ円筒形です。
• マーク III 格納容器は、一般的には典型的な PWR と外観が似ており、内部も、少なくとも表面的にはいくつかの類似点があります。たとえば、原子炉の燃料交換が行われていないときにスタッフが歩くことができるコンクリートのスラブで一次格納容器の上部と真下の RPV を覆うのではなく、マーク III では、このスラブの上に水プールを配置することで、BWR をより PWR に似た方向に持っていきます。追加の変更には、ウェットウェルを圧力抑制プールに分離し、堰壁でドライウェルと分離することが含まれます。

• 先進的な格納容器: ABWR と ESBWR の現在の BWR 格納容器モデルは、古典的な Mark I/II スタイルを彷彿とさせ、内部だけでなく外部でも PWR とはまったく異なります。ただし、どちらの原子炉も Mark III 風のスタイルを取り入れており、原子炉建屋からあからさまに区別されるのではなく、安全に関連しない建屋が原子炉建屋を取り囲むか原子炉建屋に付属しています。これらの格納容器は、以前の格納容器よりもはるかに大きなストレスに耐えられるように設計されており、高度な安全性を提供します。特に、GE は、これらの格納容器が、旧藤田スケールのレベル 5 を超える、時速 330 マイル以上の竜巻の直撃に耐えられると考えています。このような竜巻は、地球上で測定されたことはありません。また、どの方向でも 0.2 G、つまりほぼ毎秒 2 メートルの地震加速度に耐えられるように設計されてい^ます。

施設を稼働させるには、格納容器に出入りする多くのバルブを開けておく必要があります。放射性物質が放出される可能性のある事故の際には、放射性物質の放出や原子炉冷却材の損失を防ぐために、これらのバルブを閉じる必要があります。格納容器隔離システムは、放射性物質の放出を防ぐためにこれらのバルブを自動的に閉じる役割を担っており、プラントの安全分析の重要な部分です。隔離システムは、主要なシステム機能ごとにグループに分かれています。各グループには、隔離をトリガーするための独自の基準があります。隔離システムは、複数のチャネルで構成され、安全関連として分類され、システムに隔離を発行するために複数のチャネルからの確認信号を必要とするという点で、原子炉保護システムに似ています。隔離システムによって監視されるパラメータの例には、格納容器圧力、音響または熱漏れ検出、差流、高い蒸気または冷却材流量、低い原子炉水位、格納容器建屋または換気システムでの高放射線測定値などがあります。これらの隔離信号は、閉じた後にグループ内のすべてのバルブをロックアウトします。ロックアウトをリセットするには、すべての信号をクリアする必要があります。

遮断弁は、直列に接続された 2 つの安全関連弁で構成されています。1 つは内側弁、もう 1 つは外側弁です。内側弁は格納容器の内側にあり、外側弁は格納容器のすぐ外側にあります。これにより冗長性が確保されるとともに、システムは内側または外側弁オペレータまたは遮断信号の単一の故障の影響を受けなくなります。遮断信号がグループに与えられると、内側弁と外側弁の両方が閉じます。遮断ロジックのテストは定期的に実行する必要があり、各プラントの技術仕様の一部となっています。これらの弁が閉じるタイミングは、各プラントの安全分析の要素であり、分析された時間内に閉じなかった場合は報告対象イベントとなります。

隔離グループの例としては、主蒸気ライン、原子炉水浄化システム、原子炉隔離時冷却 (RCIC) システム、シャットダウン冷却、残留熱除去システムなどがあります。格納容器に水を注入するパイプでは、モーターで作動するバルブの代わりに、安全関連のチェック バルブが 2 つ使用されるのが一般的です。これらのバルブも、原子炉の高圧に対しても確実に密閉され、漏れを防止できることを確認するために、定期的にテストする必要があります。

通常のプラント運転中および通常の運転温度では、水素の発生はそれほど大きくない。核燃料が過熱すると、燃料棒に使用されているジルカロイ被覆管のジルコニウムが蒸気と反応して酸化する。^[11]

Zr + 2H ₂ O → ZrO ₂ + 2H ₂

水素は空気と混合すると可燃性となり、水素の爆発や爆燃により原子炉格納容器が損傷する恐れがある。マークIやマークIIの格納容器のように格納容器容積の小さい原子炉設計では、水素を管理する好ましい方法は、不活性ガス（通常は窒素）で事前不活性化して空気中の酸素濃度を水素燃焼に必要な濃度以下に下げることと、熱再結合器を使用することである。事前不活性化は、熱再結合器や意図的な点火が使用されるより大きな格納容器容積では非実用的であると考えられている。^[12]マークIIIの格納容器には水素点火装置と水素ミキサーがあり、爆発下限の4%を超える前に事前点火したり、酸素と再結合して水を作ることで水素が蓄積するのを防ぐよう設計されている。

原子力発電所の設計基準事故 (DBA) は、発電所の設計者と規制当局が合理的に予測できる最も深刻な単一事故です。また、定義上、原子炉が最も脆弱な状態で発生した場合でも、原子炉の安全システムがうまく対応できるように設計されている事故でもあります。BWR の DBA は、原子炉に最も危害が及ぶ危険があると考えられる場所にある大型冷却材パイプの完全な破裂です。具体的には、旧型 BWR (BWR/1 ～ BWR/6) の場合、DBA は、炉心水位線よりかなり下にある再循環ジェット ポンプの 1 つの冷却材ループの「ギロチン破断」 (LBLOCA、大規模破断による冷却材喪失事故) と、原子炉内で沸騰した水を補うための給水喪失 (LOFW、適切な給水喪失) が組み合わさり、同時に地域の電力網が崩壊して、特定の原子炉緊急システムへの電力喪失 (LOOP、外部電源喪失) が組み合わさったものです。 BWR は、炉心損傷なしでこの事故を回避できるように設計されています。^{[引用が必要]}

この事故の説明は BWR/4 に当てはまります。

このような破損（これを T+0 時間とします）の即時の結果は、破損したパイプから大気圧にあるドライウェルに、沸点をはるかに超える加圧水流が噴出することです。この水流は、圧力の低下と通常の大気圧での水の沸点を超えているために蒸気に変わるため、ドライウェル内の圧力センサーは遅くとも T+0.3 までにドライウェル内の圧力上昇異常を原子炉保護システムに報告します。RPS はこの圧力上昇信号を、ドライウェル内のパイプ破損の兆候として正しく解釈します。その結果、RPS は直ちに完全な SCRAM を開始し、主蒸気遮断弁を閉じ（格納容器建屋を遮断）、タービンをトリップし、残留蒸気を使用して RCIC と HPCI の回転開始を試み、LPCI と CS 用のディーゼル ポンプを起動します。

ここで、 T +0.5で停電が発生したと仮定します。RPS はフロート無停電電源装置に接続されているため、機能し続けます。ただし、センサーは機能していないため、RPS はすべてのセンサーが緊急事態を検出していると想定します。停電から 1 秒以内に、補助バッテリーと圧縮空気供給によって緊急ディーゼル発電機が起動します。電力はT +25 秒までに回復します。

原子炉の炉心に戻りましょう。MSIV が閉じているため ( T +2 までに完了)、急速に減圧する RPV に背圧の波が襲いますが、これは問題ではありません。再循環ラインの破損による減圧は急速かつ完全であるため、蒸気の空隙が液体の水に崩壊する可能性は低いからです。HPCI と RCIC は、一般的な減圧で蒸気圧が失われるため機能しなくなりますが、これも問題ではありません。T +5 以降に利用できる RCIC の流量 2,000 L/分 (600 US ガロン/分) では水位を維持するのに不十分です。また、T +10 で利用できる HPCI の流量 19,000 L/分 (5,000 US ガロン/分) も、蒸気なしで機能するのであれば、水位を維持するのに十分ではありません。T +10 の時点で、炉心の温度は、その時点およびそれ以前の時点ではおよそ 285 °C (545 °F) であったが、炉心から十分な冷却材が失われたために燃料棒間の冷却材に空隙が形成され始め、燃料棒が急速に加熱し始めると、温度が上昇し始める。事故開始からT +12 秒までに、燃料棒の露出が始まる。およそT +18 の時点で、燃料棒の一部が 540 °C (1,004 °F) に達する。T +20 前後で、負の温度係数と負の空隙係数によって温度上昇率が遅くなり、いくらか緩和される。T +25 で電力が回復するが、LPCI と CS は T +40までオンラインにならない。

T +40で、炉心温度は 650 °C (1,202 °F) で着実に上昇しています。CS と LPCI が作動し、蒸気を炉心の上部に大量に放出し、次に炉心自体に放出します。まず、炉心の上部と内部にまだ閉じ込められている大量の蒸気を最初に叩き落とさなければなりません。そうしないと、水が燃料棒に当たる前に蒸気になってしまいます。これは数秒後に発生し、これらのシステムから放出される約 200,000 L/分 (3,300 L/秒、52,500 US ガロン/分、875 US ガロン/秒) の水が最初に炉心の上部を冷却し始め、LPCI が燃料棒を大量に放出し、CS が生成された蒸気を抑制します。T +100 秒頃には、すべての燃料が大量の水にさらされ、炉心の底に残っている最後のホットスポットが冷却されます。到達した最高温度は、水浸しの影響を受けた最後のホットスポットである炉心の底で 900 °C (1,650 °F) でした (これは NRC が設定した最高​​温度 1,200 °C (2,190 °F) を大きく下回っていました)。

炉心は急速かつ完全に冷却され、蒸気の発生と一致する温度以下の適切な温度まで冷却された後、CS は停止され、LPCI の容積は、炉心内の核分裂生成物の崩壊熱の減少により数日かけて低下する、燃料棒間の定常温度の維持と一致するレベルまで減少します。

LPCI を数日間実行すれば、崩壊熱は十分に低下し、ある程度の注意を払って原子炉の燃料抜きを開始できるようになります。燃料抜きの後、LPCI を停止できます。壊れた再循環ループの修理、ECCS、ディーゼル ポンプ、ディーゼル ジェネレーターのオーバーホール、ドライウェルの排水、すべての原子炉システムの完全な検査、不適合システムの仕様への適合、古くなって摩耗した部品の交換などを行うには、長期間の物理的な修理が必要になります。同時に、NRC と緊密に連携して、ライセンス所有者のさまざまな担当者が破損の直接の原因を評価し、破損の直接の原因 (事故の根本原因) につながったイベントを調査するとともに、根本原因を分析して、発見された根本原因と直接原因に基づいて是正措置を講じます。その後、事故を全体的に振り返り、事後検証し、どの手順がうまくいったか、どの手順がうまくいかなかったか、同じことが再び起こった場合、何を改善できたか、再発防止のために何ができるかを議論し、学んだ教訓を記録して他の BWR ライセンス所有者に広める期間が続きます。これが完了すると、原子炉に燃料を補給し、運転を再開して、再び発電を開始できます。

最新型の BWR である ABWR と ESBWR は、そもそもこの事故のような事態に対して脆弱ではありません。炉心の水面から数フィートより低い位置に液体貫通部 (パイプ) がないため、給水管や蒸気管が破裂しても原子炉圧力容器は深いプールのように水に浸かります。BWR 5 と 6 は、許容範囲が広く、水位も深く、緊急システムの反応時間もはるかに速いです。燃料棒の露出は短時間発生しますが、最高温度は 600 °C (1,112 °F) にしか達せず、NRC の安全限界をはるかに下回ります。

米国原子力規制委員会による福島第一原子力発電所事故に関する報告書によると、2011年3月の東北地方太平洋沖地震と津波は「福島第一原子力発電所の設計基準をはるかに上回る」災害だったという。^[13]この発電所の原子炉はBWR3型とBWR4型だった。これらの原子炉の一次格納容器はホウ酸を含む海水で満たされなければならなかったが、これは運転再開を妨げるものであり^[要出典]、DBAシナリオでは想定されていなかった。さらに、福島第一原子力発電所で発生した化学爆発^[14]に似たようなことはDBAでは想定されていなかった。

福島第一原発の事故以前には、BWRではDBAやLBLOCAに近いほどの事故は発生していなかった^[要出典]。ECCSに関連する軽微な事故はあったが、それらの状況ではECCSは期待通りかそれ以上の性能を発揮した。BWRでこれまでに発生した最も深刻な事故は、1975年にブラウンズフェリー原子力発電所で耐火材の代わりに設置された極めて可燃性の高いウレタンフォームによって引き起こされた火災によるものである。短時間、制御室の監視装置が原子炉から切り離されたが、原子炉は正常に停止し、2009年現在もテネシー川流域開発公社に電力を供給しており、格納容器内のシステムに損傷はなかった。この火災はBWRの設計とはまったく関係がなく、どの発電所でも起こり得るものでした。この事故から得られた教訓により、別のバックアップ制御ステーションの設置、発電所の火災ゾーンへの区画化、そしていずれかの火災ゾーンで最悪の火災が発生した場合に原子炉プラントを停止して安全な状態に維持するために利用できる機器セットが明確に文書化されました。これらの変更は、米国の既存のすべての原子力発電所とほとんどの西側諸国の原子力発電所に後付けされ、それ以降の新しい発電所にも組み込まれました。

ゼネラル・エレクトリックは、 2011年の東北地方太平洋沖地震と津波によって引き起こされた全交流電源喪失は「設計基準を超える」事象であり、福島第一原発事故につながったと述べ、原子炉の設計を擁護した。^[15]原子力エネルギー研究所によると、「長期間にわたるオンサイトおよびオフサイト電源の同時長期喪失は、稼働中の原子力発電所の一次格納容器にとって設計基準を超える事象である」とのことである。^[16]

地震後、原子炉は設計どおりに停止した。しかし、津波により、6 組のスイッチギアのうち 4 台と、緊急冷却システムとポンプを稼働させていたディーゼル予備発電機のうち 3 台を除くすべてが機能しなくなった。ポンプは原子炉から高温の​​流体を循環させてウェットウェルで冷却するように設計されていたが、5 号機と 6 号機のみが電力を供給されていた。1 号機、2 号機、3 号機の原子炉炉心は過熱して溶融した。水位が安全レベルを下回ったため、燃料棒が空気にさらされて過熱し、損傷したため、放射能が空気中に放出された。緊急措置として、運転員は消防車と回収した車のバッテリーを使用してドライウェルに海水を注入し、原子炉を冷却したが、断続的にしか成功せず、3 つの炉心が過熱した。1 号機から 3 号機、および一部の報告によると 4 号機はすべて、2011 年 3 月に激しい水素爆発を起こし、上部レベルまたは下部抑制レベル (2 号機) が損傷または破壊された。^[17]

緊急措置として、ヘリコプターが海から屋根の上に水を投下しようとした。その後、消防車から3号機の屋根に水が散布された。4号機の使用済み燃料プールに水を汲み上げるためにコンクリートポンプが使用された。

原子力安全・保安院によれば、事故発生後数日間は1時間当たり最大10ペタベクレルの放射性ヨウ素131が放出され、合計では最大630ペタベクレルに達した。これはチェルノブイリ原発事故で放出された5200ペタベクレルの約8分の1に相当した。^[18]

ウィキメディア・コモンズの沸騰水型原子炉の概略図に関連するメディア