沸騰水型原子炉の安全システム

原子炉保護システム（RPS）は、後期のBWRモデルではコンピュータ化されたシステムであり、意図しない臨界状態につながる可能性のある事象が発生した場合に、原子炉蒸気供給システム（NSSS：格納容器内の原子炉圧力容器、ポンプ、および水/蒸気配管）を自動的、迅速、かつ完全に停止させ、安全を確保するように設計されています。RPSはまた、原子炉冷却材圧力境界、格納容器、または燃料が危険な状態にある場合にもトリップを開始します。RPSは緊急炉心冷却システム（ECCS）を制御しません。ただし、RPSは格納容器の一次隔離機能を制御します。RPSの操作には人間の介入は必要ありません。ただし、必要に応じて原子炉運転員はRPSの一部をオーバーライドすることができます。運転員が状態の悪化を認識し、自動安全システムが作動することを知っている場合、運転員は安全システムを事前に作動させるように訓練されています。

原子炉が出力運転中、または出力上昇中（すなわち、原子炉が超臨界状態にある場合。制御棒が引き抜かれ、原子炉が吸収する中性子よりも多くの中性子を生成する状態）には、原子炉の急速な停止、すなわち西側原子力用語で言うところの「スクラム」を必要とする安全上の緊急事態が発生する可能性があります。スクラムとは、すべての制御棒を原子炉に手動で、または自動的に迅速に挿入する操作であり、これにより原子炉は数十秒以内に崩壊熱出力レベルに戻ります。中性子の約0.6%は核分裂生成物（「遅発」中性子）から放出され、核分裂の数秒後または数分後に発生するため、すべての核分裂を瞬時に停止することはできませんが、燃料はすぐに崩壊熱出力レベルに戻ります。手動スクラムは原子炉運転員によって開始される場合があり、自動スクラムは次の場合に開始されます。

1. タービン停止弁またはタービン制御弁の閉鎖。
   1. タービン保護システムが重大な異常を検知した場合、蒸気の供給は停止される。原子炉の急速停止は、反応度を上昇させる可能性のある圧力過渡現象を予測して行われる。
   2. 発電機の負荷遮断は、タービンバルブの閉鎖とRPSのトリップも引き起こします。
   3. このトリップは、原子炉出力が約1/3以上でのみ作動します。この出力以下では、バイパス蒸気システムによって炉心内の反応度過渡現象を引き起こすことなく原子炉圧力を制御できます。
2. 外部電源喪失（ループ）
   1. 通常運転時、原子炉保護システム（RPS）は外部電源によって稼働する。
      1. 外部電源が途絶えると、RPS内のすべてのリレーが開き、すべての急速シャットダウン信号が冗長に入力されることになる。
      2. RPSはフェイルセーフであるため、MSIVも停止することになります。プラントは、主蒸気管の破損が外部電源の喪失と同時に発生すると想定しています。
3. 中性子モニターのトリップ – これらのトリップの目的は、起動時の中性子出力と熱出力の均一な増加を確保することです。
   1. 光源距離モニター（SRM）または中間距離モニター（IRM）のアップスケール：
      1. 計器校正、臨界前、初期非熱臨界時に使用されるSRMと、出力上昇、中期/後期非熱臨界、初期または中期熱臨界時に使用されるIRMは、いずれも、原子炉が激しく反応しているとき（例えば、ボイドが存在せず、水が冷たく、水が高密度であるとき）に、運転員が周期の減少が意図的であることを確認せずに、原子炉周期が急激に減少^{するのを防ぐトリップ機能が組み込まれています[5 ]。}トリップが発生する前に、設定レベルをわずかに超えた場合に運転員の注意を確保するために、ロッド移動ブロックが作動します。
   2. 平均電力範囲モニター（APRM）のアップスケール：
      1. 運転中、または運転員が起動終了を「運転中」状態に移行して確認するまでの間、原子炉が事前に設定された中性子出力レベルの最大値、または相対的な最大値を超えることを防ぎます。
   3. 平均電力範囲モニター／冷却液流量サーマルトリップ：
      1. 原子炉が、その出力レベルに必要な冷却水流量が確保されていない状態で、可変出力レベルを超えることを防止する。
   4. 発振出力範囲モニター
      1. 低流量・高出力条件下における原子炉出力の急激な変動を防止する。
4. 原子炉水位低下：
   1. 冷却材喪失事故（LOCA）
   2. 適切な給水供給の喪失（LOFW）
   3. 水位が蒸気分離器および蒸気乾燥器の煙突より低い場合、タービンへの過剰な水分の持ち込みを防ぎます。
5. 高水位（BWR6型原子力発電所）
   1. 主蒸気配管への浸水を防ぎ、タービン機器を保護します。
   2. 容器への冷水供給速度を制限することで、過剰供給過渡時の原子炉出力増加を抑制する。
6. 高圧ドライウェル（一次格納容器）
   1. 冷却液供給停止の可能性を示唆
   2. また、注入許可が下り次第、ECCSシステムを起動してコア注入の準備を行う。
7. 主蒸気遮断弁（MSIV）の閉鎖
   1. 炉心内の圧力変動による反応度変動から保護する
   2. バルブが10%以上閉じている場合にのみ、各チャンネルのトリガーが作動します。
   3. バルブの組み合わせによっては閉じている場合があり、その場合、原子炉の緊急停止は開始されない可能性があります。
8. 高圧RPV：
   1. MSIV閉鎖を示唆する。
   2. 高圧による沸騰ボイドの崩壊を補償するために、反応性を低下させる。
   3. 圧力逃がし弁が開くのを防ぎます。
   4. タービン停止など、他のいくつかの停止時のバックアップとして機能します。
9. 主蒸気管圧力が低い：
   1. 蒸気トンネル内またはその他の場所で配管​​の破損が発生しているが、それが高ドライウェル圧力を誘発していないか、あるいは主タービン圧力制御装置の故障を示している。
   2. 主蒸気遮断弁（MSIV）を閉じて減圧を停止します。この操作により、MSIVの閉鎖と同時に自動的に緊急停止信号が発信されます。
   3. 原子炉モードスイッチが運転モードになっていない場合、起動時の通常の減圧および加圧を可能にするためにバイパスされます。
10. 地震イベント
    1. 一般的に、この機能が有効になっているのは地震活動の活発な地域にある発電所のみです。
11. スクラム放電量高
    1. スクラム作動用の油圧排出容積が満杯になり始めた場合、容積が満杯になる前に原子炉をスクラムします。これにより、制御棒の挿入を妨げる可能性のある油圧ロックを防ぎます。これは、ATWS（予期される過渡現象によるスクラムなしの異常事態）を防止するためです。今回のトリップは、ブラウンズフェリーのATWS発生を受けて実施されました。

原子炉保護システムは原子炉を停止させるように設計されているが、ECCSは炉心冷却を適切に維持するように設計されている。ECCSは、原子炉圧力容器内の燃料（「原子炉炉心」と呼ばれる）を過熱から保護するように設計された、相互に関連する一連の安全システムである。ECCSの5つの基準は、燃料被覆管の最高温度が2200  °F（1204  °C）を超えないようにすること、燃料被覆管の酸化が17%を超えないようにすること、ジルカロイ金属と水の反応による理論上の最大水素発生量の1%を超えないようにすること、冷却可能な形状を維持すること、および長期冷却を可能にすることである。 ^{[ 6 ]} ECCSシステムは、原子炉圧力容器（RPV）の冷却水レベルを維持するか、それが不可能な場合は、炉心に直接冷却材を注入することによってこれを実現する。

これらのシステムは大きく3つのタイプに分けられます。

1. 高圧システム：これらのシステムは、大量の水を炉心に注入することで、水位低下によって燃料が露出するのを防ぎ、炉心を保護するように設計されています。一般的に、安全弁が開きっぱなしになった場合、補助配管が小さく破損した場合、タービン停止や主蒸気遮断弁の閉鎖によって特に激しい過渡現象が発生した場合に使用されます。高圧システムだけでは水位を維持できない場合（高圧システムがフル稼働しているにもかかわらず、水位が所定のポイントを下回っている場合）、次のシステムが作動します。
2. 減圧システム：これらのシステムは、原子炉圧力を安全限界内に維持するように設計されています。さらに、高圧冷却システムだけでは原子炉水位を維持できない場合、減圧システムは原子炉圧力を低圧冷却システムが機能できるレベルまで下げることができます。
3. 低圧システム：これらのシステムは、減圧システムが作動した後に機能するように設計されています。高圧システムに比べて容量が大きく、複数の冗長電源から電力が供給されます。維持可能な水位を維持し、炉心下部で最悪のタイプの大型配管破損が発生し、燃料棒が一時的に露出した場合でも、炉心損傷を引き起こすほど燃料が加熱される前に、その状態を迅速に緩和します。

SLCS は原子炉保護システムのバックアップです。何らかの理由で RPS が原子炉をスクラムできない場合、SLCS は液体ホウ素溶液を原子炉容器に注入し、格納容器または原子炉容器の制限を超える前に、原子炉を確実な停止状態にします。スタンバイ液体制御システムは、251 インチ BWR 原子炉容器に86 gpm 相当の 13 重量パーセントの五ホウ酸ナトリウム溶液を供給するように設計されています。 ^{[ 10 ]} SLCS は、代替ロッド挿入システム、自動再循環ポンプトリップ、および炉心内の水位を下げるためのオペレーターの手動操作と組み合わされて、原子炉容器が ASME コードの制限を超えないこと、燃料が炉心を損傷する不安定性を被らないこと、および高出力スクラムの失敗時に過圧により格納容器が破損しないことを保証します。

SLCSは、中性子吸収材としてホウ酸水を含むタンクで構成されており、爆発時に開くバルブと冗長ポンプによって保護されています。これにより、原子炉内の圧力に逆らってホウ酸水を注入することが可能です。注入されたホウ酸水は原子炉を停止させ、その状態を維持します。SLCSは、LOCA（冷却材喪失事故）や燃料被覆管の破損時にも注入でき、漏出した原子炉冷却材のpHを調整することで、一部の放射性物質の放出を防ぐことができます。

バージョンに関する注記：SLCSは、他のすべての対策が失敗した場合にのみ作動するように設計されているシステムです。BWR/1～BWR/6では、SLCSの作動によりプラントに十分な損傷が生じ、古いBWRは完全なオーバーホールなしでは運転不能になる可能性があります。ABWRおよび(E)SBWRの登場により、これらの原子炉にはホウ素を除去するように設計された原子炉水浄化システム（RWCS）があるため、運転員はSLCSの作動にそれほど躊躇する必要がなくなりました。原子炉が安定化すると、原子炉圧力容器内のホウ素含有水をこのシステムでろ過し、中性子吸収剤を速やかに除去して、プラント内部の損傷を回避できます。

あらゆるBWRの内部および外部における究極の安全システムは、原子炉を外部から保護すると同時に、外部を原子炉から保護する、幾重にも重なった物理的遮蔽構造である。

遮蔽レベルは5段階あります。

1. 原子炉圧力容器内の燃料棒は、厚いジルカロイ製の遮蔽材で覆われている。
2. 原子炉圧力容器自体は厚さ6インチ（150mm ）の鋼鉄製で、内側と外側の両方に、極めて高い耐熱性、耐振動性、耐腐食性を備えた外科用ステンレス鋼316Lグレードのプレートが使用されています。 
3.  主要な格納構造は厚さ1インチの鋼鉄製である。
4. 二次格納構造は、厚さ1.2～2.4メートル（3.9～7.9フィート）の鉄筋入りプレストレストコンクリートでできている。 
5. 原子炉建屋（遮蔽壁／ミサイル遮蔽壁）もまた、厚さ0.3～1メートル（0.98～3.28フィート）の鉄筋入りプレストレストコンクリートでできている。  

安全な運転と炉心損傷の間にあるあらゆる可能な対策が失敗した場合でも、格納容器を無期限に密閉することができ、ほぼあらゆる状況下で環境への放射性物質の大量放出を防ぐことができる。

BWR格納容器の種類

上記のシステムの説明からもわかるように、BWRはPWRとは設計が大きく異なります。PWRは一般的に非常に予測可能な外部格納容器設計（円筒の上に典型的なドームがある）を採用していますが、BWRの格納容器は外観は多様であるものの、内部構造はPWRと比べて非常に特徴的です。BWRの格納容器には大きく分けて5種類あります。

• 「前近代型」格納容器（第1世代）は、球形をしており、蒸気ドラム分離器、または原子炉圧力容器外の蒸気分離器と低圧蒸気用の熱交換器を備えています。この格納容器は現在では旧式化しており、稼働中の原子炉では使用されていません。

• マーク I 格納容器は、長方形の鉄筋コンクリート製の建屋と、鋼製ライニングの円筒形ドライウェルおよびその下にある鋼製ライニングの圧力抑制トーラスを囲む追加の鉄筋コンクリート層から構成されています。マーク I は広く使用された最も初期のタイプの格納容器であり、マーク I を備えた原子炉の多くは現在も稼働しています。このタイプの格納容器には、特に複合限界故障による圧力によって生じる格納容器負荷の秩序ある低減を可能にするために、長年にわたって数多くの安全アップグレードが行われてきました。マーク I の原子炉建屋は、一般的に鉄筋コンクリート製の大きな長方形の構造物の形をしています。

• マークII格納容器はマークIと同様であるが、ドライウェルの非原子炉空洞部の下に円筒形のウェットウェルを設ける代わりに、明確な圧力抑制トーラスを省略している。ウェットウェルとドライウェルはいずれも、マークIと同様に鋼製の一次格納容器構造を有し、さらにマークIと同様に、外側の一次格納容器構造と原子炉建屋の外壁との間に、鋼鉄補強コンクリートの層からなる二次格納容器を備えている。マークIIの原子炉建屋は、概ね上面が平らな円筒形をしている。
• マークIII格納容器は、外観は概ね典型的なPWRと似ており、内部構造も少なくとも表面上は類似点が見られる。例えば、原子炉の燃料交換が行われていない間、作業員が歩行できるコンクリート板が一次格納容器の上部と直下の原子炉圧力容器を覆っている従来の構造とは異なり、マークIIIはBWRをPWRに近い構造に近づけ、このコンクリート板の上に水槽を設置している。その他の変更点としては、ウェットウェルを圧力抑制プールに置き換え、堰壁でドライウェルと分離している点などが挙げられる。

• 先進的な格納容器。ABWRとESBWRの現在のBWR格納容器モデルは、外側も内側もPWRとはかなり異なる古典的なMark I/IIスタイルを彷彿とさせるが、両原子炉とも、原子炉建屋とは明らかに異なるのではなく、安全とは無関係の建屋が原子炉建屋を囲むか、または原子炉建屋に取り付けられているというMark III風のスタイルを取り入れている。これらの格納容器は、以前の格納容器よりもはるかに大きなストレスに耐えられるように設計されており、高度な安全性を提供する。特にGEは、これらの格納容器は、時速330マイル以上の風を伴う旧藤田スケールのレベル5を超える竜巻の直撃に耐えることができると考えている。このような竜巻は地球上で観測されたことがない。また、あらゆる方向で0.2G、つまり毎秒約2メートルの地震加速度に耐えられるように設計されて^いる。

通常のプラント運転中および通常の運転温度では、水素の発生は重要ではありません。核燃料が過熱すると、燃料棒に使用されているジルカロイ被覆材のジルコニウムが蒸気と反応して酸化します。^{[ 11 ]}

Zr + 2H ₂ O → ZrO ₂ + 2H ₂

水素は空気と混合すると可燃性となり、水素爆発や爆燃によって原子炉格納容器が損傷する可能性がある。Mark I や II 格納容器のように格納容器容積が小さい原子炉設計では、水素を管理する好ましい方法は、不活性ガス（一般的には窒素）で事前に不活性化して空気中の酸素濃度を水素燃焼に必要な濃度以下に下げ、熱再結合器を使用することである。熱再結合器と意図的な点火が使用される格納容器容積が大きい場合、事前に不活性化することは非現実的であると考えられている。^{[ 12 ]} Mark III 格納容器には、水素点火器と水素混合器が備えられており、水素濃度が爆発下限の 4% を超える前に事前に点火するか、酸素と再結合して水を生成することによって、水素の蓄積を防ぐように設計されている。

原子力発電所の設計基準事故（DBA）とは、発電所の設計者および規制当局が合理的に想定できる最も深刻な単一事故のことです。また、定義上、原子炉の安全システムが、原子炉が最も脆弱な状態にあるときに発生した場合でも、適切に対応できるように設計されている事故でもあります。BWRのDBAは、原子炉が最も危険な状態にあると考えられる場所で、大型冷却管が完全に破裂する事故です。具体的には、古いBWR（BWR/1～BWR/6）の場合、DBAは、炉心水位よりかなり低い位置にある再循環ジェットポンプの冷却ループで「ギロチン式破断」（LBLOCA、大型破断冷却材喪失事故）が発生し、原子炉内で沸騰した水を補うための給水が失われ（LOFW、適切な給水が失われる）、同時に地域の電力網が崩壊し、特定の原子炉緊急システムへの電力供給が途絶える（LOOP、オフサイト電力供給が途絶える）事故です。 BWRは、このような事故でも炉心に損傷を与えることなく乗り切れるように設計されている。

この事故の説明はBWR/4にも当てはまります。

このような破損が発生した場合（時刻T+0とします）、沸点をはるかに超える加圧された水流が破損したパイプから大気圧のドライウェルに噴出します。この水流は、圧力低下と通常の大気圧下での水の沸点を超えていることから、蒸気に変化します。ドライウェル内の圧力センサーは、遅くともT+0.3までに、ドライウェル内の圧力上昇異常を原子炉保護システム（RPS）に報告します。RPSはこの圧力上昇信号を、ドライウェル内のパイプ破損の兆候として正しく解釈します。その結果、RPSは直ちにフルスクラムを開始し、主蒸気隔離弁を閉じ（格納容器を隔離）、タービンを停止し、残留蒸気を使用してRCICとHPCIのスピンアップを開始しようとし、LPCIとCS用のディーゼルポンプを起動します。

停電がT +0.5秒に発生したと仮定すると、RPSはフロート式無停電電源装置（UPS）で動作しているため、引き続き機能します。ただし、センサーはUPSで動作していないため、RPSはすべてのセンサーが緊急事態を検知していると想定します。停電から1秒以内に、補助バッテリーと圧縮空気供給装置が非常用ディーゼル発電機を起動します。電力はT +25秒までに復旧します。

原子炉炉心に戻りましょう。MSIVの閉鎖（T +2までに完了）により、急速に減圧している原子炉圧力容器に背圧の波が押し寄せますが、再循環ラインの破断による減圧は非常に速く完全なので、蒸気ボイドが液状水に崩壊する可能性は低く、これは問題になりません。HPCIとRCICは、全体的な減圧による蒸気圧の低下により機能しなくなりますが、これもまた問題になりません。T +5以降に利用可能なRCICの流量2,000 L/min（600 US gal/min）では水位を維持するのに不十分であり、T +10で利用可能なHPCIの流量19,000 L/min（5,000 US gal/min）でも、蒸気なしで動作できたとしても水位を維持するのに十分ではないからです。T +10の時点で、原子炉炉心の温度は、この時点でおよびそれ以前に約285 °C (545 °F)であったが、炉心から十分な冷却材が失われたため、燃料棒間の冷却材に空隙ができ始め、燃料棒が急速に加熱され始め、温度が上昇し始める。事故開始からT +12 秒までに、燃料棒の露出が始まる。約T +18 の時点で、燃料棒の一部が540 ° C (1,004 °F)に達する。T +20 頃になると、負の温度係数と負の空隙係数によって温度上昇の速度が遅くなり、いくらか緩和される。T +25で電力が復旧するが、LPCI と CS はT +40まで稼働しない。    

T +40では、炉心温度は650 °C (1,202 °F)に達し、着実に上昇しています。CS と LPCI が作動し、炉心上部の蒸気を放出し始め、次に炉心自体を蒸気で満たします。まず、炉心の上部と内部に閉じ込められた大量の蒸気を最初に減らす必要があります。そうしないと、水が燃料棒に到達する前に蒸気になってしまいます。これは数秒後に発生し、これらのシステムが放出する約 200,000 L/min (3,300 L/s、52,500 US gal/min、875 US gal/s) の水が、まず炉心の上部を冷却し始めます。LPCI が燃料棒を水で満たし、CS が生成された蒸気を抑制します。そして、約T +100 秒で、すべての燃料が水で満たされ、炉心下部の最後に残ったホットスポットが冷却されます。到達した最高温度は、900 ℃（1,650 °F）（NRCが定めた最高温度1,200 ℃（2,190 °F）をはるかに下回る）で、これはコアの底部、つまり水害の影響を最後に受けたホットスポットでの値である。      

炉心は急速かつ完全に冷却され、蒸気発生に適した温度よりも低い適切な温度まで冷却された後、CSは停止され、LPCIの体積は燃料棒間の定常状態温度の維持に適したレベルまで減少する。この温度は、炉心内の核分裂生成物の崩壊熱の減少により、数日かけて低下する。

LPCI を数日実施した後、崩壊熱が十分に低下し、ある程度の注意を払って原子炉の燃料抜き取りを開始できるようになります。燃料抜き取り後、LPCI を停止できます。破損した再循環ループの修理、ECCS、ディーゼルポンプ、ディーゼル発電機のオーバーホール、ドライウェルの排水、すべての原子炉システムの完全な検査、非適合システムの仕様への適合、古くなった摩耗部品の交換など、長期間にわたる物理的な修理が必要になります。同時に、認可者のさまざまな担当者が NRC と協力し、破損の直接の原因が何であったかを評価し、破損の直接の原因につながったイベント (事故の根本原因) を探し、根本原因を分析し、発見された根本原因と直接原因に基づいて是正措置を講じます。その後、事故を概ね振り返り、事後検証し、どの手順が機能し、どの手順が機能しなかったか、そして同じことが再び起こった場合、何をもっとうまくできたか、そして二度と起こらないようにするために何ができるかを議論する期間が続きます。そして、得られた教訓を記録し、他のBWR（沸騰水型原子炉）の運転許可取得者に伝えることも目的としている。これが達成されれば、原子炉は燃料交換を行い、運転を再開し、再び発電を開始することができる。

BWRの最新モデルであるABWRとESBWRは、そもそもこのような事故に対して脆弱ではありません。炉心水面から数フィートより低い位置に液体貫通部（配管）がないため、給水管や蒸気管が破損した場合でも、原子炉圧力容器は深いプールのように水を保持します。BWR 5と6はさらに耐圧性が高く、水位も深く、緊急システムの反応時間もはるかに速くなっています。燃料棒が露出する瞬間はありますが、最高温度は600 ℃（1,112 °F）にしか達せず、NRCの安全限界をはるかに下回ります。  

米国原子力規制委員会による福島第一原子力発電所事故に関する報告書によると、2011年3月に発生した東北地方太平洋沖地震と津波は、福島第一原子力発電所の設計基準をはるかに超える深刻な事象であった。^{[ 13 ]}この発電所の原子炉はBWR 3型とBWR 4型であった。これらの原子炉の一次格納容器はホウ酸を含む海水で浸水し、運転再開は不可能となり、DBAシナリオでは想定されていなかった。さらに、福島第一発電所で発生した化学爆発^{[ 14 ]}に類似する事象はDBAでは想定されていなかった。

福島第一原子力発電所事故以前には、BWRにおいてDBAやLBLOCAに匹敵するほどの深刻な事故は発生していなかった。ECCSに関連する軽微な事故はあったものの、それらの状況下ではECCSは期待通り、あるいは期待以上の性能を発揮していた。BWRでこれまで発生した最も深刻な事故は、1975年にブラウンズフェリー原子力発電所で、耐火材の代わりに極めて可燃性の高いウレタンフォームが設​​置されたことが原因で発生した火災である。制御室の監視装置が一時的に原子炉から遮断されたが、原子炉は正常に停止し、2009年現在もテネシー渓谷開発公社に電力を供給しており、格納容器内のシステムに損傷はなかった。この火災はBWRの設計とは全く関係がなく、どの原子力発電所でも起こり得たものでした。この事故から得られた教訓に基づき、独立したバックアップ制御ステーションの設置、発電所の防火区域への区分け、そしていずれかの防火区域で最悪の火災が発生した場合に原子炉を停止させ、安全な状態を維持するために使用できる機器一式を明確に文書化しました。これらの変更は、米国および西側諸国の既存の原子力発電所すべてに後付けされ、それ以降に建設される新設発電所にも組み込まれました。