INCIDENTI CAUSATI DALLA FISSIONE NUCLEARE - 1
Three Mile Island
Chernobyl
Tokaimura
Three Mile Island è il sito di una centrale nucleare di potenza negli Stati Uniti che, il 28 marzo 1979, ha subito una parziale fusione del nucleo del reattore. La centrale è costruita su un’isola sul fiume Susquehanna nella Contea di Dauphin, Pennsylvania, vicino alla capitale dello stato Harrisburgh, ed ha una estensione di 3.29 km².
La Stazione di Generazione Nucleare di Three Mile Island è composta
da due reattori, ognuno dei quali ha il proprio edificio di contenimento e
la propria torre di raffreddamento. L’incidente si è sviluppato
nel corso di cinque, tesissimi giorni, mentre un certo numero di agenzie federali,
statali e locali cercavano di identificare il problema e di decidere se l’incidente in corso richiedeva o meno l’evacuazione totale della popolazione.
Alla fine il reattore fu riportato sotto controllo, e non venne identificata
alcuna conseguenza diretta prodotta da radiazioni (un rapporto del governo
concluse che “il numero di decessi attesi a causa di cancri fatali dovuti
all’incidente… è all’incirca uno”), anche se l’incidente stesso ebbe serie conseguenze sul piano economico e delle relazioni pubbliche, e il processo di decontaminazione si rivelò lungo e costoso.
L’incidente produsse inoltre un serio declino di popolarità degli impianti nucleari; fino all’Incidente di Chernobyl, sette anni dopo, fu considerato il peggior incidente nucleare civile.
L’incidente ebbe un certo numero di cause primarie, dovute sia a malfunzionamenti tecnici che ad errori umani.
L’incidente nel reattore TMI-2 (l'altro, il TMI-1, era all’epoca
spento in attesa della ricarica del combustibile) ebbe inizio quando la pompa
idraulica principale dell’impianto nel sistema secondario non-nucleare
di raffreddamento andò in avaria alle 4.00 del mattino del 28 marzo
1979.
Questa avaria fu dovuta ad un problema meccanico o elettrico del sistema di
condensazione e causò una riduzione della portata d’acqua, che
impedì alle turbine a vapore di rimuovere il calore in eccesso.
Il sistema della pompa idraulica ausiliaria (di emergenza) era stato lasciato
inavvertitamente chiuso nel corso di una precedente attività di manutenzione.
Prima le turbine, poi il reattore stesso, si spensero automaticamente.
Immediatamente la pressione nel sistema primario (la porzione nucleare dell’impianto) iniziò a salire.
Per impedire che la pressione diventasse eccessiva la valvola di sicurezza
di pressurizzazione (una valvola localizzata in cima al sistema di pressurizzazione)
si aprì. La valvola avrebbe dovuto chiuersi automaticamente una volta
diminuita la pressione, ma non lo fece.
L’unico segnale a disposizione degli operatori segnalava la valvola come
“chiusa”, ma in realtà era solo stato inviato il segnale
di chiusura: il sistema non era in grado di accertare che la valvola fosse
effettivamente chiusa. La spia di segnalazione nella camera di controllo che
avrebbe dovuto indicare la reale posizione della valvola (PORV, pressure operated
relief valve) era stata eliminata durante la costruzione per risparmiare tempo.
Come risultato di questo errore di progettazione, la valvola rimase aperta
causando una diminuzione continua della pressione nel sistema.
Si noti che gli operatori e le procedure operative di emergenza non identificarono l’incidente come LOCA (Loss of Coolant Accident, incidente da perdita di refrigerante) perché non avevano a disposizione strumenti affidabili che indicassero loro la perdita di acqua o il livello nel nucleo in maniera attendibile.
Nel frattempo, un altro problema si presentò in un altro punto dell’impianto alla pompa idraulica di emergenza (il sistema di sicurezza della valvola idraulica principale).
La valvola di emergenza era stata testata 42 ore prima. Come parte del test,
la valvola viene chiusa, per venire riaperta alla fine del test stesso. Solo
che, questa volta, per un errore amministrativo oppure umano, la valvola non
venne riaperta. Questo impedì alla valvola di emergenza di entrare
in funzione durante l’incidente.
La valvola fu scoperta chiusa circa otto minuti dopo l’inizio dell’incidente e riaperta; a questo punto il sistema di emergenza iniziò a funzionare correttamente, pompando acqua nel sistema dei generatori a vapore.
Poiché la pressione all’interno del sistema aveva continuato
a scendere, cominciarono a formarsi dei vuoti (zone dove non è presente
acqua) in parti dell’impianto che non erano il pressurizzatore.
A causa di questi vuoti, l’acqua si redistribuì nel sistema mentre
il pressurizzatore aveva ancora acqua: la turbolenza che si generò
così nell’acqua del pressurizzatore colpì la valvola rimasta
aperta, causando un falso positivo all’indicatore di livello, che segnalò che il pressurizzatore era pieno.
L’indicatore di livello della sala di controllo, che segnala all’operatore
la quantità di liquido di raffreddamento nel pressurizzatore, indicò
in maniera errata che il sistema era di nuovo pieno di acqua. A questo punto
l’operatore bloccò l’immissione di ulteriore acqua, chiudendo
le pompe del Raffreddamento di Emergenza del Nucleo che erano entrate in funzione automaticamente. L’operatore non poteva sapere che, a causa della valvola rimasta aperta, l’indicatore poteva – e in questo caso lo fece – fornire false letture.
Dopo quasi ottanta minuti di lento innalzarsi della temperatura, le pompe
del circuito primario cominciarono a vibrare nel momento in cui del vapore,
invece dell’acqua, cominciò a passar loro attraverso.
Le pompe furono spente e fu ritenuto che la circolazione naturale avrebbe
continuato a mantenere in movimento l’acqua; il vapore presente, invece,
bloccò il circuito primario e, nel momento in cui l’acqua smise
di circolare, cominciò a trasformarsi in vapore in quantità
sempre crescenti.
Circa 130 minuti dopo il primo malfunzionamento, la sommità del nucleo
si trovò esposta; il calore e il vapore avviarono una reazione che
coinvolse l’idrogeno ed i gas radioattivi con il sistema di controllo
delle barre in zirconio.
Il serbatoio di decantazione (che raccoglieva quello che fuoriusciva dalla
PORV) superò il livello di sicurezza, il suo diaframma di sicurezza
si ruppe e liquido di raffredamento radioattivo cominciò a filtrare
all’interno dell’edificio di contenimento.
Alle 6 del mattino ci fu un cambio turno in sala controllo; solo in quel momento, un operatore appena arrivato si accorse che la temperature nella vasca di decantazione era eccessiva e usò una valvola di sicurezza per interrompere la ventilazione del refrigerante. Fino ad allora, però, 950 m³ di refrigerante erano oramai fuorisciti dal circuito primario.
Solo 165 minuti dopo l’inizio dell’emergenza gli allarmi di radioattività si accesero, quando l’acqua contaminata raggiunse i sensori: a quel punto i livelli di radioattività dell’acqua del circuito primario di raffredamento erano 300 volte superiori al limite consentito e l’impianto era irrimediabilmente contaminato.
Alla stanza di controllo non era ancora chiaro che i livelli di acqua nel
circuito primario erano bassi e che oltre metà del nucleo era esposto
(un LOCA). Un gruppo di operai fece rilevazioni di persona dalle termocoppie
e raccolse un campione dell’acqua del circuito primario.
Circa sette ore dopo l’inizio dell’emergenza, nuova acqua fu pompata
nel circuito primario. La valvola secondaria di emergenza fu aperta per ridurre
la pressione.
Circa nove ore dopo l’inizio dell’incidente, l’idrogeno all’interno dell’edificio del reattore prese fuoco e bruciò, senza che nessuno se ne accorgesse.
Circa sedici ore dopo l’inziio dell’incidente, le pompe del circuito
primario furono nuovamente aperte e la temperatura del nucleo cominciò
a diminuire. Una larga parte del nucleo si era fusa e il sistema era ancora
pericolosamente radioattivo.
Nel corso della settimana successiva, il vapore e l’idrogeno vennero rimossi dal reattore, utilizzando un ricombinatore ma anche, in maniera molto controversa, semplicemente ventilando direttamente in atmosfera. Si stima che 2.5 milioni di Curie di gas radioattivo siano stati rilasciati nel corso dell’evento.
