Die Freiheitsmaschine – der Integral Fast Reactor (Teil 3: Sicherheit)

< == Teil 2: Konstruktionsprinzipien

Als im Jahr 1986 der Reaktorkern des Kernkraftwerks in Chernobyl schmolz, wußten nur wenige, dass einige Monate vorher auch in den Vereinigten Staaten ein Kernreaktor seines Kühlmechanismus beraubt worden war.

Wieso gab es in den USA keinen Katastrophenalarm, keine Evakuierung, keinen Einsatz der Nationalgarde?

Der fragliche Reaktor schmolz nicht. Seine Leistung sank, kurz nachdem die Kühlung zum Erliegen gekommen war, auf wenige Prozent ihres Ausgangswertes herab und pendelte sich so ein, dass der natürliche Wärmetransport durch Konvektion und Leitung zum Konstanthalten der Temperatur genügte.

Der EBR-II – denn um diesen handelte es sich – hatte nicht durch einen Unfall seinen Kühlkreislauf verloren. Die Wissenschaftler und Ingenieure hatten absichtlich bei voller Reaktorleistung im ersten Experiment die Pumpen des Primärkreislaufs abgeschaltet, im zweiten die des Sekundärkreislaufs. Beide Male erreichte der Reaktor einen stabilen Zustand, ohne dass irgendeine Komponente beschädigt wurde. Vor den Experimenten war sicherheitshalber ein spezielles Notaussystem installiert worden. Doch dieses mußte nie aktiviert werden. Der EBR-II hatte seine inhärente Sicherheit unter Beweis gestellt.

Man führe sich vor Augen, dass diese Tests die Maschine einer Situation aussetzten, die die Ursache des Reaktorunfalls in Fukushima Daiichi weit übertraf: Denn dort wurde die Kettenreaktion durch „Scram“ (deutsch: RESA – Reaktorschnellabschaltung) erfolgreich gestoppt, die Nachzerfallswärme war es, die die Kerne zum Schmelzen brachte. Der EBR-II hingegen stabilisierte sich ohne jede Beschädigung, obwohl die Kühlung bei voller Leistung abgeschaltet worden war!

Woher nahm dieser Reaktor die fast wundersam erscheinende Fähigkeit, Zwischenfälle mühelos zu überleben, die bei einem LWR augenblicklich zu hochriskanten Bedingungen führen würden?

Im vorigen Beitrag über den IFR haben wir schon angedeutet, worauf die fantastische Robustheit dieser Technik beruht: Poolbauweise des Primärkreislaufs und Metallbrennstoff.

An technischen Anlagen beliebiger Art gibt es prinzipiell zwei Methoden, Schäden zu vermeiden: Zum einen kann man durch aktive Maßnahmen, die durch das Bedienpersonal oder automatische Schaltungen eingeleitet werden, zu verhindern suchen, dass kritische Situationen auftreten. Zum anderen – und dies ist der Weg des IFR – kann die Anlage von den gewählten Materialien und physikalischen Prinzipien her so konstruiert sein, dass kritische Situationen, wenn sie auftreten, nicht dazu führen können, dass Betriebszustände eintreten, die unzulässige Folgen haben. Mit „unzulässige Folgen“ ist im Fall einer Kernenergieanlage gemeint: Das Entweichen von radioaktiven Substanzen in die Umgebung. Natürlich wird ein IFR auch über (gestaffelte) Schutzmechanismen der ersten Art, die durch aktive Wirkung von Steuer- und Abschaltstäben in kritischen Fällen die Reaktion stoppen, verfügen. Aber im äußerst unwahrscheinlichen Fall, dass all diese aktiven Mechanismen versagen, nimmt der Reaktor aufgrund seiner physikalischen Beschaffenheit dennoch keinen Schaden. Die Experimente am EBR-II zeigten, dass dieses Designziel realisierbar ist.

Wie funktioniert das?

Jeder kennt den Dopplereffekt – vom vorbeifahrenden Rettungswagen, oder auch aus einem Lied von Kraftwerk (ab 0:58): Entfernt sich eine Schwingungs- bzw. Wellenquelle, wird die Frequenz verringert (Ton sinkt), nähert die Quelle sich, steigt sie (Ton wird höher). In der Quantenmechanik wird gezeigt, dass auch Materieteilchen, z. Bsp. Neutronen, Welleneigenschaften haben.

Die Kerne von Brut- und Spaltstoff (U238 und Pu239) haben in einem bestimmten Energiebereich sogenannte Resonanzen. Das bedeutet, dass Neutronen, die mit diesen Energien auf sie prallen, mit hoher Wahrscheinlichkeit eingefangen werden, ohne Spaltungen auszulösen – sie fehlen dann der Kettenreaktion. Die Resonanzen haben die Form vieler dicht beeinanderliegender scharfer Maxima der Einfangquerschnittskurve (rote Kurve im Schaubild). Durch die zufällige, thermische Bewegung der Kerne werden die Resonanzmaxima verbreitert, denn durch die Relativbewegung „sieht“ der Kern ein etwas energiereicheres (wenn er sich auf das einfallende Neutron zu bewegt) bzw. energieärmeres (wenn er sich von ihm wegbewegt) Teilchen – genau wie beim akustischen Dopplereffekt. Um eine bestimmte Resonanz zu treffen, muss das Teilchen folglich eine niedrigere bzw. höhere Energie haben, als wenn der Kern stillstehen würde (was sie in der Realität nur asymptotisch bei Annäherung an den absoluten Temperaturnullpunkt tun). Sind viele Kerne beisammen – in einem Brennstab bzw. dem ganzen Reaktor – muss über ihre statistisch verteilten thermischen Geschwindigkeiten gemittelt werden: Die Resonanz des einen Kernes ist zu höheren Energien verschoben, die des anderen zu niedrigeren usw. Durch die Mittelung über eine große Anzahl von Kernen ergeben sich insgesamt verbreiterte Resonanzmaxima: Die scharfen Spitzen werden zu breiteren Hügeln. Durch diese Verbreiterung nimmt die Wahrscheinlichkeit, dass ein Neutron im Resonanzbereich eingefangen wird, ohne bei der Kettenreaktion mitzuwirken, zu. Das bedeutet, dass eine höhere Temperatur (stärkere thermische Bewegungen) die Neutronenmultiplikation und dadurch die Reaktivität verringert.

Dieser Effekt ist bei thermischen Reaktoren ausgeprägter als bei schnellen, da die Resonanzen in einem niedrigeren Energiebereich als das Spaltspektrum liegen.

Die Reaktivität ist ein Maß für die Abweichung des Reaktors vom Gleichgewichtszustand. Sie berechnet sich nach der Formel:

[math]!\rho = \frac{k – 1}{k}[/math]

wobei [math]k[/math] der Neutronenmultiplikationsfaktor ist, der angibt, wie stark sich die Anzahl der Neutronen während ihrer durchschnittlichen Lebensdauer ändert. Im Gleichgewicht ist [math]k=1[/math] und entsprechend [math]\rho = 0[/math], bei zunehmender Reaktorleistung [math]k \textgreater 1[/math] und [math]\rho \textgreater 0[/math], bei abnehmender [math]0 \textless k \textless 1[/math] und [math]\rho \textless 0[/math]. Man sieht, dass [math]k[/math] und [math]\rho[/math] vom physikalischen Inhalt her völlig äquivalent sind, es ist jedoch praktischer (und üblicher) mit der Reaktivität [math]\rho[/math] zu rechnen.

Das Wichtige ist nun, dass bei einer Leistungsverringerung des Reaktors der Dopplereffekt „überfahren“ werden muss: Sinkende Leistung bedingt sinkende Temperatur, was zu geringerem Resonanzeinfang führt – die Reaktivität wird dadurch wieder erhöht, der Reaktor „wehrt“ sich gegen die Leistungsverringerung. Man spricht daher auch von im Brennstoff gespeicherter Dopplerreaktivität, die umso größer ist, je höher die Temperatur in den Brennstäben.

Hier kann nun der Metallbrennstoff des IFR die erste seiner herausragenden Sicherheitseigenschaften ausspielen: Da Metalle Wärme viel besser leiten als Oxide und andere keramische Materialien, ist bei ihnen die Brennstofftemperatur nur um ca. 200 Grad höher als die Kühlmitteltemperatur – bei Oxidbrennstäben liegt die Differenz dagegen bei fast 2000 Grad. Leistungssenkungen in Metallbrennstäben sind daher viel leichter zu erzielen, da viel weniger gespeicherte Dopplerreaktivität überwunden werden muss!

Aber wie kommt die Leistungssenkung bei Pumpenausfall überhaupt in Gang? Woher „weiß“ der Reaktor, dass er herunterfahren muss?

Nach Abschalten der Kühlung nimmt die Temperatur im Reaktor zunächst zu – aber ohne ihn zu beschädigen, denn die Pumpen bleiben ja nicht schlagartig stehen, sondern haben (wie jeder Motor) eine gewisse Ablaufzeit, während derer der Kühlmittelstrom langsamer wird. Zusammen mit der sehr großen Speicherfähigkeit des Natriumpools für Wärme sorgt dies für einen ausreichenden Energietransport weg vom Kern. Durch die Temperaturzunahme dehnt sich der Reaktor geringfügig aus – insbesondere das Strukturmaterial zwischen den Brennstäben, so dass die Neutronenleckrate erhöht wird und die Reaktivität sinkt. Die Leistung nimmt dadurch automatisch ab – selbst in dem Fall, dass aus irgendwelchen Gründen keine Reaktorschnellabschaltung durchgeführt werden konnte. Die geringe Dopplerreaktivität des Metallbrennstoffs erlaubt ein rasches Absinken der Reaktionsrate, bis sich nach einigen Minuten die Reaktorleistung auf einem niedrigen Niveau einpendelt, die mit dem Wärmetransport durch natürliche, konvektive Zirkulation – innerhalb des Pools – und durch Wärmeleitung – aus dem Pool hinaus in Luftzugschächte, die die Wärme an die Umgebung abgeben – genau im Gleichgewicht ist. Dieses gutartige Verhalten selbst bei schwersten Unfällen („Loss of Flow without Scram“ – Versagen der Primärpumpen bei voller Reaktorleistung und „Loss of Heat Sink without Scram“ – Versagen des Sekundärkreislaufs) wurde in aufsehenerregnden Experimenten am EBR-II auch in der Praxis bestätigt!

Nun sollte man sich natürlich die Frage stellen, ob dies nur bei so kleinen Reaktoren wie dem EBR-II (20 MWe) funktioniert, oder ob die Sicherheitseigenschaften sich auf große kommerzielle Reaktoren (mehrere 100 bis 1000 MWe) übertragen lassen.

Die Antwort ist verblüffend: Das Verhalten ist in guter Näherung unabhängig von der Reaktorgröße! Zwar ist bei großen Kernen die Neutronenleckrate geringer, so dass die Ausdehnung bei Erwärmung eine geringere Leistungsabnahme bewirkt, was eine etwas höhere Stabilisierungstemperatur zur Folge hat, aber die Effekte, die den Reaktor bei Kühlungsausfall von selbst herunterfahren lassen, wirken hier ebenso. Dies liegt daran, dass die „gespeicherte“ Dopplerreaktivität kein Stoff ist, dessen Menge mit der Reaktorgröße zunimmt, sondern eine von den physikalischen Parametern des Brennstoffs – Zusammensetzung und Temperatur – bestimmte Eigenschaft des Reaktors, und somit unabhängig von dessen Größe.

Auch bei großen Kernen (ca. 1000 MWe) ist daher bei Kühlungsausfall ein gutartiges Verhalten zu erwarten: Stets bleibt überall im Kern ein großer Temperaturabstand (selbst während der anfänglichen Temperaturspitze direkt nach Pumpenausfall liegt er bei über 100 Grad) zum Siedepunkt des Natriums bzw. der Schadensgrenze von Strukturmaterial und Brennstoff gewahrt.

Aber die Sicherheitseigenschaften des IFR gehen sogar noch viel weiter.

Was, wenn durch irgendeine Einwirkung – z. Bsp. plötzliches Herausziehen einer großen Anzahl von Steuerstäben oder schlagartiges Stehenbleiben des Kühlmittelstromes durch Verstopfung der Kühlkanäle  – der Kern so stark beschädigt wird, dass die passiven Selbstregulierungsmechanismen nicht mehr funktionieren? Auch in diesem Fall stoppt sich der Reaktor selbsttätig. Hier kommt der niedrige Schmelzpunkt des Metallbrennstoffs ins Spiel, der – beinahe paradoxerweise – einen entscheidenden Sicherheitsvorteil bietet.

Die größte Temperatur hat der Kern oben beim Kühlmittelausfluss, dort wo auch das Kühlmittel am wärmsten ist – deshalb fängt der Brennstoff hier als erstes an weich zu werden und sich auszudehnen, wodurch Spaltstoff aus der Reaktionszone herausgeschoben und die Reaktivität gesenkt wird. Reicht dies noch nicht aus, um die Maschine unterkritisch werden zu lassen und beginnen die Brennstäbe zu schmelzen, dann treiben der Druck der eingeschlossenen Spaltgase, der Kühlmittelstrom und der Dampfdruck des Natriums in den Brennstäben die Schmelze sofort aus der Reaktionszone heraus. Dies verringert die Reaktivität drastisch: Der Reaktor wird rasch unterkritisch, weiteres Schmelzen oder starke Energiefreisetzungen werden unterbunden.

Auch dieses Verhalten wurde experimentell bestätigt. Mittels der Transient Reactor Test Facility (TREAT) wurden verschiedene Leistungsexkursions-Experimente durchgeführt, die die Erwartungen verifizierten: Stieg die Reaktorleistung auf das Vier- bis Fünffache des Normalwertes an (bei Oxidbrennstoff reicht schon das Dreifache!), so versagen die Brennstoffhüllen – der halbgeschmolzene Brennstoff aber wird von den oben beschriebenen Effekten sofort aus der Reaktionszone herausgetrieben, was zu einer massiven Reaktivitätsabnahme führt. Selbst sehr starke Leistungsexkursionen können so beendet werden, ohne dass promptkritische Anordnungen entstehen oder radioaktive Stoffe freigesetzt werden.

Betrachten wir zum Schluß noch den nichtradioaktiven Teil der Anlage: Den sekundären Natriumkreislauf – das Primärnatrium verlässt den Reaktorpool ja nicht – und den Dampferzeuger. Manche betrachten diesen Bereich skeptisch, da Natrium dafür bekannt ist, sowohl mit Luftsauerstoff wie auch mit Wasser heftig zu reagieren.

Natrium brennt mit geringerer Wärmeentwicklung als Kohlenwasserstoffe und geringer Flammenhöhe. Natriumbrände können daher von nahem bekämpft werden, wofür anorganische Löschpulver eingesetzt werden sollten.

Bisher ist es noch bei keinem Schnellen Reaktor zu ernstlichen Problemen bezüglich des Natriums gekommen – schließlich wird das (Sekundär-)Natrium, das den Reaktor verlässt, nicht radioaktiv, seine Handhabung ist also eine rein „chemische Angelegenheit“, keine nukleare. Vorkehrungen gegen Brände dienen nur dazu, die Investition in die Anlage zu schützen. Natrium wird in der chemischen Industrie mit großer Geläufigkeit gehandhabt.

Der größte Natriumbrand, der bisher bei einem Reaktor vorkam, ereignete sich 1995 bei dem japanischen Monju-Versuchsreaktor. 640 kg traten aus einem Rohr des Sekundärkreislaufs aus, weil an einer Stelle, an der ein Meßgerät in den Kreislauf eingelassen war, sich durch Vibrationen ein Leck gebildet hatte. Der Reaktor wurde daraufhin heruntergefahren, das Sekundärnatrium abgelassen. Der Brand konnte ohne größere Schwierigkeiten unter Kontrolle gebracht werden.

Die Leitungen des Sekundärkreislaufs können mit vielen verschiedenen Methoden auf Lecks kontrolliert werden: Rauchmelder, Photometer, spektroskopische Detektoren, Lichtemissions- und -absorptionsdetektoren. Auffangbecken verhindern, dass eventuell austretendes Natrium mit dem Beton von Boden oder Wänden reagiert.

Der Dampferzeuger kann sehr robust konstruiert werden: Gerade verlaufende Röhren mit doppelten Wandungen. Die Dampferzeuger Schneller Reaktoren haben sich als sehr zuverlässig erwiesen: Insbesondere bei dem des EBR-II trat während der gesamten 30jährigen Betriebsdauer nie ein einziges Leck auf! Dies liegt auch mit daran, dass sich Natrium sehr gutartig gegenüber anderen Metallen verhält: Es greift sie nicht chemisch an.

Zusätzlich kann der Dampferzeuger mit einer Sollbruchscheibe ausgerüstet werden, die in dem Fall, dass Wasser oder Dampf unter Druck in das Natrium eindringen, birst und das Natrium in einen Auffangtank strömen lässt. Die Natrium/Wasser-Reaktionsprodukte werden abgeschieden und gesammelt bzw. die gasförmigen durch ein Wasserstoff-Abflammrohr nach außen abgegeben.

Man sollte in diesem Zusammenhang sich nochmals ins Gedächtnis rufen, dass es dem Reaktor selbst völlig egal ist, was mit den Kühlkreisläufen passiert – im Fall der Fälle senkt er seine Leistung von alleine. Selbst wenn aus irgendwelchen Gründen der Dampferzeuger vollständig abbrennen sollte – der Kernreaktor bleibt stabil, es gelangen keine radioaktiven Stoffe ins Freie.

Wer sich trotz alledem nicht dafür erwärmen kann, Natrium und Wasser durch ein und dieselbe Anlage zu schicken, kann seinen Turbinenkreislauf auch unter Benutzung von superkritischem Kohlendioxid konstruieren.

Zusammenfassung:

• Ausfall der Kühlsysteme ist für einen IFR ein völlig harmloses Ereignis, da er sich aufgrund der physikalischen Eigenschaften des Reaktorkerns in solchen Fällen rasch selbsttätig stabilisiert – auch dann, wenn das Abschaltsystem versagt!
• Auch extremste Unfälle, z. Bsp. komplette Blockierung des Kühlmittelflusses, führen nicht zu Schäden außerhalb des Reaktors: Aufgrund des Ausdehnungsverhaltens der Brennstäbe bei Überhitzung wird sofort viel Spaltstoff aus der Reaktionszone entfernt, was die Reaktivität massiv absenkt und den Reaktor unterkritisch werden lässt.
• Das primäre, radioaktive Natrium verlässt den Reaktorpool – der über eine doppelte Wand verfügt, deren Zwischenraum mit dem inerten Gas Argon gefüllt ist – nie. Potentielle Austritte und Brände des nichtradioaktiven Sekundärnatriums sind durch entsprechende Sensoren, Auffangvorrichtungen und Entlastungssysteme einfach zu beherrschen. Man bedenke auch, dass das Natrium nicht unter Druck steht und bei einem Leck nur langsam austritt.
• Der Reaktorkern schützt sich selbst: Im Gegensatz zu Leichtwasserreaktoren, die über aktive Schutzmechanismen verfügen müssen, verhindert der IFR-Kern durch die ihm zugrundeliegenden physikalischen Prinzipien ohne Zutun von Menschen oder externen Automatiken das Eintreten kritischer Situationen. Selbst wenn die gesamte Bedienmannschaft tot und ringsum ein Katastrophengebiet wäre, könnte ein IFR keinen „Super-GAU“ erleiden. Mit anderen Worten: Er ist inhärent sicher.

Artikel:

U. S. Department of Energy Research News: Passively safe reactors rely on nature to keep them cool

Dr. John Sackett: Operating and Test Experience for the Experimental Breeder Reactor II (EBR-II) (siehe insbes. Abschnitt III-C)

Papers:

Wade et al. (1996): The safety of the IFR

ANL Technical Report: Wade and Chang (1987): The integral fast reactor (IFR) concept: Physics of operation and safety

==> Teil 4: Brennstoffaufbereitung und Pyroprocessing