Candu Reactor Design for Enhanced Resistance to External Threats

Desenho sísmico: Spectra de resposta específica do local para testes de componentes

As instalações nucleares canadenses estão localizadas em terreno geologicamente estável, mas as plantas CANDU são projetadas para terremotos muito mais graves do que o máximo histórico para suas localizações. O processo de qualificação sísmica começa com uma avaliação probabilística de perigo sísmico específica do local. Estruturas, sistemas e componentes são categorizados em classes sísmicas. Sistemas necessários para o desligamento seguro – como sistemas de desligamento, resfriamento de núcleo de emergência e isolamento de contenção – são qualificados para manter a função durante e após o terremoto de encerramento seguro. Qualificação se estende além da análise de papel.

Muitos componentes, incluindo mecanismos de controle e conjuntos de motores de bomba, foram testados fisicamente em mesas de balanço para pontos de falha. O arranjo horizontal de canal de combustível proporciona uma vantagem de segurança. Ao contrário de grandes vasos de pressão vertical que podem experimentar momentos de quebra ou de flexão significativos, os efeitos de onda do eixo horizontal da calandra limitam e distribuem cargas inerciais mesmo nos escudos de extremidade reforçados e paredes de cofres.

Sistemas de segurança passivo e autônomo

Embora o CANDU seja frequentemente caracterizado por sistemas de segurança ativos altamente confiáveis, inúmeras funções passivas e semi-passivas funcionam sem energia externa de CA ou ação do operador por longos períodos. Estes são críticos durante ameaças externas que podem causar o apagão da estação ou obrigar a evacuação.

Dois sistemas independentes de desligamento diferentes

Cada CANTU tem dois sistemas de desligamento fisicamente e funcionalmente separados de diferentes princípios de design. Sistema de desligamento 1 (SDS1) usa hastes absorventes de neutrões de gotas de gravidade assistidas por molas que caem no núcleo quando as embraiagens de corrente contínua liberam. Sistema de desligamento 2 (SDS2) injeta veneno de nitrato de gadolínio líquido no moderador através de acionamento de hélio de alta pressão. O SDS2 atua em um mecanismo físico diferente – absorção de neutrões através de um veneno dissolvido – e pode ser desencadeado por um conjunto de parâmetros de viagem completamente independente. A lógica de viagem é bem ligada, usando amplificadores magnéticos ou relés de estado sólido, não computadores baseados em software. Esta diversidade elimina falhas de modo comum de erros de software ou ataques cibernéticos e garante pelo menos um método de subcrítica rápida sob qualquer evento inicial.

A indisponibilidade combinada é menor que 10–6 por demanda, tornando o mais confiável entre os projetos de reatores.

Moderador como dissipador de calor passivo

O grande volume de água pesada fresca na calandra (cerca de 265 toneladas em um CANDU-6) serve como o dissipador de calor passivo final em condições de acidente grave. Se todas as vias normais de remoção de calor falharem, as temperaturas do canal de combustível aumentam até que o tubo de pressão caiandra e contacta o tubo de calandra, transferindo calor para o moderador. O moderador está conectado a um circuito de refrigeração separado, mas mesmo sem resfriamento ativo, a inércia térmica deste enorme inventário de água pode atrasar danos no núcleo por muitas horas, comprando tempo para medidas de gestão de acidentes. Pesquisa em Laboratórios de Rio Chalk e, mais tarde, em Laboratórios Nuclear Canadian experimentalmente validou que esta capacidade de dissipador de calor moderador trava a progressão da degradação do núcleo na ausência de qualquer injeção de emergência, um cenário muito além da base de projeto.

Refrigeração de emergência e injeção conduzida por gravidade

O sistema de refrigeração de núcleo de emergência (ECCS) em um CANDU inclui injeção de alta pressão, recirculação de pressão média e fornecimento de baixa pressão de longo prazo.Desenhe evoluções – particularmente no CANDU-6 aprimorado e no ACR-1000 – incorporam tanques elevados que podem fornecer água de resfriamento por meio da cabeça de gravidade por várias horas após uma perda de frio. Mesmo em instalações operacionais atuais, a colocação estratégica do tanque de diluição dentro da cúpula de contenção fornece um grande volume de água que pulveriza passivamente para conter a pressão, impulsionada apenas por diferencial de pressão de vapor. Este pulverizador passivo resfria a atmosfera de contenção e esfrega radionuclídeos sem bombas acionadas a motor.

Resistência aos atos externos malévolos

Segurança física e Controle de Acesso

As estações de CANDU utilizam uma filosofia de “ilha segura”. A área protegida é definida por múltiplas barreiras passivas: esgrima externa de ligação em cadeia com sensores de detecção de intrusão, uma parede de perímetro endurecida e zonas de exclusão de veículos. As barreiras de veículos capazes de parar um caminhão totalmente carregado em velocidade são instaladas em todos os pontos de acesso críticos. Todos os pontos de entrada são equipados com sistemas biométricos e de leitura de crachás. Áreas de acesso de materiais – onde estão localizados combustível, combustível usado e equipamentos de segurança – requerem autenticação multifatorial adicional. A ameaça de base de projeto (DBT) usada para upgrades de segurança da CANDU, guiada por documentos regulamentares do CNSC e alinhadas com as recomendações INFCIRC/25/Rev.5, inclui uma força adversária bem armada e multiprongida.

A arquitetura da planta, com seus edifícios separados de reatores, hall de turbinas e edifícios de serviços, cria distâncias de parada naturais e pontos de estrangulamento que dificultam extremamente uma aquisição hostil.

Cibersegurança e Resiliência Digital

Os CANDUs antigos inicialmente usaram instrumentação analógica e controle (I&C) com simples computadores de viagem digital isolados de redes externas. Projetos modernos de renovação em Darlington e Bruce introduziram sofisticados sistemas de controle digital, mas com uma característica arquitetônica de segurança crítica: o I&C relacionado à segurança é completamente conectado ao ar da rede de negócios da planta e da internet. A comunicação com sistemas de segurança é uma saída única para monitoramento. Controladores lógicos programáveis usados para controles de equilíbrio de plantas estão atrás de várias camadas de firewalls, diodos de dados e sistemas de detecção de intrusões. Avaliações de segurança mandatadas pelo CNSC REGDOC-2.5.2 impõem testes de penetração periódica contra o sistema de segurança cibernética do Instituto Nacional de Padrões e Tecnologia (NIST), garantindo que mesmo ameaças cibernéticas sofisticadas não podem manipular funções de segurança.

Extremos ambientais e resistência climática

Inundação, Vento Alto e Winterização

As instalações de CANDU estão localizadas no interior em elevações significativas acima do nível máximo provável de inundação. As disposições de projeto abordam a hidrologia extrema. As estruturas de ingestão de água de refrigeração são protegidas por toros de paragem, portões de inundação e, em alguns casos, bombas de bomba de serviço elevadas. Bombas de água essenciais são instaladas em cofres à prova d'água com design submersível. As cargas de vento são tomadas de eventos de base de projeto tornado. Sistemas de fixação, pilhas de ventilação e suportes de guindastes suspensos são todos classificados para velocidades do vento superiores a 320 km/h. As linhas de transmissão são encaminhadas através de corredores separados para reduzir a chance de um único evento meteorológico desativar todas as conexões de energia fora do local simultaneamente.

Dado o clima canadense, as plantas CANTU incorporam ampla invernoização. As telas de admissão podem ser aquecidas ou acionadas por ar para evitar o entupimento de gelo frazil. Os tanques de segurança e piping são tracados e insulados. As plantas são testadas regularmente para condições de frio, garantindo que os geradores de diesel de emergência comecem em segundos mesmo após a exposição prolongada a temperaturas

Estresse térmico e resistência à seca

As plantas CANDU têm sistemas de ingestão de água projetados para níveis variáveis de rios ou lagos. As torres de refrigeração, onde instaladas, podem lidar com o fluxo de água reduzido, mantendo o vácuo do condensador. As plantas em climas mais quentes, como o Qinshan e Cernavoda da China, adaptaram seus sistemas de rejeição de calor a condições locais, incluindo condensadores maiores ou células adicionais de torre de resfriamento. Esta adaptabilidade garante uma operação segura, mesmo com temperaturas externas superiores aos registros históricos.

Concepção de combustível e tolerância ao acidente

O feixe de combustível CANDU é um pequeno conjunto de 0,5 metros de comprimento contendo partículas de dióxido de urânio natural envolto em revestimento fino de Zircaloy. O comprimento do feixe curto dá-lhe robustez única. Em acidentes de perda de refrigerante, o combustível pode suportar um grau de secagem e excursão de temperatura sem fragmentação catastrófica, porque o comprimento curto minimiza o balão e curvamento. A proximidade do moderador em torno de cada canal garante que a transferência de calor radiativa para o tubo de calandras refrigerador começa imediatamente se o tubo de pressão se distende. Exame pós-irradiação do combustível submetido a condições simuladas de acidente em Laboratórios Nucleares Canadianos mostrou que o feixe CANDU mantém sua geometria resfriável em condições muito mais severas do que uma LOCA de grande quebra combinada com perda de ECCS.

Desenvolvimento avançado de combustível, incluindo o uso de revestimentos silicidas e revestimentos compostos, está estendendo ainda mais essas margens.

Reabastecimento de energia e gestão do estado do sistema

O reabastecimento de energia em funcionamento da CANDU permite aos operadores substituir o combustível enquanto o reator está em plena potência, eliminando a necessidade de reabastecimento de saídas que concentram janelas de risco. Em um ambiente de ameaça externa deteriorando – digamos, um furacão em desenvolvimento ou um alerta de segurança credível – a usina pode continuar produzindo energia, reduzindo a dependência de eletricidade fora do local para sistemas de segurança, mantendo a capacidade de scram instantaneamente. A distribuição de burnup do núcleo de equilíbrio também significa que o dano do combustível é menos provável se ocorrer uma perda parcial de resfriamento, uma vez que o núcleo não está carregado com conjuntos de alta potência para limitar o burnup. Esta característica, combinada com a capacidade de mudar padrões de combustível para o fluxo achatado, contribui para uma redução global da probabilidade de falha de combustível durante os transientes.

Experiência operacional e melhoria contínua

A frota global de CANDU acumulou mais de 40 anos de operação no Canadá, além de vasta experiência na Romênia, Coreia do Sul, China, Argentina e anteriormente Paquistão. Esta história operacional foi explorada para lições sobre resiliência de perigo externo. Após o acidente de Fukushima Daiichi em 2011, todos os operadores de CANDU realizaram testes de estresse com foco em apagão prolongado da estação, avaliações de margem sísmica e segurança do depósito de combustível usado em condições extremas. Os aprimoramentos resultantes incluíram a adição de equipamentos portáteis de emergência (estratégia FLEX), vias de ventilação de contenção endurecida e conexões reforçadas para geradores e bombas móveis. A supervisão regulamentar do CNSC garantiu que qualquer lacuna fosse encerrada. As lições aprendidas com as unidades Cernavoda, que operam de acordo com as normas nucleares europeias, foram integradas de volta aos procedimentos operacionais canadenses, demonstrando a cultura de aprendizagem colaborativa da frota.

Aprovações internacionais de regulamentação

A avaliação genérica do projeto do CANDU-6 melhorado realizada pelo CNSC, e as análises de licenciamento bem sucedidas para as unidades Cernavoda na Romênia e as unidades Wolsong na Coreia do Sul (uma região sísmica ativa), colocaram o projeto em escrutínio exaustivo. As missões da AIEA Operational Safety Review Team (OSART) e a Convenção sobre Segurança Nuclear de revisão por pares notam repetidamente as margens substanciais no projeto de contenção do CANDU, a eficácia dos dois sistemas de desligamento e a forte cultura de segurança em locais de multiunidades canadenses. A World Nuclear Association (WNA) também publicou relatórios destacando a flexibilidade do projeto para várias condições de localização. Estes selos internacionais de aprovação refletem um projeto que atende – e muitas vezes excede – às normas mais recentes para proteção externa de eventos.

Gerenciando eventos de baixa probabilidade e alta consequência

Para ameaças extremamente raras, como nuvens de cinzas vulcânicas, pulso eletromagnético (EMP) ou tempo espacial, as plantas de CANDU incorporaram características de segurança. A lógica de segurança crítica é implementada em hardware não baseado em microprocessadores imune ao EMP. A grande camada de contenção de concreto fornece proteção eletromagnética substancial. Mesmo que todos os controles baseados em microprocessadores tenham sido perdidos, os dois sistemas de desligamento podem ser ativados manualmente da sala de controle principal ou da área de controle secundária usando interruptores com fios rígidos, e o resfriamento pode ser sustentado através de bombas auxiliares de alimentação a vapor ou operações manuais de válvulas. Os procedimentos para esses eventos além do projeto que envolvem os observadores reguladores anualmente. A diversidade e redundância incorporada no projeto significam que, mesmo nos cenários mais extremos, os operadores têm múltiplos caminhos independentes para manter o desligamento seguro.

Gestão de Combustíveis Gastados

O combustível usado CANDU é armazenado em piscinas cheias de água no local e, eventualmente, em recipientes de armazenamento seco. Estas instalações são projetadas para suportar as mesmas ameaças externas que o edifício do reator. Poças de combustível gasto são construídas com sistemas de isolamento de concreto armado grosso e sísmico. Módulos de armazenamento seco são testados para mísseis tornados, terremotos e exposição a fogo. O resfriamento passivo inerente ao projeto de barril seco garante que não é necessária nenhuma energia ativa ou intervenção do operador por décadas.

Esta abordagem garante que as ameaças externas não podem comprometer o armazenamento de combustível gasto, uma lição reforçada pelo acidente de Fukushima.

Conclusão

A arquitetura do reator CANDU – um tubo de pressão, núcleo moderado em água pesada, envolto em uma contenção massivamente superengenhada, apoiada por dois sistemas de desligamento diversos, e cercado por circuitos de processo separados por quadrantes – proporciona uma defesa formidável contra o espectro de ameaças externas. Quer o desafio seja um choque sísmico, um impacto malicioso de aeronaves, um ataque ciberfísico coordenado ou um apagão de estação duradouro de uma grade induzida pelo clima, as camadas de proteção passiva e ativa do projeto garantem que a segurança pública permaneça fundamental. Atualizações contínuas e informadas de risco, guiadas por um ambiente regulatório descomprometido e um forte circuito de feedback de uma grande frota operacional, transformaram o CANDU em um modelo comprovado de energia nuclear resiliente. Para nações que buscam um reator de energia que possa resistir ao inesperado ao fornecer eletricidade de carga de base confiável, o projeto CANDU oferece uma profundidade de segurança e durabilidade convincente.