Il termine Scram è un acronimo che sta a indicare lo spegnimento rapido di un reattore. Questo obiettivo si ottiene, come abbiamo visto in precedenza, mediante l’inserimento nel nocciolo delle barre di controllo, la più importante delle quali è quella chiamata barra di sicurezza (Safety Control Rod).
Il riferimento risalirebbe alla prima esperienza di funzionamento di un reattore nucleare, la cosiddetta pila di Fermi, ma non è niente di più di una leggenda. Essa racconta che per garantire lo spegnimento rapido della macchina, un uomo fosse pronto con un’ascia a tagliare la corda che sorreggeva la barra di sicurezza, che sarebbe stata in tal modo introdotta velocemente nel nocciolo per caduta libera a fronte di una possibile situazione di emergenza.
Da questo, il termine SCRAM: Safety Control Rod Axe Man (uomo con l’ascia addetto alla barra di controllo di sicurezza). In realtà, come si diceva, si tratta solo di una ricostruzione favolistica. E’ molto più corretto ritenere che il termine provenga dal verbo inglese to scram, che vuol dire semplicemente: “filarsela”.
Nel reattore di Chernobyl, lo scram si otteneva premendo sulla console il bottone AZ‒5. Il fatidico pulsante AZ‒5. E questo fu l’ultimo atto di una catena eventi che portò alla perdita del reattore. Ma come è possibile? Pigiare quel tasto non avrebbe dovuto spegnere tutto e salvaguardare l’integrità del personale e della macchina? Come sempre, dobbiamo andare con ordine. Occorre parlare proprio del reattore in questione, il primo e più grave anello della catena di elementi e di operazioni che ha portato al disastro.
Nel reattore RBMK 1000 (potenza termica di 3200 MWt; potenza elettrica prodotta di 1000 MWe) la refrigerazione viene garantita dall’acqua, che ha funzione di termovettore, e la moderazione dei neutroni è invece affidata alla grafite. Il corpo cilindrico del reattore è formato da colonne separate di grafite nelle quali sono inseriti i cosiddetti “canali tecnologici (di potenza)” ‒ attraverso opportune aperture ‒ che contengono alternativamente le barre di controllo e gli elementi di combustibile. Il nocciolo ha una larghezza di quasi dodici metri e una profondità di sette e all’interno di questo scorrono 1661 canali di combustibile (due per canale) e 211 canali per le barre di controllo. Inoltre, sono presenti anche dei canali per il raffreddamento della grafite. Nel nocciolo sono caricate 192 tonnellate di uranio, con un volume di grafite pari a oltre 1000 m3 suddiviso in circa 2500 blocchi (v. fig 2).
Tale separazione fra moderatore e refrigerante ‒ cosa che invece nei reattori moderati e raffreddati ad acqua leggera (LWR) non è presente ‒ in alcune situazioni potrebbe rendere il sistema instabile. Se dovesse perdersi infatti la refrigerazione, la presenza stabile della grafite consentirebbe comunque ai neutroni di essere ancora rallentati e di continuare a produrre reazioni nucleari. In questo caso, lo spegnimento sarebbe affidato alle sole barre di controllo.
In più ci sarebbe la questione riguardante proprio la presenza della grafite e dell’associato effetto che va sotto il nome di effetto Wigner, che pone un limite alle temperature raggiungibili nella grafite stessa. Si tratta di un fenomeno per cui uno o più atomi del reticolo cristallino vengono rimossi dalla loro posizione di equilibrio a causa dell’urto con i neutroni che devono essere rallentati. L’energia di questi ultimi è ceduta agli atomi delle posizioni interstiziali della grafite: a temperature superiori a un certo limite, questi difetti si ricombinano rilasciando energia, detta appunto energia di Wigner. Ciò potrebbe portare a un cospicuo aumento della temperatura all’interno della grafite stessa (picco termico). Tale effetto si ritiene non abbia avuto influenza diretta sulla sequenza incidentale ma che sia stata invece critica appena dopo, nella fase di “fuoco di grafite”.
Nella parte superiore del nocciolo è presente un grande e complesso sistema, alto quasi quaranta metri, che consente lo scarico e il carico degli elementi di combustibile anche con il reattore in funzione (v. fig. 3)
L’acqua, spinta dalle pompe di circolazione, entra nei canali di potenza dal basso, si riscalda sino all’ebollizione ed evapora nel nocciolo. Uscendo da quest’ultimo, la miscela acqua‒vapore passa attraverso quattro grandi separatori di vapore. Da questi, la parte liquida ritorna a fluire nei canali di potenza mediante le pompe di circolazione, mentre il vapore è inviato ad attivare due gruppi turbina‒alternatore. Il vapore in uscita dalle turbine viene condensato e l’acqua risultante, preriscaldata, è inviata al separatore di vapore (v. fig. 2).
Potente e relativamente a basso costo di installazione, il reattore RBMK 1000 soffriva di una nutrita serie di problemi legati alla sicurezza che alla fine hanno agito quasi in sinergia per produrre il disastro. Si può affermare che la prima e principale causa di tutto ciò che è avvenuto sia da ricondurre, infatti, proprio alla progettazione dell’impianto.
Il 28 marzo del 1979, in Pennsylvania, si verificò il più grave incidente nucleare mai registrato negli Stati Uniti, presso l’unità 2 dell’impianto di Three Mile Island (TMI–2). Un incidente che produsse la fusione parziale del nocciolo del reattore per cause comunque completamente diverse da quelle prodotte a Chernobyl (v. fig. 4).
A fronte di tale evento, ci fu uno sversamento di acqua debolmente radioattiva nel locale edificio ausiliari. Gli effetti radiologici sulla popolazione limitrofa furono però trascurabili (meno dell’1% della dose assorbita annualmente per la presenza della radioattività naturale).
Perché, pur nella similarità degli effetti legati alla fusione del nocciolo, i due eventi hanno avuto esiti così diversi?
La prima risposta sta in una sola parola: contenimento. E questa è connessa a una filosofia della sicurezza che nella quasi totalità dei reattori ad acqua leggera viene rispettata: la cosiddetta Difesa in Profondità (Defence in Depth). Essa consiste nell’individuare dei livelli e delle barriere di contenimento progressivi per evitare che i prodotti di fissione possano riversarsi nell’ambiente esterno, partendo proprio dal contenimento del combustibile (e dei prodotti di fissione) all’interno degli stessi elementi, passando a quello del circuito refrigerante e poi a quello del contenitore del nocciolo (vessel), fino al contenimento offerto dall’edificio strutturato per resistere a terremoti e ad altri eventi distruttivi. Questo, descritto in prima approssimazione.
Il reattore di Chernobyl non seguiva una filosofia di contenimento propriamente detto ma era a “compartimenti”. La grafite e i canali di potenza erano contenuti in una calandria limitata superiormente da una piastra di 2000 tonnellate (assieme allo schermo biologico superiore) che ospitava i meccanismi di controllo delle barre di controllo. E l’edificio non aveva alcuna delle caratteristiche che lo avrebbero reso adatto alla funzione di contenimento in caso di incidente severo con dispersione di inquinanti radioattivi.
Tra le criticità di questo impianto, ricordiamo il già citato coefficiente di vuoto sensibilmente positivo, che iniettava ulteriore reattività nel sistema, associato alla separazione tra refrigerante e moderatore.
Un altro grave problema derivava proprio da come erano state progettate e strutturate le barre di controllo. Alla porzione di barra dedicata all’assorbimento dei neutroni (essenzialmente boro) seguiva in basso un cilindro di alluminio contenente grafite, alto 4.5 metri, che serviva ad aumentare la capacità di moderazione (e quindi ad aumentare la probabilità di produrre fissioni) e che si affacciava alla parte centrale del nocciolo (v. fig. 5). In fase di inserimento della barra, lo spostamento di acqua dalla parte inferiore del canale ‒ mentre l’asta si spostava verso il basso dalla sua posizione di fine corsa superiore ‒ causava un inserimento locale di reattività positiva nella parte inferiore del nocciolo (scram positivo). Un aumento di reattività che poteva durare anche alcuni secondi. La loro corsa era pure troppo lenta rispetto agli standard: occorrevano ben 18 secondi per l’inserimento rapido nel nocciolo al fine di spegnere le reazioni, contro i due secondi medi di altri impianti.
Quando un reattore di quel tipo viene caricato con combustibile fresco, la sua riserva di reattività (ricordiamo di cosa si tratta: è la sua disponibilità alla variazione di potenza) supera la capacità delle barre di controllo di fermare la reazione. Per compensare questo squilibrio, nel nocciolo si inseriscono alcuni elementi che assorbono neutroni (assorbitori secondari o supplementari) al posto del combustibile. Man mano che l’uranio si esaurisce, questi assorbitori supplementari si estraggono e al loro posto si inseriscono altri elementi di combustibile. Con una prescrizione fondamentale: in alcun caso il numero di questi assorbitori, può scendere sotto le ventotto – trenta unità. È questo ciò che viene chiamato Margine di Reattività Operativo (MRO). La violazione di questa prescrizione, forse la più grave, è stata fondamentale nella dinamica dell’incidente.
Dato che al destino non manca mai una buona dose di crudele ironia, il test che si voleva allestire presso l’impianto aveva una sua intrinseca validità nell’ottica della sicurezza. Ma era molto delicato e sufficientemente pericoloso per le modalità richieste dalla sua conduzione e soprattutto per le caratteristiche dell’impianto che l’avrebbe ospitato.
L’esperimento aveva lo scopo di verificare la possibilità di sfruttare l’energia meccanica residua (inerziale) del rotore della turbina ‒ isolata dal generatore di vapore ‒ per produrre energia elettrica sufficiente al fabbisogno dell’unità in caso di guasto all’alimentazione di rete (station blackout) per il tempo necessario (oggetto della verifica) all’intervento dei generatori di emergenza, che si inserivano con un ritardo di qualche decina di secondi. L’importanza di questo esperimento risiedeva nel fatto che il sistema di raffreddamento di emergenza (ECCS, come abbiamo visto) era predisposto per un simile regime di funzionamento.
Un esperimento analogo era stato già condotto in precedenza, ma non aveva prodotto il risultato sperato. Occorreva inserire una modifica nei criteri attuativi ma le relative procedure per preparare il test non avevano ottenuto la necessaria approvazione. La sezione relativa alle misure di sicurezza risultavano puramente formali. Lo stesso test prevedeva che per il tempo necessario al suo svolgimento, il sistema di emergenza ECCS venisse disattivato, senza l’utilizzo di altri sistemi di sicurezza compensativi. Ciò significava che, per almeno quattro ore, la sicurezza del reattore fosse decisamente limitata. Il problema è che alla luce di ciò che è avvenuto, l’impianto è stato senza ECCS per oltre undici ore!
Come recita il documento a cura dell’Agenzia Atomica Internazionale IAEA, INSAG‒7 (Safety Series No. 75‒INSAG-7 ‒ INSAG‒7 The Chernobyl Accident: Updating of INSAG‒1 ‒ A Report by the International Nuclear Safety Advisory Group (INSAG), 1992, rintracciabile a questo link), cui rimando per tutti gli approfondimenti del caso perché esso rappresenta un report completo e ufficiale sull’analisi degli eventi accaduti a Chernobyl, “Il blocco dell’ECCS durante questo periodo e l’autorizzazione per un periodo prolungato con un sistema di sicurezza vitale non disponibile sono indicativi dell’assenza di cultura della sicurezza”.
E con queste premesse, siamo arrivati al 25 aprile del 1986...