Ydinturvallisuus tarkoittaa toimenpiteitä, joilla pyritään estämään ydinonnettomuudet ja, jos estäminen ei onnistu, lieventämään onnettomuuden seurauksia. Ydinenergian käytön yhteydessä syntyy suuria määriä radioaktiivisia aineita, joiden pääsy ympäristöön pitää estää luotettavasti. Jos ydinreaktori vaurioituu niin, että radioaktiivisia aineita pääsee leviämään ympäristöön, niiden lähettämä säteily voi aiheuttaa vahinkoa ihmisille. Ydinenergian käyttöön liittyvää riskiä ei pystytä täysin poistamaan, mutta huolellisella suunnittelulla ja käytöllä riski saadaan hyvin pieneksi.
Tämä artikkeli käsittelee ydinturvallisuuden periaatteita. Onnettomuuksien syistä ja seurauksista kerrotaan tarkemmin artikkeleissa Ydinonnettomuus ja Sydämen sulamisonnettomuus. Säteilyltä suojautumista käsitellään artikkelissa Säteilyturvallisuus.
Ydinturvallisuuden perustoiminnot pienoiskuva|Ydinvoimalan suojarakennus (containment building) estää radioaktiivisten aineiden leviämisen ympäristöön onnettomuustilanteessa. Ydinturvallisuuden kolme perustoimintoa ovat ketjureaktion hallinta, polttoaineen jäähdyttäminen ja radioaktiivisten aineiden leviämisen estäminen. Jos nämä perustoiminnot pystytään hoitamaan, ydinvoima on turvallista.
Ketjureaktion hallinta Ketjureaktion hallinnan menettäminen voi johtaa niin sanottuun reaktiivisuusonnettomuuteen, jossa ydinreaktorin teho kasvaa äkillisesti. Tällöin reaktorin polttoaine kuumenee nopeasti, mikä voi johtaa sen vaurioitumiseen tai sulamiseen ja radioaktiivisten aineiden vapautumiseen. Näin tapahtui Tšernobylin onnettomuudessa.
Ydinreaktorit pyritään suunnittelemaan siten, että lämpötilan nousu tai veden kiehuminen hidastaa ketjureaktiota. Tämä estää reaktorin tehon hallitsemattoman kasvun. Ketjureaktion nopeaa pysäyttämistä varten reaktoreissa on pikasulkujärjestelmä ja sitä varmentava boorausjärjestelmä. Painevesireaktoreissa pikasulku saadaan aikaan pudottamalla säätösauvat reaktorin sydämeen ylhäältä päin. Pudotus tapahtuu katkaisemalla sauvoja kannattelevien sähkömagneettien virta. Kiehutusvesireaktoreissa säätösauvat taas laukaistaan reaktoriin alhaalta päin hydraulisen pikasulkujärjestelmän avulla. Säätösauvojen juuttumisen varalta ketjureaktio voidaan pysäyttää myös pumppaamalla reaktoriin booriliuosta, joka absorboi neutroneja.
Polttoaineen jäähdyttäminen Jos ydinreaktorin polttoainetta ei pystytä jäähdyttämään, sen lämpötila nousee. Tämä voi johtaa polttoaineen vaurioitumiseen tai sulamiseen ja radioaktiivisten aineiden vapautumiseen. Näin tapahtui Three Mile Islandin ja Fukushiman onnettomuuksissa. Ydinreaktorin toimiessa sen polttoaineeseen kertyy fissiotuotteita, joiden radioaktiivisessa hajoamisessa syntyy lämpöä, jota kutsutaan jälkilämmöksi, koska sen tuotto jatkuu vielä ketjureaktion pysäyttämisen jälkeen. Suuren reaktorin jälkilämpöteho on niin suuri, että se voi sulattaa polttoainesauvat. Sen takia polttoainetta täytyy jäähdyttää vielä ketjureaktion pysäyttämisen jälkeen.
Ydinreaktorit varustetaan hätäjäähdytysjärjestelmillä, joilla reaktoriin voidaan pumpata lisää jäähdytysvettä. Jos primääripiirissä on suuri vuoto, lisävettä on pystyttävä toimittamaan paljon ja nopeasti. Pienissä vuodoissa on puolestaan kyettävä lisäämään jäähdytysvettä primääripiiriin silloin, kun sen paine on vielä korkea. Tämän vuoksi reaktoreissa on normaalisti kaksi erilaista hätäjäähdytysjärjestelmää, korkeapaineinen ja matalapaineinen. Painevesireaktoreissa käytetään lisäksi passiivista hätäjäähdytysjärjestelmää, jossa vettä on varastoitu typellä paineistettuihin säiliöihin, joita kutsutaan myös hätäjäähdytysakuiksi. Vesi purkautuu näistä säiliöistä automaattisesti reaktoriin, kun reaktorin paine alittaa säiliöiden paineen. Hätäjäähdytysjärjestelmien pumppujen ja venttiilien sähkönsyöttö on varmistettu dieselgeneraattoreilla. Hätäjäähdytysjärjestelmät on tavallisesti mitoitettu riittäväksi kaikkiin muihin tilanteisiin paitsi reaktoripainesäiliön suureen murtumaan.
Radioaktiivisten aineiden leviämisen estäminen Reaktorin normaalin toiminnan aikana lähes kaikki ydinvoimalan radioaktiiviset aineet ovat polttoainesauvojen sisällä. Onnettomuustilanteessa polttoainesauvat voivat rikkoutua, jolloin radioaktiiviset aineet pääsevät vapautumaan. Viimeinen este radioaktiivisuuden leviämiselle ympäristöön on suojarakennus. Tšernobylin ydinvoimalassa ei ollut varsinaista suojarakennusta ollenkaan. Fukushimassa taas suojarakennukset eivät kestäneet onnettomuuden aiheuttamia kuormituksia. Sen sijaan Three Mile Islandin onnettomuudessa suojarakennus pysyi ehjänä ja esti suuret päästöt ympäristöön.
Syvyyspuolustusperiaate pienoiskuva|Syvyyspuolustusperiaate. Juustosiivut kuvaavat peräkkäisiä puolustustasoja, ja niissä olevat reiät kuvaavat virheitä tai vikoja. Onnettomuus voi tapahtua, jos uhka (hazard) pystyy läpäisemään kaikki puolustustasot. Ydinturvallisuuden perustoiminnot pyritään hoitamaan usealla peräkkäisellä, toisiaan varmentavalla tasolla. Tätä toimintatapaa sanotaan syvyyspuolustusperiaatteeksi tai syvyyssuuntaiseksi turvallisuusajatteluksi (defence in depth).
Eri maissa on hieman erilaisia tapoja luokitella syvyyspuolustuksen puolustustasoja. Suomessa on käytössä seuraavat viisi puolustustasoa:
Häiriöiden ehkäiseminen niin, että vältetään poikkeamat laitoksen normaalista käytöstä Häiriötilanteiden hallinta niin, että ne eivät kehity onnettomuuksiksi Onnettomuustilanteiden hallinta niin, että estetään polttoaineen vaurioituminen Päästöjen rajoittaminen vakavissa onnettomuuksissa niin, että suojarakennus säilyy ehjänä Päästöjen seurausten lieventäminen väestönsuojelutoimenpitein (evakuointi, sisätiloihin suojautuminen, joditabletit).
Olennaista syvyyspuolustuksessa on se, että eri puolustustasojen täytyy olla toisistaan riippumattomia. Esimerkiksi onnettomuustilanteiden hallintaan ei voi varautua samoilla laitteilla, joita tarvitaan häiriötilanteissa. Näin yksittäisen järjestelmän vikaantumisen seurauksena voidaan menettää vain yksi viidestä puolustustasosta. Oikein toteutettu syvyyspuolustus varmistaa, että mikään yksittäinen laitevika tai ihmisen tekemä virhe ei voi aiheuttaa säteilyvaaraa, ja että sellaiset useiden vikojen ja virheiden yhdistelmät, jotka voisivat aiheuttaa vaaraa, ovat hyvin harvinaisia.
Radioaktiivisten aineiden leviämisesteet pienoiskuva|Radioaktiivisten aineiden leviämisesteet: 1 polttoaineen kiinteä, keraaminen rakenne; 2 polttoainesauvan suojakuori; 3 reaktoripainesäiliö; 4 suojarakennus; 5 reaktorirakennus, joka toimii suojarakennusta varmentavana rakenteena. Kolmatta ydinturvallisuuden perustoimintoa eli radioaktiivisten aineiden leviämisen estämistä varten ydinvoimalassa on useita peräkkäisiä leviämisesteitä. Ensimmäisen esteen muodostavat fissiotuotteita pidättävä polttoaineen keraaminen rakenne sekä zirkoniumista tehty polttoaineen suojakuori. Polttoaine on toisen leviämisesteen eli reaktoripainesäiliön sisällä. Kolmantena esteenä on reaktoria ympäröivä paineenkestävä ja kaasutiivis suojarakennus. Varsinainen suojarakennus ympäröidään usein toisella rakennuksella niin, että rakennusten väliin jäävä tila voidaan pitää alipaineisena. Välitilasta poistettava ilma ohjataan suodattimen kautta ilmastointipiippuun. Ulompi suojarakennus myös suojaa varsinaista suojarakennusta ulkoisilta uhilta, kuten lentokoneiden törmäyksiltä.
Redundanssi, diversiteetti ja fyysinen erottelu Turvallisuusjärjestelmien luotettavuutta pyritään parantamaan redundanssin, diversiteetin ja fyysisen erottelun avulla.
Redundanssi eli moninkertaisuusperiaate tarkoittaa, että jokainen turvallisuusjärjestelmä koostuu monesta samanlaisesta rinnakkaisesta osajärjestelmästä. Tärkeimmät järjestelmät suunnitellaan niin, että turvallisuuden perustoiminnot pystytään suorittamaan, vaikka mikä tahansa yksittäinen laite vikaantuisi ja mikä tahansa toinen laite olisi poissa käytöstä huollon vuoksi. Tämä on niin sanottu N+2-vikakriteeri. Se toteutetaan usein neljällä rinnakkaisella osajärjestelmällä, joista kahden kapasiteetti riittää turvallisuustoiminnon suorittamiseen. Redundanssin heikkous on, että se on altis yhteisvioille. Yhteisvika tarkoittaa, että monta samanlaista laitetta vikaantuu yhtä aikaa samasta syystä, esimerkiksi suunnittelu- tai valmistusvirheen tai virheellisen huoltotyön takia.
Yhteisvikoja voidaan välttää diversiteetin eli erilaisuusperiaatteen avulla. Se tarkoittaa, että sama turvallisuustoiminto voidaan toteuttaa kahdella erilaisella järjestelmällä. Esimerkiksi ketjureaktion pysäyttämiseen on kaksi erilaista järjestelmää, joista toinen käyttää säätösauvoja ja toinen syöttää booriliuosta reaktoriin.
Fyysinen erottelu tarkoittaa, että turvallisuusjärjestelmän rinnakkaiset osajärjestelmät sijoitetaan eri tiloihin. Silloin esimerkiksi tulva tai tulipalo yhdessä tilassa voi rikkoa vain yhden osajärjestelmän, mutta sen rinnakkaiset redundanssit pysyvät toimintakuntoisina. Fukushiman laitoksella fyysinen erottelu oli laiminlyöty, kun kaikki sähköä tuottavat dieselgeneraattorit oli sijoitettu samaan tilaan. Sen takia tsunami pystyi hukuttamaan kaikki generaattorit ja katkaisemaan sähköt koko laitokselta.
Passiiviset ja aktiiviset turvallisuusjärjestelmät Ydinvoimalaitosten turvallisuusjärjestelmät perustuvat yleensä aktiivisiin laitteisiin kuten pumppuihin, jotka toimivat sähköllä. Aktiiviset järjestelmät eivät toimi sähkökatkoksen aikana. Luotettavuuden parantamiseksi on kehitetty myös passiivisia turvallisuusjärjestelmiä, jotka toimivat ilman sähköä tai muuta ulkoista käyttövoimaa.
Passiiviset järjestelmät voidaan jakaa puolipassiivisiin ja täysin passiivisiin. Puolipassiiviset tarvitsevat aktiivisen käynnistyksen, kuten venttiilin avaamisen, mutta sen jälkeen ne toimivat itsestään. Täysin passiiviset järjestelmät taas eivät tarvitse aktiivisia komponentteja edes käynnistykseen. Esimerkki puolipassiivisesta järjestelmästä on Hanhikiven reaktoriin suunniteltu höyrystimien kautta toimiva passiivinen jäähdytysjärjestelmä. Se käynnistyy avaamalla venttiilit, mutta sen jälkeen jäähdytysvesi kiertää höyrystimen ja lämmönvaihtimen välillä luonnonkierrolla, joka perustuu siihen, että kuuma vesi on kevyempää kuin kylmä vesi. Hanhikivelle on tulossa myös täysin passiivinen suojarakennuksen jäähdytysjärjestelmä. Se toimii myös luonnonkierrolla, mutta sen käynnistyminen ei vaadi mitään toimenpiteitä, vaan jäähdytysvesi alkaa virrata, jos lämpötila suojarakennuksessa nousee. Molemmat järjestelmät pystyvät Fennovoiman mukaan poistamaan reaktorin jälkilämmön kolmen vuorokauden ajan.
Syvyyspuolustusperiaatteen mukainen neljäs puolustustaso eli suojarakennuksen pitäminen ehjänä vakavassa onnettomuudessa pyritään hoitamaan mahdollisimman pitkälle passiivisilla järjestelmillä, koska sähkökatkos voi olla onnettomuuden aiheuttaja. Sen takia onnettomuuden seurausten lieventämisessä ei voida luottaa siihen, että sähkövirtaa olisi saatavilla. Vetyrekombinaattori on tavallinen esimerkki täysin passiivisesta laitteesta. Se poistaa vetyä ydinvoimalan suojarakennuksesta vakavan onnettomuuden aikana. Sen tarkoituksena on estää vetyräjähdykset, ja se käynnistyy itsestään ja toimii passiivisesti. Rekombinaattoreita on Loviisan ydinvoimalan suojarakennuksissa ja Olkiluoto 3:ssa, ja sellaisia tulee myös Hanhikivelle.
Aktiiviset, pumppuihin perustuvat turvallisuusjärjestelmät ovat usein tehokkaampia kuin passiiviset. Sen takia passiivisia turvallisuusjärjestelmiä on helpompi suunnitella pieniin ydinreaktoreihin, jotka tarvitsevat vähemmän jäähdytystehoa. Passiivisia järjestelmiä pidetään usein luotettavampina kuin aktiivisia, koska ne eivät ole riippuvaisia sähkövirrasta ja niissä on muutenkin vähemmän liikkuvia osia, jotka voisivat vikaantua. Toisaalta passiivisilla järjestelmillä voi olla muita vikaantumistapoja, joista kaikkia ei ehkä vielä tunneta, koska niistä on vähemmän käyttökokemuksia kuin perinteisistä aktiivisista järjestelmistä.
Järjestelmien turvallisuusluokittelu