Ydinturvallisuus

Ydinturvallisuus tarkoittaa toimenpiteitä, joilla pyritään estämään ydinonnettomuudet ja, jos estäminen ei onnistu, lieventämään onnettomuuden seurauksia. Ydinenergian käytön yhteydessä syntyy suuria määriä radioaktiivisia aineita, joiden pääsy ympäristöön pitää estää luotettavasti. Jos ydinreaktori vaurioituu niin, että radioaktiivisia aineita pääsee leviämään ympäristöön, niiden lähettämä säteily voi aiheuttaa vahinkoa ihmisille. Ydinenergian käyttöön liittyvää riskiä ei pystytä täysin poistamaan, mutta huolellisella suunnittelulla ja käytöllä riski saadaan hyvin pieneksi.
Tämä artikkeli käsittelee ydinturvallisuuden periaatteita. Onnettomuuksien syistä ja seurauksista kerrotaan tarkemmin artikkeleissa Ydinonnettomuus ja Sydämen sulamisonnettomuus. Säteilyltä suojautumista käsitellään artikkelissa Säteilyturvallisuus.

Ydinturvallisuuden perustoiminnot

Ydinturvallisuuden kolme perustoimintoa ovat ketjureaktion hallinta, polttoaineen jäähdyttäminen ja radioaktiivisten aineiden leviämisen estäminen. Jos nämä perustoiminnot pystytään hoitamaan, niin ydinvoiman käyttö on turvallista.

Ketjureaktion hallinta

Ketjureaktion hallinnan menettäminen voi johtaa ns. reaktiivisuusonnettomuuteen, jossa ydinreaktorin teho kasvaa äkillisesti. Tällöin reaktorin polttoaine kuumenee nopeasti, mikä voi johtaa sen vaurioitumiseen tai sulamiseen ja radioaktiivisten aineiden vapautumiseen. Näin tapahtui Tšernobylin onnettomuudessa.
Ydinreaktorit pyritään suunnittelemaan siten, että lämpötilan nousu tai veden kiehuminen hidastaa ketjureaktiota. Tämä estää reaktorin tehon hallitsemattoman kasvun. Ketjureaktion nopeaa pysäyttämistä varten reaktoreissa on pikasulkujärjestelmä ja sitä varmentava boorausjärjestelmä. Painevesireaktoreissa pikasulku saadaan aikaan pudottamalla säätösauvat reaktorin sydämeen ylhäältä päin. Pudotus tapahtuu katkaisemalla sauvoja kannattelevien sähkömagneettien virta. Kiehutusvesireaktoreissa säätösauvat taas laukaistaan reaktoriin alhaalta päin hydraulisen pikasulkujärjestelmän avulla. Säätösauvojen juuttumisen varalta ketjureaktio voidaan pysäyttää myös pumppaamalla reaktoriin booriliuosta, joka absorboi neutroneja.

Polttoaineen jäähdyttäminen

Jos ydinreaktorin polttoainetta ei pystytä jäähdyttämään, niin sen lämpötila nousee. Tämä voi johtaa polttoaineen vaurioitumiseen tai sulamiseen ja radioaktiivisten aineiden vapautumiseen. Näin tapahtui Three Mile Islandin ja Fukushiman onnettomuuksissa. Ydinreaktorin toimiessa sen polttoaineeseen kertyy fissiotuotteita. Näiden fissiotuotteiden radioaktiivisessa hajoamisessa syntyy lämpöä, jota kutsutaan jälkilämmöksi, koska sen tuotto jatkuu vielä ketjureaktion pysäyttämisen jälkeen. Suuren reaktorin jälkilämpöteho on niin suuri, että se voi sulattaa polttoainesauvat. Sen takia polttoainetta täytyy jäähdyttää vielä ketjureaktion pysäyttämisen jälkeen.
Ydinreaktorit varustetaan hätäjäähdytysjärjestelmillä, joilla reaktoriin voidaan pumpata lisää jäähdytysvettä. Jos primääripiirissä on suuri vuoto, on pystyttävä toimittamaan lisävettä paljon ja nopeasti. Pienissä vuodoissa on puolestaan kyettävä lisäämään jäähdytysvettä primääripiiriin silloin, kun sen paine on vielä korkea. Tämän vuoksi reaktoreissa on normaalisti kaksi erilaista hätäjäähdytysjärjestelmää, korkeapaineinen ja matalapaineinen. Painevesireaktoreissa käytetään lisäksi passiivista hätäjäähdytysjärjestelmää, jossa vettä on varastoitu typellä paineistettuihin säiliöihin, joita kutsutaan myös hätäjäähdytysakuiksi. Vesi purkautuu näistä säiliöistä automaattisesti reaktoriin, kun reaktorin paine alittaa säiliöiden paineen. Hätäjäähdytysjärjestelmien pumppujen ja venttiilien sähkönsyöttö on varmistettu dieselgeneraattoreilla. Hätäjäähdytysjärjestelmät on tavallisesti mitoitettu riittäväksi kaikkiin muihin tilanteisiin paitsi reaktoripainesäiliön suureen murtumaan.

Radioaktiivisten aineiden leviämisen estäminen

Reaktorin normaalin toiminnan aikana lähes kaikki ydinvoimalan radioaktiiviset aineet ovat polttoainesauvojen sisällä. Onnettomuustilanteessa polttoainesauvat voivat rikkoutua, jolloin radioaktiiviset aineet pääsevät vapautumaan. Viimeinen este radioaktiivisuuden leviämiselle ympäristöön on suojarakennus. Tšernobylin ydinvoimalassa ei ollut varsinaista suojarakennusta ollenkaan. Fukushimassa taas suojarakennukset eivät kestäneet onnettomuuden aiheuttamia kuormituksia. Sen sijaan Three Mile Islandin onnettomuudessa suojarakennus pysyi ehjänä ja esti suuret päästöt ympäristöön.

Radioaktiivisten aineiden leviämisesteet

Kolmatta ydinturvallisuuden perustoimintoa eli radioaktiivisten aineiden leviämisen estämistä varten ydinvoimalassa on useita peräkkäisiä leviämisesteitä. Ensimmäisen esteen muodostavat fissiotuotteita pidättävä polttoaineen keraaminen rakenne sekä zirkoniumista tehty polttoaineen suojakuori. Polttoaine on toisen leviämisesteen eli reaktoripainesäiliön sisällä. Kolmantena esteenä on reaktoria ympäröivä paineenkestävä ja kaasutiivis suojarakennus. Varsinainen suojarakennus ympäröidään usein toisella rakennuksella niin, että rakennusten väliin jäävä tila voidaan pitää alipaineisena. Välitilasta poistettava ilma ohjataan suodattimen kautta ilmastointipiippuun. Ulompi suojarakennus myös suojaa varsinaista suojarakennusta ulkoisilta uhilta, kuten lentokoneiden törmäyksiltä.

Redundanssi, diversiteetti ja fyysinen erottelu

Turvallisuusjärjestelmien luotettavuutta pyritään parantamaan redundanssin, diversiteetin ja fyysisen erottelun avulla.
Redundanssi eli moninkertaisuusperiaate tarkoittaa, että jokainen turvallisuusjärjestelmä koostuu monesta samanlaisesta rinnakkaisesta osajärjestelmästä. Tärkeimmät järjestelmät suunnitellaan niin, että turvallisuuden perustoiminnot pystytään suorittamaan, vaikka mikä tahansa yksittäinen laite vikaantuisi ja mikä tahansa toinen laite olisi poissa käytöstä huollon vuoksi. Tämä on niin sanottu N+2-vikakriteeri. Se toteutetaan usein neljällä rinnakkaisella osajärjestelmällä, joista kahden kapasiteetti riittää turvallisuustoiminnon suorittamiseen. Redundanssin heikkous on, että se on altis yhteisvioille. Yhteisvika tarkoittaa, että monta samanlaista laitetta vikaantuu yhtä aikaa samasta syystä, esimerkiksi suunnittelu- tai valmistusvirheen tai virheellisen huoltotyön takia.
Yhteisvikoja voidaan välttää diversiteetin eli erilaisuusperiaatteen avulla. Se tarkoittaa, että sama turvallisuustoiminto voidaan toteuttaa kahdella erilaisella järjestelmällä. Esimerkiksi ketjureaktion pysäyttämiseen on kaksi erilaista järjestelmää, joista toinen käyttää säätösauvoja ja toinen syöttää booriliuosta reaktoriin.
Fyysinen erottelu tarkoittaa, että turvallisuusjärjestelmän rinnakkaiset osajärjestelmät sijoitetaan eri tiloihin. Silloin esimerkiksi tulva tai tulipalo yhdessä tilassa voi rikkoa vain yhden osajärjestelmän, mutta sen rinnakkaiset redundanssit pysyvät toimintakuntoisina. Fukushiman laitoksella fyysinen erottelu oli laiminlyöty, kun kaikki sähköä tuottavat dieselgeneraattorit oli sijoitettu samaan tilaan. Sen takia tsunami pystyi hukuttamaan kaikki generaattorit ja katkaisemaan sähköt koko laitokselta.

Passiiviset ja aktiiviset turvallisuusjärjestelmät

Ydinvoimalaitosten turvallisuusjärjestelmät perustuvat yleensä aktiivisiin laitteisiin kuten pumppuihin, jotka toimivat sähköllä. Aktiiviset järjestelmät eivät toimi sähkökatkoksen aikana. Luotettavuuden parantamiseksi on kehitetty myös passiivisia turvallisuusjärjestelmiä, jotka toimivat ilman sähköä tai muuta ulkoista käyttövoimaa.
Passiiviset järjestelmät voidaan jakaa puolipassiivisiin ja täysin passiivisiin. Puolipassiiviset tarvitsevat aktiivisen käynnistyksen, kuten venttiilin avaamisen, mutta sen jälkeen ne toimivat itsestään. Täysin passiiviset järjestelmät taas eivät tarvitse aktiivisia komponentteja edes käynnistykseen. Esimerkki puolipassiivisesta järjestelmästä on Hanhikiven reaktoriin suunniteltu höyrystimien kautta toimiva passiivinen jäähdytysjärjestelmä. Se käynnistyy avaamalla venttiilit, mutta sen jälkeen jäähdytysvesi kiertää höyrystimen ja lämmönvaihtimen välillä luonnonkierrolla, joka perustuu siihen, että kuuma vesi on kevyempää kuin kylmä vesi. Hanhikivelle on tulossa myös täysin passiivinen suojarakennuksen jäähdytysjärjestelmä. Se toimii myös luonnonkierrolla, mutta sen käynnistyminen ei vaadi mitään toimenpiteitä, vaan jäähdytysvesi alkaa virrata, jos lämpötila suojarakennuksessa nousee. Molemmat järjestelmät pystyvät Fennovoiman mukaan poistamaan reaktorin jälkilämmön kolmen vuorokauden ajan.
Syvyyspuolustusperiaatteen mukainen neljäs puolustustaso eli suojarakennuksen pitäminen ehjänä vakavassa onnettomuudessa pyritään hoitamaan mahdollisimman pitkälle passiivisilla järjestelmillä, koska sähkökatkos voi olla onnettomuuden aiheuttaja. Sen takia onnettomuuden seurausten lieventämisessä ei voida luottaa siihen, että sähkövirtaa olisi saatavilla. Vetyrekombinaattori on tavallinen esimerkki täysin passiivisesta laitteesta. Se poistaa vetyä ydinvoimalan suojarakennuksesta vakavan onnettomuuden aikana. Sen tarkoituksena on estää vetyräjähdykset, ja se käynnistyy itsestään ja toimii passiivisesti. Rekombinaattoreita on Loviisan ydinvoimalan suojarakennuksissa ja Olkiluoto 3:ssa, ja sellaisia tulee myös Hanhikivelle.
Aktiiviset, pumppuihin perustuvat turvallisuusjärjestelmät ovat usein tehokkaampia kuin passiiviset. Sen takia passiivisia turvallisuusjärjestelmiä on helpompi suunnitella pieniin ydinreaktoreihin, jotka tarvitsevat vähemmän jäähdytystehoa. Passiivisia järjestelmiä pidetään usein luotettavampina kuin aktiivisia, koska ne eivät ole riippuvaisia sähkövirrasta ja niissä on muutenkin vähemmän liikkuvia osia, jotka voisivat vikaantua. Toisaalta passiivisilla järjestelmillä voi olla muita vikaantumistapoja, joista kaikkia ei ehkä vielä tunneta, koska niistä on vähemmän käyttökokemuksia kuin perinteisistä aktiivisista järjestelmistä.

Järjestelmien turvallisuusluokittelu

Ydinvoimalaitoksen järjestelmät ja laitteet luokitellaan turvallisuusluokkiin niiden turvallisuusmerkityksen mukaan. Turvallisuusluokittelun tarkoitus on, että laitteiden suunnittelussa ja valmistuksessa osataan asettaa tiukimmat laatuvaatimukset turvallisuuden kannalta tärkeimmille laitteille ja toisaalta ei käytetä liikaa resursseja vähemmän tärkeisiin laitteisiin. Turvallisuusluokittelu otetaan huomioon myös laitteiden tarkastuksessa ja testauksessa: korkeampien turvallisuusluokkien laitteita tarkastetaan useammin ja tarkemmin kuin matalampien.
Suomessa on käytössä kolme turvallisuusluokkaa (1, 2 ja 3) sekä luokka EYT (ei ydinteknisesti turvallisuusluokiteltu). Turvallisuusluokkaan 1 kuuluvat kaikkein tärkeimmät järjestelmät eli ne, joiden vaurioituminen voi aiheuttaa onnettomuuden, esimerkiksi reaktorin polttoaine, painesäiliö ja primääripiiri. Turvallisuusluokkaan 2 kuuluvat mm. ne järjestelmät, joita tarvitaan onnettomuustilanteissa estämään polttoaineen vaurioituminen, esimerkiksi reaktorin hätäjäähdytysjärjestelmät. Turvallisuusluokkaan 3 kuuluvat mm. ne järjestelmät, joita tarvitaan suojarakennuksen pitämiseen ehjänä vakavassa onnettomuudessa, esimerkiksi vetyrekombinaattorit. Luokkaan EYT kuuluvat ne järjestelmät, jotka eivät ole tärkeitä ydinturvallisuudelle.

Todennäköisyysperusteinen riskianalyysi

Ydinvoimalaan liittyvien riskien suuruutta arvioidaan todennäköisyysperusteisella riskianalyysillä (PRA, Probabilistic Risk Assessment). Siitä käytetään myös nimitystä todennäköisyyspohjainen turvallisuusanalyysi (PSA, Probabilistic Safety Assessment). Todennäköisyyspohjaiset analyysit täydentävät deterministisiä analyysejä, joissa tutkitaan, miten laitos selviää erilaisista onnettomuustilanteista, mutta ei arvioida näiden tilanteiden todennäköisyyksiä.
PRA:ssa onnettomuutta tarkastellaan tapahtumaketjuna, jonka aloittaa ns. alkutapahtuma eli poikkeama voimalaitoksen normaalikäytöstä. Alkutapahtuma voi olla esimerkiksi jäähdytysveden vuoto tai voimalaitoksen muuntajan vikaantuminen. Alkutapahtuman jälkeen tapahtumat voivat edetä monella eri tavalla riippuen mm. siitä, onko turvallisuusjärjestelmissä vikoja ja miten laitoksen työntekijät toimivat. Kaikille alkutapahtumille, turvallisuusjärjestelmien vioille ja työntekijöiden virheille määritetään todennäköisyydet. Apuna käytetään mm. samantyyppisissä laitteissa aikaisemmin esiintyneiden vikojen tilastointia. Samalla otetaan huomioon myös seurausviat: esimerkiksi jos alkutapahtuma on tulipalo, niin sen seurauksena monet laitteet voivat vikaantua. Ydinvoimalaitoksen PRA on laaja projekti, jonka tekeminen vaatii jopa kymmeniä henkilötyövuosia. PRA:n tekeminen myös parantaa laitoksen henkilökunnan asiantuntemusta laitoksen turvallisuusominaisuuksista ja eri toimintojen turvallisuusmerkityksestä.
PRA:n ensimmäisellä tasolla selvitetään sellaiset tapahtumaketjut, jotka voivat johtaa vakavaan onnettomuuteen eli reaktorin sydämessä sijaitsevan polttoaineen vaurioitumiseen. Tuloksena saadaan näiden tapahtumaketjujen todennäköisyydet sekä sydänvaurion kokonaistodennäköisyys. Tulos ilmaistaan sydänvauriotaajuutena eli vakavan onnettomuuden todennäköisyytenä yhden vuoden aikana. Suomessa vaaditaan, että uusien ydinvoimaloiden sydänvauriotaajuus täytyy olla pienempi kuin 10⁻⁵ /vuosi, mikä tarkoittaa, että vakavan onnettomuuden todennäköisyyden täytyy olla pienempi kuin kerran 100 000 vuodessa.
PRA-malleja päivitetään jatkuvasti, kun tehdään laitosmuutoksia ja laitteiden vikaantumistodennäköisyyksiä arvioidaan uudelleen. Vuoden 2015 PRA:n mukaan Loviisan ykkösreaktorin sydänvauriotaajuus oli 1,7∙10⁻⁵ /vuosi (eli onnettomuus kerran 59 000 vuodessa) ja Olkiluodon ykkösreaktorilla 9∙10⁻⁶ /vuosi (eli onnettomuus kerran 110 000 vuodessa). Rakenteilla olevalla Olkiluodon kolmosreaktorilla sydänvauriotaajuus tulee olemaan 3∙10⁻⁶ /vuosi (eli onnettomuus kerran 330 000 vuodessa). Loviisan vanhat reaktorit eivät siis täytä uusille reaktoreille asetettua sydänvauriotaajuuden vaatimusta < 10⁻⁵ /vuosi, mutta vanhoilta reaktoreilta ei vaaditakaan yhtä korkeaa turvallisuustasoa kuin uusilta.
PRA:n toisella tasolla selvitetään onnettomuuksissa ympäristöön pääsevien radioaktiivisten aineiden määriä ja erikokoisten päästöjen todennäköisyyksiä. Suomessa vaaditaan, että uusilla ydinvoimalaitoksilla suuren radioaktiivisen päästön taajuus on pienempi kuin 5∙10⁻⁷ /vuosi (eli kerran 2 000 000 vuodessa). Suureksi luokitellaan yli 100 terabecquerelin cesium-137 päästö. Vuoden 2015 PRA:n mukaan suuren päästön taajuus oli Loviisan ykkösreaktorilla 9,3∙10⁻⁶ /vuosi (eli kerran 110 000 vuodessa), Olkiluodon ykkösreaktorilla 2,6∙10⁻⁶ /vuosi (eli kerran 380 000 vuodessa), ja rakenteilla olevalla Olkiluodon kolmosreaktorilla se tulee olemaan 10⁻⁷ /vuosi (eli kerran 10 000 000 vuodessa).
PRA:n tulosten perusteella ei voi suoraan sanoa, onko joku ydinvoimala turvallisempi kuin joku toinen, koska PRA:n laajuus vaihtelee eri maissa. Esimerkiksi Fukushiman ykkösyksikön PRA:n mukaan sen sydänvauriotaajuus oli hyvin pieni, 3,9∙10⁻⁸ /vuosi (eli onnettomuus kerran 26 000 000 vuodessa), mutta Fukushiman PRA:ssa ei arvioitu ollenkaan tsunamin tai yleensäkään tulvan todennäköisyyttä. Kansainvälisen atomienergiajärjestön IAEA:n mukaan huolella tehty PRA olisi paljastanut Fukushiman onnettomuusriskit etukäteen.
Sydänvauriotaajuuden ja suuren päästön taajuuden lisäksi PRA:sta saadaan paljon tietoa, joka auttaa parantamaan ydinvoimalan turvallisuutta. PRA:n avulla löydetään laitoksen todennäköisimmät onnettomuuteen johtavat tapahtumat, ja turvallisuuden parantamisessa voidaan sitten keskittyä näiden riskien pienentämiseen. Esimerkiksi vuoden 2015 PRA:n mukaan Loviisan ydinvoimalassa suurimmat riskit liittyvät tulipaloihin valvomossa ja turbiinihallissa sekä kovan tuulen mahdollisesti aiheuttamiin sähkökatkoksiin. PRA kertoo myös, mitkä laitteet ovat turvallisuuden kannalta kaikkein tärkeimpiä. Näitä tärkeimpiä laitteita voidaan sitten testata ja tarkastaa useammin kuin muita laitteita.

Käyttökokemustoiminta

Käyttökokemustoiminta tarkoittaa, että jos yhdessä ydinvoimalassa sattuu vaaratilanne, laitevika tai ihmisen tekemä virhe, niin kaikissa maailman ydinvoimaloissa pyritään estämään samanlaisen tapahtuman toistuminen. Maailmassa tuotetaan sähköä yli 400 ydinreaktorilla. Maailman kaikki ydinvoimaa tuottavat yhtiöt ovat jäseniä WANO-nimisessä järjestössä (World Association of Nuclear Operators). WANOn kautta yhtiöt jakavat toisilleen noin tuhat käyttökokemusraporttia vuosittain. Usein toistuvia tapahtumia ovat materiaaliviat ja ohjeiden väärintulkinnasta johtuva työntekijöiden virheellinen toiminta. Suurin osa tapahtumista on turvallisuusmerkitykseltään vähäisiä, mutta niiden hyödyntäminen auttaa vähentämään häiriötilanteita, jotka joissain olosuhteissa voisivat kehittyä onnettomuuksiksi. Turvallisuuden parantamisen lisäksi käyttökokemusten hyödyntäminen säästää rahaa, kun häiriöiden takia menetetään vähemmän sähköntuotantoa.
Suomessa Säteilyturvakeskus määrää, että ydinvoimaloiden käyttötapahtumat on tutkittava ja niiden perussyyt selvitettävä ja korjattava. Ydinvoimayhtiöiden täytyy seurata muiden ydinvoimalaitosten käyttökokemuksia ja toteuttaa niiden esiin tuomia mahdollisuuksia turvallisuusparannuksiin.

Vastuu ja viranomaisvalvonta

Ydinturvallisuudesta vastaa luvanhaltija eli se yhtiö, jolle on myönnetty lupa käyttää ydinreaktoria. Yhtiö ei voi siirtää vastuuta kenellekään muulle, kuten alihankkijalle, reaktorin suunnittelijalle, omalle työntekijälleen tai viranomaiselle.
Ydinturvallisuusmääräysten noudattamista valvoo viranomainen, Suomessa Säteilyturvakeskus (STUK). Viranomainen asettaa yksityiskohtaiset turvallisuusvaatimukset, osallistuu lupahakemusten käsittelyyn sekä valvoo lupaehtojen noudattamista laitoksen rakentamisen ja käytön aikana. Jatkuvan turvallisuusarvioinnin lisäksi Suomessa ydinvoimalaitoksille tehdään noin kymmenen vuoden välein perusteellinen ja kattava määräaikainen turvallisuusarviointi. Viranomaisen tehtäviin kuuluu myös ydinturvallisuusasioista tiedottaminen kansalaisille ja tiedotusvälineille.