Een Complex Systeem is een systeem dat in zijn geheel bepaalde eigenschappen vertoont die niet af te leiden zijn uit de eigenschappen van elk der samenstellende delen afzonderlijk. Studies van complexe systemen zijn een interdisciplinair domein en kennen bijdragen uit veel verschillende wetenschappelijke vakgebieden, zoals wiskunde, natuurkunde, meteorologie, sociologie, economie, biologie, enz.. Door de mens ontworpen en geconstrueerde technische digitale systemen hebben tegenwoordig ook het niveau van (artificieel) complex systeem bereikt. Voorbeelden zijn: een elektriciteitsnetwerk, een wegverkeersnetwerk, het financieel banken-netwerk, het internet, maar ook een modern verkeersvliegtuig, zelfrijdende auto's of zelfs de bureaucratie in een democratie. Een moderne kerncentrale behoort ook tot de voorbeelden.
Het gedrag van een complex systeem is vaak niet altijd simpel te voorspellen door alleen naar de losse onderdelen te kijken. Het systeem vertoont vaak een zgn. 'emergent' gedrag: we zien vaak niet-lineariteit, positieve/negatieve feedback-loops, systemic trade-offs, domino-effecten, kantelpunten, hysteresis. Er gelden andere waarschijnlijkheids-wetten zoals de Pareto-verdeling, fat-tailed distributions en zwarte zwanen. Ter illustratie van wat er mis kan gaan bij artificiële complexe systemen én de interactie ervan met mensen, zullen we hieronder wat dieper ingaan op twee bekende ongelukken met moderne verkeersvliegtuigen.
Crash Turkish Airlines TK1951 Schiphol 25-02-2009
Een Boeing 737-800 stortte neer tijdens de landingsprocedure bij de Polderbaan, met negen doden tot gevolg. De bemanning gebruikte de autopilot voor de landingsprocedure. Dit type vliegtuig heeft twee radiohoogtemeters, die nodig zijn om de precieze hoogte van het vliegtuig te bepalen en zo een veilige en (automatische) zachte landing te kunnen maken. De linker radiohoogtemeter gaf tijdens de nadering in de lucht al een hoogte aan van -8 voet en was dus defect. Dit was bekend bij de bemanning, maar ondanks dat, werd de automatische landing toch ingezet. De defecte radiohoogtemeter had echter wel een effect op de autothrottle, die het motorvermogen al verminderde tot stationair tijdens de nadering. Normaal gebeurt dit pas als het vliegtuig zich enkele meters boven de landingsbaan bevindt.
De bemanning begreep niet snel genoeg wat er misging en was daardoor te laat met passende actie te ondernemen om de stuwkracht te verhogen en zo de snelheid van het vliegtuig en de draagkracht van de vleugels te herstellen voordat het vliegtuig overtrok en neerstortte. Er is ook een mooie en duidelijke animatie van de crash gemaakt. Wat opvalt:
De driekoppige bemanning is nogal slordig en lui in de procedures.
De twee radiohoogtemeters zijn ieder hard gekoppeld aan één van de twee Flight Control Computers. Als FCC-A actief is gemaakt door de bemanning en de gekoppelde radiohoogtemeter is defect, dan volgt de autothrottle gewoon de defecte radiohoogtemeter. Een fout van Boeing dus. Maar als de bemanning dit geweten had, had ze eenvoudig naar FCC-B kunnen omschakelen.
De driekoppige bemanning begreep niet helemaal wat de autopilot doet, zal doen off kan doen bij een automatische landing.
Kortom, we zien een door mensen ontworpen, gemaakt en getest 'complex systeem' (de Boeing 737-800) met daarin nog onbekende fouten. We zien ook een bemanning die waarschijnlijk te veel vertrouwt op 'het systeem', er te weinig parate kennis van heeft en daardoor mogelijk ook te slordig is geworden.
Ethiopian Airlines 302 Addis Abeba Ethiopië 10-03-2019
Op 10 maart 2019 stortte een Boeing 737 MAX zes minuten na de take-off neer. Alle 157 inzittenden overleden. Enkele seconden na het opstijgen gaven de linker- en rechter Angle-of-Attack-sensoren (AOA) ongelijke en verkeerde waarden aan. De Angle-of-Attack is de hoek die de vleugel maakt met de langsstromende lucht. De linker- en rechter- luchtsnelheidsindicatoren gaven óók verkeerde, verschillende waarden aan. Ongeveer een minuut na take-off werden de flaps ingetrokken door de bemanning, een gebruikelijke procedure. Binnen tien seconden na deze actie schakelde de automatische piloot zichzelf uit en het vliegtuig zette uit zichzelf een daling in. Een "flight-control" probleem werd aan de verkeerstoren gemeld door de bemanning. Rond de tweede minuut na take-off had het Maneuvering Characteristics Augmentation System (MCAS) de invalshoek van het hoogteroer van het stabilo scherp verkleind, waardoor het vliegtuig in een duik werd gestuurd. Hoewel de piloten erin slaagden om de nose-down houding kort tegen te gaan, bleef het vliegtuig hoogte verliezen. De bemanning concludeerde dat er sprake was van een MCAS runaway en schakelde het uit, maar uitschakeling van MCAS betekende helaas ook tegelijkertijd de elektrische besturing van het hoogteroer uitschakelen. De pogingen van de piloten om het hoogteroer handmatig met het trimwiel weer in de juiste positie te brengen, mislukten. Het toestel is helaas neergestort. Wat opvalt:
Het MCAS kon geen defecte AOA en luchtsnelheids-sensoren detecteren en daar het gedrag op aanpassen
De piloten hebben bijna alles gedaan wat in hun vermogen lag om een crash te voorkomen (men had in theorie nog naar FCC-B kunnen overschakelen).
MCAS werd door Boeing verborgen gehouden voor piloten en kwam niet voor in de instructieboeken en vliegsimulator-trainingen.
Boeing hield het MCAS ook verborgen in de beschrijving voor de FAA-luchtwaardigheidscertificatie van dit type vliegtuig.
Het lijkt er erg op dat Boeing winst belangrijker vond dan de veiligheid van passagiers. Een tweede Boeing 737 MAX - Lion Air Flight 610 - verongelukte op 29 oktober, 2018 (189 doden) door dezelfde MCAS-problemen.
Hoewel de luchtvaart nog steeds de veiligste manier van personentransport is per kilometer, betekent dat niet dat er geen ongelukken met slachtoffers gebeuren. Hierboven zijn maar twee recente uitgelicht. Maar er zijn tientallen autopilot-gerelateerde dodelijke ongelukken gebeurd.
Als een vliegtuig crasht, zijn er meestal geen of weinig overlevenden. De luchtvaart en vliegtuigbouw hebben een veiligheidscultuur van tientallen jaren, maar bovenstaande voorbeelden laten zien dat ontwerpfouten in hard- en software toch nog altijd ongelukken kunnen veroorzaken. Piloten kunnen bovendien enigszins lui worden, omdat de autopilot-software bijna alles voor ze doet. Ze maken juist daarom zelf ook nog weleens fatale fouten; die conclusie trekt in ieder geval dit rapport uit 2013 van de door de FAA geïnitieerde PARC/CAST Flight Deck Automation Work Group. In noodsituaties kan het voorkomen dat handmatig ingrijpen door de piloten technisch onmogelijk gemaakt is, en de besturingssoftware kan blijkbaar 'undocumented features' hebben, die het onmogelijk maken voor de piloten om te begrijpen wat en waarom de autopilot iets doet of niet doet.
MCAS was oorspronkelijk bedacht om de Boeing 737 MAX om de aerodynamische problemen softwarematig te compenseren die ontstonden na plaatsing van de nieuwe zuinige CFM LEAP motoren. In dit licht is het interessant om hier een andere crash te vermelden: die van een F-35A Lightning II in Utah in 2022. De F-35 is net als de meeste moderne straaljagers doelbewust aerodynamisch instabiel gebouwd om extreem wendbaar te zijn. Het toestel is ook volledig fly-by-wire. Zonder constante correcties is het toestel onbestuurbaar. De boordcomputers (het Flight Control System) moeten tientallen keren per seconde micro-aanpassingen maken aan de stuurvlakken om het vliegtuig stabiel in de lucht te houden. Een menselijke piloot kan dit simpelweg niet snel genoeg met de hand corrigeren. Turbulentie van de lucht zorgde ervoor dat de avionics onbetrouwbaar werden, waardoor het vliegtuig volledig onbestuurbaar werd en crashte.
Moderne vliegtuigen zijn trouwens niet de enige transportmiddelen uitgerust met geavanceerde sensoren en software om ze veiliger te maken, maar in de praktijk voor nieuwe onveilige situaties zorgen. Denk aan elektrische auto's (EV's). De autopilot van Tesla, van Baidu, van Waymo en van Cruise. Maar andere automerken EV's hebben bijvoorbeeld ook last van 'phantom braking' en 'phantom lane detection' en bezorgen de chauffeurs vaak de schrik van hun leven of erger een auto-ongeluk. Het is op zich opmerkelijk dat deze ADAS-software (Advanced Driver Assistance Systems) met de acht door de EU verplichte rijhulpen veelal intensief getest is door autofabrikanten voordat het in EV's op de markt kwam, maar na jaren (!) en vele updates verder nog lang niet geheel feilloos is en blijkbaar niets vermoedende automobilisten nog steeds als proefkonijn laat fungeren. Voor wie geïnteresseerd is in alle onverwachte, gevaarlijke neven-effecten van ADAS-software in EV's, is het rapport van de Stichting Wetenschappelijk Onderzoek Verkeersveiligheid erg interessant! Veel EV-automobilisten vinden ADAS erg irritant en gevaarlijk en zetten daarom bij aanvang van elke rit het ADAS-systeem uit.
Een moderne kerncentrale (Gen III+ PWR of Gen IV) is óók een 'complex systeem' geworden, inclusief de daarvoor geldende wetmatigheden. De complexiteit zit niet alleen in de fysieke reactor, maar in de volledige verwevenheid van hard- en software, menselijk handelen, strenge wetgeving, geopolitiek, militaire conflicten en maatschappelijke controle. Het complexe systeem van een kerncentrale kan emergent gedrag vertonen: door de enorme hoeveelheid gekoppelde componenten kan een storing zich soms op onvoorspelbare manieren door het systeem verspreiden, wat strakke beheersing en een actieve veiligheidscultuur vereist. Denk aan domino-effecten en kantelpunten. Moderne regelsoftware voor kerncentrales bevat voor elke denkbare abnormale situatie een remedie die gelijk in gang gezet wordt. Maar niet elke abnormale situatie is bedacht door de ontwerpers (unknown unknown's). Bovendien is die regelsoftware voornamelijk getest met een digitaal simulatiemodel van het kerncentrale-ontwerp. Het echte testprogramma met de echte kerncentrale en regelsoftware vindt meestal pas plaats als de kerncentrale in commissie komt, dus net voor de operationele oplevering. De Franse EPR Flamanville 3 werd bijvoorbeeld bijna twee jaar getest met allerlei scenario's voordat hij 100% vermogen kon/mocht produceren in april 2026 en de commissioning volbracht was. Flamanville 3 is de vierde EPR die wereldwijd in commissie kwam, maar wél de eerste in Frankrijk, en werd daarom onderworpen aan een relatief zwaar testprogramma door de Franse ASNR.
Moderne regelsoftware voor kerncentrales wordt dus uiterst streng getest. Veelal onafhankelijke nucleaire toezichthouders controleren elke stap grondig voordat de software in een echte reactor mag draaien. Maar menselijke fouten blijven in de testprocedures natuurlijk mogelijk.
De belangrijke testmethodieken zijn:
Formele verificatie: Wiskundige bewijsmethoden tonen aan dat de code exact doet wat de specificaties voorschrijven en geen onverwachte 'paden' bevat.
Hardware-in-the-loop (HIL): De software draait op de daadwerkelijke doelcomputer en wordt aangesloten op een real-time simulator die de kernreactor en fysieke processen nabootst.
Foutinjectie (stress-testing): Er worden ontzettend veel scenario's met sensorstoringen, stroomuitval en extreme piekbelastingen op de software losgelaten.
Kwalificatie en validatie (V&V): Een strikt onafhankelijk testteam controleert de software-eisen, de codekwaliteit en het functionele gedrag onder alle omstandigheden.
Regelgevende toetsing: Nationale en internationale nucleaire autoriteiten beoordelen de volledige documentatie en testresultaten vooraf.
Moderne regelsoftware in een kerncentrale bewaakt en stuurt het splijtingsproces en de stoomproductie aan via realtime sensoren, gedigitaliseerde veiligheidssystemen en een digital twin die continu duizenden door sensoren gevulde datapunten analyseert om de reactor binnen veilige marges te houden. (bijvoorbeeld: als de temperatuur in het reactorvat T is, de burnup van de splijtstof B, de druk in het reactorvat D is en de powervraag P is, zet de regelstaaf dan op positie R.) De regelsoftware houdt de reactor en de stoomproductie - net als bij een modern verkeersvliegtuig - binnen een veilige 'envelope'. Maar dit gegeven kan óók leiden tot een incident of erger. De ontwerpers van de regelsoftware kunnen zo ook bepaalde instabiele eigenschappen van de reactor softwarematig 'repareren', door bij bepaalde waarden van een aantal sensoren te concluderen dat de reactor zich buiten de 'envelope' bevindt, en de reactor zo te regelen dat hij weer binnen de 'envelope' terugkeert. Dit kan de operators in de control-room in verwarring brengen, waardoor mogelijk verkeerde beslissingen worden genomen. Een situatie dus vergelijkbaar met het MCAS-probleem van de Boeing 737 MAX, zoals hierboven beschreven staat.
Kerncomponenten van de regelsoftware zijn:
Sensoren en Data-acquisitie: meten continu de druk, temperatuur, neutronenflux en waterstanden in het koelsysteem.
Procescomputers (Distributed Control System): Verwerken de meetwaarden en sturen regelkleppen, control rods (controlestaven) en pompen direct aan via actuatoren.
Digital Twin: Een door ORNL ontwikkeld digitaal virtueel 3D/4D-model dat de fysieke, operationele kerncentrale spiegelt en binnen de 'veilige envelope' dient te houden. De digital twin is ook ontworpen om scenario's en risico's vooraf door te rekenen. Traditioneel evalueren de probabilistische risicobeoordelingen (PRA's) de storingen van veiligheidssystemen, het risico op schade aan de reactorkern en de daaruit voortvloeiende stralingsdosis buiten de reactor. De gebruikte probabilistische beslissingstheorie probeert nu om een shutdown-drempel van de kerncentrale te vermijden met behoud van de veiligheid van de installatie bij dreigende onregelmatigheden. Iets meer nadruk op economische dan veiligheidsaspecten dus! Gen IV SMR's zijn een belangrijke reden voor ORNL om digital twins toe te passen. De BWRX-300 van GE Vernova Hitachi (joint venture 60% GE, 40% Hitachi) is de eerste SMR die digital twin technologie in de besturingssoftware gaat gebruiken.
Fysieke scheiding: De software voor de normale besturing staat volkomen los van de kritieke veiligheidssystemen.
Redundantie: Meerdere onafhankelijke computersystemen voeren dezelfde rekentaken uit; bij een storing neemt een back-up het direct over.
Fail-safe principe: Als de software twijfelt of een storing detecteert, vallen (bij een PWR) de regelstaven automatisch door de zwaartekracht naar beneden om de reactor te stoppen.
Sensoren en actuatoren in een moderne kerncentrale zijn gevoelig voor storingen. Door strenge ontwerp-eisen, redundantie en onafhankelijke noodsystemen zouden deze defecten zelden tot rampen moeten leiden. Operationele gevolgen kunnen variëren van automatische stillegging (SCRAM; Safety Control Rod Actuator Mechanism) tot ernstige koelingsproblemen. In het uiterste scenario - waarbij reguliere en redundante koelings-aansturingen falen - kan de reactorkern oververhit raken en smelten. Ook kunnen sensoren simpelweg verkeerde informatie geven, waardoor operators niet meer weten wat er echt aan de hand is en verkeerde beslissingen nemen (zie de Turkish Airlines-ramp NL, Boeing 737 MAX). Oorzaken van storingen in sensoren en actuatoren kunnen zijn:
Hoge temperaturen, sterke straling, trillingen en elektromagnetische interferentie verouderen de hardware van sensoren en actuatoren vroegtijdig.
Een softwarefout of een identiek ontwerpfoutje in gekoppelde digitale netwerken kan ervoor zorgen dat meerdere redundante systemen tegelijk uitvallen: Common Cause Failures (CCF).
Sensoren kunnen door vervuiling of veroudering onjuiste, afwijkende meetwaarden doorgeven aan de regelsoftware (signaalruis of drift).
Een defecte sensor kan een 'false positive' geven, waardoor de centrale uit veiligheidsoverwegingen automatisch noodgedwongen uitschakelt (reactor trip).
Als een actuator (zoals een regelklep of pomp) vastzit, kan de centrale de stoomdruk of koelvloeistofstroom niet tijdig bijsturen (vertraagde reactie).
Moderne kerncentrales hebben dus altijd een fysieke, hardwired (direct bekabelde) noodstop-schakelaar in de control-room, vaak een SCRAM-knop of reactor trip-knop genoemd. Die fysieke noodstop mag op geen enkele manier software-afhankelijk zijn en via besturingssoftware of enige computer-omgeving lopen. Als bijvoorbeeld computers uitvallen of vastlopen door een digitale fout (een zogenaamde common-mode failure), moet de centrale te allen tijde veilig kunnen worden uitgezet.
In een LWR (PWR of BWR) worden de regelstaven gebruikt voor een noodstop. In een PWR worden ze in de reactor actief met elektromagneten vastgehouden in de bovenste stand. Een fysieke noodstop-knop onderbreekt direct en mechanisch/elektrisch de stroom naar de elektromagneten die de regelstaven vasthouden, waardoor deze onmiddellijk door de zwaartekracht of veerdruk in de reactorkern vallen en de reactor stilleggen. In een BWR worden de regelstaven onderin het reactorvat naar boven geschoten met behulp van hydraulische druk die afkomstig is uit een drukvat. De noodstop-knop onderbreekt de stroom naar de elektromagneten die de hydraulische kleppen gesloten houden.
In een MSR wordt de freeze plug (zie ook Thorium MSR) gebruikt voor een noodstop. De freeze plug wordt elektrisch actief gekoeld. Bij een noodstop wordt de elektrische stroom naar het koel-element onderbroken, waardoor de plug smelt en het gesmolten zout uit de reactortank stroomt naar de lager gelegen dumptanks. De kernreactie van het gesmolten zout in de dumptanks stopt doordat de platte geometrische vorm van de tanks ervoor zorgt dat meer neutronen 'weglekken' en het zout verlaten zonder atoomkernen te splijten. Het zout wordt zo subkritisch. Bovendien wordt het zout in de dumptanks passief gekoeld en dat brengt de kriticaliteit nog verder omlaag. Ook is er geen moderator aanwezig in de dumptanks.
In een HTGR worden óók regelstaven gebruikt bij een noodstop. Maar die regelstaven vallen niet in de TRISO-pebbles van de reactor maar in speciale kanalen die zich bevinden in de grafiet zij-reflector (grafiet is niet alleen een neutronen-moderator maar ook een neutronen-reflector). Soms gebruikt men ook een extra secundair noodstop-systeem in de vorm van kleine neutronen absorberende bolletjes (grafiet met Boor) die in een kanaal van de zijreflector stromen (KLAK systeem; 'Kleine Absorber Kugeln'). De HTMR-100 (grote broer van de Allseas SMR) gebruikt alleen regelstaven.
Een SCRAM (noodstop) kan of zal in de meeste gevallen geïnitieerd worden door de regelsoftware. Maar er is een situatie denkbaar dat de regelsoftware een SCRAM wil initiëren, maar dat dit niet lukt door een technisch defect. Op dat moment moeten er sirenes en zwaailichten afgaan in de control-room, want de operator moet dan heel snel handmatig de SCRAM-noodknop indrukken.
Kernreactoren dienen hardwired noodstop-inrichtingen te hebben, die door de IAEA na Fukushima met nieuwe inzichten zijn aangepast: IAEA Safety Standards, maar ook voor nieuwe SMR's heeft de IAEA al richtlijnen geschreven. Toch hebben wij bij verschillende SMR-ontwerpen (nog) geen (hard wired) noodstop-inrichting en/of regelstaven kunnen ontdekken. Deels komt dit doordat bij sommige ontwerpen volledig wordt vertrouwd op passieve veiligheid (negatieve temperatuur-coëfficiënt en/of koeling door natuurlijke circulatie). In de marketing wordt zelfs geroepen 'Walk Away Safe' zoals bijvoorbeeld bij de Holtec SMR-300. De Holtec SMR-300 heeft wel een noodstop-regeling, maar die is niet hardwired. Andere SMR-ontwerpen zijn nog niet volledig af. Daar komt bij dat regulering in de USA versoepeld is onder Trump en veel SMR-ontwerpers de intentie hebben om hun ontwerp als eerste in de USA gecertificeerd te willen hebben, omdat de USA hun grootste markt is.
Een "negatieve temperatuur-coëfficiënt" wordt vaak gebruikt als argument voor passieve veiligheid (als de temperatuur te hoog wordt, neemt de reactiviteit vanzelf af). Maar het water van het primaire koelcircuit in een PWR zorgt óók voor een negatieve temperatuur-coëfficiënt in de reactor. En toch hebben alle operationele PWR's en BWR's in de wereld een hardwired noodstop-regeling. Er zijn namelijk legio scenario's denkbaar waarin een hardwired noodstop-schakelaar een ernstig incident of ramp kan voorkomen. Hieronder enkele voorbeelden:
Kwaadaardige software gijzelt de centrale computers of blokkeert de automatische noodstop.
Een programmeerfout (bug) zorgt ervoor dat de digitale regelsystemen (DCS) vastlopen of 'bevriezen'.
Signalen tussen sensoren en centrale computers vallen weg door brand, kortsluiting of fysieke beschadiging van datakabels.
Alle beeldschermen van het hoofdcomputer-weergavesysteem in de control room vallen uit door een stroomstoring of grafische fout.
Sensoren spreken elkaar tegen, waardoor de automatische logica van de computer twijfelt en niet ingrijpt.
De uitdaging met nieuwe Gen IV-ontwerpen voor SMR's is; dat nog niet alle mogelijke foutscenario's bedacht zijn, en dus ook niet alle mogelijke domino-effecten, kantelpunten en zwarte zwanen, simpelweg omdat er nog heel weinig praktische ervaring is. De digitale regelsoftware (Instrumentation & Control of l&C) kan dus nog niet zo geprogrammeerd worden om met die nog onbekende foutscenario's rekening te houden. SMR-kerncentrales die uit meerdere gekoppelde reactor-modules bestaan, kunnen ook nog nieuwe technische uitdagingen vormen voor I&C en een noodstop-inrichting.
Praktijkervaring bouwt zich pas na jaren op. Een snelle en brede commercialisering van nieuwe typen reactoren na een korte of gedeeltelijke prototype-/demo-periode is in onze ogen niet verantwoord, omdat de operators van de eerste commerciële reactoren heel erg bedacht moeten zijn op onbekende foutscenario's en precies moeten weten wat I&C doet of zou moeten doen.
Discrepantie in Veiligheids-scenario-testen
Er is de laatste jaren een aanzienlijke verschuiving en discrepantie ontstaan tussen het gebruikelijke scenario-testen met fysieke prototypes en/of demo-reactoren en het nieuwe veiligheidsscenario-testen met virtuele kernreactoren (digital twins en computersimulaties). Hoewel virtuele modellen onmisbaar zijn voor het vooraf uitsluiten van grote ontwerpfouten, kunnen ze de fysieke werkelijkheid nooit 100% dekkend nabootsen. Fysieke prototypes blijven noodzakelijk om onvoorziene materiaaleigenschappen en complexe interacties in de praktijk te valideren. Testen met virtuele kernreactoren is veel goedkoper, sneller en totaal ongevaarlijk. Een simulatie is zo goed als de code en de invoerdata. Subtiele effecten, zoals de exacte stromingsdynamica van vloeibaar natrium of gesmolten zout (bij Generation IV-reactoren), zijn computationeel extreem moeilijk perfect te modelleren.
Scenariotesten met een prototype is duur, tijdrovend en niet ongevaarlijk vanwege het risico op het vrijkomen van radioactiviteit, menselijke fouten bij bediening, of constructie en kritikaliteits-risico's. Maar om correct inzicht in daadwerkelijke materiaaldegradatie en slijtage onder constante neutronenbombardementen en hoge temperatuurwisselingen te krijgen, is eigenlijk nog steeds een prototype nodig.
Het bouwen van fysieke prototype- of demonstratie-reactoren brengt enorme kapitaalinvesteringen en langdurige vergunningstrajecten met zich mee die de commerciële haalbaarheid sterk onder druk zetten. De prototype- of demo-reactor van een nieuw (SMR-)ontwerp is daarom steeds vaker een commerciële First Of A Kind (FOAK), vooral in de VS.
De U.S. Nuclear Regulatory Commission (NRC) werkt sinds kort met risicogestuurde en op prestaties gebaseerde kaders, waardoor goedgekeurde computerberekeningen en componentspecifieke experimenten (separate effects tests) een grotere rol spelen in de goedkeuring van ontwerpen. De NRC gebruikt risicogestuurde (risk-informed) en op prestaties gebaseerde (performance-based) kaders om geavanceerde en nieuwe reactorontwerpen, zoals SMR's en microreactoren, flexibel en efficiënt goed te keuren. Risk-informed wil zeggen dat veiligheidsbeslissingen en beoordelingen probabilistische risico-analyses (PRA) gebruiken, waarbij de focus ligt op de aspecten van het ontwerp met de grootste reële impact op de veiligheid. Performance-based wil zeggen dat ontwerpers niet hoeven te voldoen aan verouderde, gedetailleerde voorgeschreven ontwerpregels. Ontwerpers tonen gewoon aan dat het systeem aan vooraf bepaalde veiligheidsdoelen voldoet, ongeacht de technologische weg die ze kiezen. Verschillende ontwerpers in de VS kiezen voor zero-power tests, componententests of directe fabriekstests. Dit zijn: Antares Nuclear Mark-0 microreactor (sodium heat-pipe cooled microreactor); Aalo Atomics (sodium-cooled thermal-spectrum reactor); Deployable Energy (gas-cooled, water-moderated microreactor); Oklo Aurora (sodium-cooled fast reactor); Last Energy (PWR).Hoewel de nadruk sterk verschuift naar software-validatie, worden fysieke scenariotesten nog niet volledig overgeslagen. De Amerikaanse regelgever NRC eist nog steeds hard bewijs en experimentele data van kritieke veiligheidsmechanismen en passieve koelsystemen voordat een definitief ontwerpgoedkeurings-certificaat (Standard Design Approval) wordt afgegeven.
De Britse ONR neemt genoegen met een ontwerp op papier en documentatie voor de Generic Design Assessment (GDA) voor de Rolls Royce SMR. Er vinden wel tests plaats van specifieke fabrieksgemaakte onderdelen en modules, maar er wordt geen compleet fysiek reactor-prototype gebouwd voor grootschalige scenario- of noodtests onder regie van de regulator.
De Franse nucleaire regulator ASNR hanteert nog steeds een prototype-eis voor nieuwe typen reactoren. We noemen Newcleo (Lead-cooled Fast Reactor), Jimmy Energy (High-Temperature Reactor), Hexana (Sodium-cooled Fast Reactor), Otrera (Sodium Fast Reactor), BlueCapsule (Sodium-cooled High-Temperature Reactor), Stellaria (Fast Breeder Molten Salt Reactor). EDF besloot in 2024 zijn Nuward SMR-ontwerp te versimpelen naar bestaande PWR-technologie om zo onder andere het prototype-testtraject te bekorten.
De populaire Chinese Hualong One is als officieel demonstratie-project én FOAK gebouwd (Fuqing 5 en 6) en twee jaar onderworpen aan strenge scenariotests voordat de Chinese regulator CNNC het type goedkeurde in 2023.
Interpretatie van Storingen in de Control-room
De nationale nucleaire autoriteit eist in de meeste landen bij een ontwerp-goedkeuring van een kerncentrale te allen tijde volledige en onbelemmerde toegang tot alle datalogs en audit-trails van de besturings-software én operator-handelingen. Dit vormt een fundamenteel onderdeel van de veiligheids-beoordeling van moderne digitale controlesystemen (Instrumentation & Control - I&C). Een ruwe audit-trail (gebeurtenis-logboek) van de besturingssoftware is tijdens een acute storing echter oninterpreteerbaar voor operators. Tijdens een ernstige storing (ook wel 'transiënt' genoemd) in een kerncentrale ontstaat er een enorme berg aan data. Een ruwe audit-trail registreert elke milliseconde vermogensverandering, klepstanden, sensorwaarden en statuswijzigingen chronologisch achter elkaar. Een audit-trail is ontworpen voor achteraf-analyse (forensisch onderzoek, compliance and root-cause analyse) door engineers en veiligheidsautoriteiten, niet voor snelle analyse en besluitvorming onder hoge druk door operators in de control-room.
In moderne control-rooms gebruiken operators speciaal ontworpen hulpmiddelen die de datalogs filteren en vertalen. Dat zijn systemen die 'onbelangrijke' meldingen onderdrukken en alleen de kritieke afwijkingen tonen. Ook is een overzichtelijke grafische weergave die de toestand van kernwaarden (druk, temperatuur, koelwaterpeil) direct toont in 'veilig groen' of 'onveilig rood' (SPDS - Safety Parameter Display System) gebruikelijk. Verder zijn gestandaardiseerde noodprocedures aanwezig, die voorschrijven welke fysieke stappen een operator moet zetten, los van de onderliggende softwarelogs (EOP's - Emergency Operating Procedures). Het Amerikaanse Department of Energy's Advanced Research Projects Agency energy division (ARPA-E) wil via het Generating Electricity Managed by Intelligent Nuclear Assets (GEMINA) programma de operation- en onderhouds-kosten van de nieuwe generatie kerncentrales met behulp van A.I. naar $2/MWh brengen, terwijl nu nog $13-20/MWh gebruikelijk is. Het deelt daarvoor subsidies uit. GE is al bezig met haar "Humble AI" software. De nieuwe SMR BWRX300 van GE-Hitachi gaat "Humble AI" gebruiken om traditioneel time-based maintenance te vervangen door condition-based predictive maintenance. De grote vraag is natuurlijk of dit goed blijft gaan en bijvoorbeeld sommige componenten of sensoren niet te laat vervangen gaan worden.
Echte storingen kunnen onopgemerkt blijven, maar door de besturingssoftware gemelde storingen kunnen ook niet echt zijn. In alle gevallen kan dit leiden tot stress bij de operators. Daarvoor zijn juist de EOP's bedacht. Softwarefouten kunnen leiden tot een foutieve interpretatie van de grenzen van de envelope, waardoor de centrale een automatische noodstop (SCRAM) uitvoert. Maar ook misleide of gestresste operators kunnen besluiten tot een SCRAM. Een noodstop veroorzaakt direct enorme thermische en mechanische stress (design transients) op de installatie (reactorwand en lasnaden) en vereist dat operators snel een complex protocol opstarten om de centrale in een stabiele, koude toestand te brengen. Bij een grote kerncentrale kan een dag zonder productie al snel een miljoen euro kosten en het kan 2 dagen duren voordat de centrale weer vol in productie is. Een SCRAM moet niet te vaak gebeuren. Een reactorvat van een grote PWR is ontworpen op een vast aantal snelle thermische cycli, vaak tussen de 150 en 300 grote 'transiënten' (SCRAMS) over een geplande levensduur van 40 tot 60 jaar. Maar ook op langzame thermische cycli zit een limiet. Zo is bijvoorbeeld de Franse EPR(2) ontworpen om ook in een beperkt Load Following Regime te kunnen draaien. De EPR kan dit tussen 25% en 100% van het totale vermogen. Een langzame vermogens-toename of afname is mogelijk van 5% per minuut in de 60-100% range en 2,5% in de 25-60% range. De EPR reactor kan echter maar 2 powercycles per dag (1 cycle is een ramp-up plus een ramp-down) en maximaal 200 maal per jaar uitvoeren en dat is technisch mogelijk door speciale (grijze) regelstaven op speciale posities in de reactorkern (banks).
De Pressurized Water Reactor (PWR) is in wereldwijd de meest gebouwde en operationele reactor. De eerste civiele PWR werd in gebruik genomen in 1957 en was 25 jaar operationeel. Er is sinds 1957 ontzettend veel kennis opgebouwd over PWR-technologie, die in de loop der jaren steeds geïnnoveerd is. Ook is er met prototype- en demo-reactoren ontzettend veel in de praktijk getest op het gebied van neutronics, thermodynamica, invloed van neutronenstraling op materiaal, splijtstof-assemblies, control-rod's, enz.. Veruit de meeste nieuwe SMR-ontwerpen zijn geen PWR's; het zijn Gen IV-ontwerpen, zoals MSR's, HTGR's, SFR's en LFR's. Daar zijn veel minder (langdurige) praktijktesten met prototypes of demo-reactoren mee uitgevoerd, terwijl veel technische aspecten toch erg nieuw zijn. Computersimulaties kunnen niet alles betrouwbaar nabootsen. Wij denken dat nieuwe Gen IV SMR's in combinatie met de bijbehorende besturings-software (!) volwaardig als prototype uitvoerig getest zouden moeten worden. Dat lijkt in ieder geval niet te gaan gebeuren in de VS.