Een Complex Systeem is een systeem dat in zijn geheel bepaalde eigenschappen vertoont die niet af te leiden zijn uit de eigenschappen van elk der samenstellende delen afzonderlijk. Studies van complexe systemen zijn een interdisciplinair domein en kent bijdragen uit veel verschillende wetenschappelijke vakgebieden, zoals wiskunde, natuurkunde, meteorologie, sociologie, economie, biologie, enz.. Door de mens ontworpen en geconstrueerde technische digitale sytemen hebben tegenwoordig ook het niveau van ( artificieel) complex systeem bereikt. Voorbeelden zijn: een electriciteitsnetwerk, een wegverkeersnetwerk, het financieel banken-netwerk, het internet, maar ook een modern verkeersvliegtuig, zelfrijdende auto's of zelfs de bureaucratie in een democratie. Een moderne kerncentrale behoort ook tot de voorbeelden.
Het gedrag van een complex systeem is vaak niet altijd simpel te voorspellen door alleen naar de losse onderdelen te kijken. Het systeem vertoont vaak een zgn. 'emergent' gedrag: we zien vaak niet-lineariteit, positieve/negatieve feedback-loops, systemic trade-offs, domino-effecten, kantelpunten, hysteresis, er gelden andere waarschijnlijkheids-wetten zoals de Pareto-verdeling, fat-tailed distributions en zwarte zwanen. Ter illustratie van wat er mis kan gaan bij artificiële complexe systemen én de interactie ervan met mensen, zullen we hieronder wat dieper in gaan op twee bekende ongelukken met moderne verkeers-vliegtuigen.
Crash Turkish Airlines TK1951 Schiphol 25-02-2009
Een Boeing 737-800 stortte neer tijdens de landingsprocedure bij de Polderbaan met 9 doden tot gevolg. De bemanning gebruikte de autopilot voor de landingsprocedure. Dit type vliegtuig heeft twee radiohoogtemeters, die nodig zijn om de precieze hoogte van het vliegtuig te bepalen en zo een veilige en (automatische) zachte landing te kunnen maken. De linker radiohoogtemeter gaf tijdens de nadering in de lucht al een hoogte aan van -8 voet en was dus defect. Dit was bekend bij de bemanning, maar ondanks dat, werd de automatische landing toch ingezet. Maar de defecte radiohoogtemeter had wél een effect op de autothrottle, die het motorvermogen al verminderde tot stationair tijdens de nadering. Normaal gebeurt dit pas als het vliegtuig zich enkele meters boven de landingsbaan bevindt.
De bemanning begreep niet snel genoeg wat er er mis ging en was daardoor te laat met passende actie te ondernemen om de stuwkracht te verhogen en zo de snelheid van het vliegtuig en draagkracht van de vleugels te herstellen voordat het vliegtuig overtrok en neerstortte. Er is ook een mooie en duidelijke animatie van de crash gemaakt. Wat opvalt:
De driekoppige bemanning is nogal slordig en lui in de procedures.
De twee radiohoogtemeters zijn ieder hard gekoppeld aan één van de twee Flight Control Computers. Als FCC-A aktief is gemaakt door de bemanning en de gekoppelde radiohoogtemeter is defect, dan volgt de autothrottle gewoon de defecte radiohoogtemeter. Een fout van Boeing dus.
De driekoppige bemanning begreep niet helemaal wat de autopilot doet/zal of kan doen bij een automatische landing.
Kortom, we zien een door mensen ontworpen, gemaakt en getest 'complex systeem' (de Boeing 737-800) met daarin nog onbekende fouten. We zien ook een bemanning die waarschijnlijk teveel vertrouwt op 'het systeem', en er te weinig parate kennis van heeft en daardoor mogelijk ook te slordig geworden is.
Ethiopian Airlines 302 Addis Abeba Ethiopië 10-03-2019
Op 10 maart 2019 stortte een Boeing 737 MAX 6 minuten na de take-off neer. Alle 157 inzittenden overleden. Enkele seconden na het opstijgen gaven de linker- en rechter Angle-of-Attack-sensoren (AOA) ongelijke en verkeerde waarden aan. De Angle-of Attack is de hoek die de vleugel maakt met de langsstromende lucht. De linker- en rechter- luchtsnelheids-indicatoren gaven óók verkeerde verschillende waarden aan. Ongeveer een minuut na take-off werden de flaps ingetrokken door de bemanning, een gebruikelijke procedure. Binnen 10 seconden na deze actie schakelde de automatische piloot zichzelf uit en het vliegtuig zette uit zichzelf een daling in. Een "flight-control" -probleem werd aan de aan de verkeerstoren gemeld door de bemanning. Rond de tweede minuut na take-off had het Maneuvering Characteristics Augmentation System (MCAS) de invalshoek van het hoogteroer van het stabilo scherp verkleind, waardoor het vliegtuig in een duik werd gestuurd. Hoewel de piloten erin slaagden om de nose-down houding kort tegen te gaan, bleef het vliegtuig hoogte verliezen. De bemanning concludeerde dat er sprake was van een MCAS runaway en schakelde het uit, maar uitschakeling van MCAS betekende helaas ook tegelijkertijd de elektrische besturing van het hoogteroer uitschakelen. De pogingen van de piloten om het hoogteroer handmatig met het trimwiel weer in de juiste positie te brengen, mislukten. Het toestel is helaas neergestort. Wat opvalt:
Het MCAS kon geen defecte AOA en luchtsnelheids-sensoren detecteren en daar het gedrag op aanpassen
De piloten hebben bijna alles gedaan wat in hun vermogen lag om een crash te voorkomen (men had in theorie nog naar FCC-B kunnen overschakelen...)
MCAS werd door Boeing verborgen gehouden voor piloten en kwam niet voor in de instructie-boeken en vliegsimulator-trainingen
Boeing hield het MCAS ook verborgen in de beschrijving voor de FAA-luchtwaardigheidscertificatie van dit type vliegtuig
Het lijkt er erg op dat Boeing winst belangrijker vond dan veiligheid van passagiers. Een tweede Boeing 737 MAX - Lion Air Flight 610 - verongelukte op 29 Oktober, 2018 (189 doden) door dezelfde MCAS problemen
Hoewel de luchtvaart nog steeds de veiligste manier van personentransport is per kilometer, betekent dat niet dat er geen ongelukken met slachtoffers gebeuren. Hierboven zijn er maar twee recente uitgelicht. Maar er zijn tientallen autopilot gerelateerde dodelijke ongelukken gebeurd.
Als een vliegtuig crasht, zijn er meestal geen of weinig overlevenden. De luchtvaart en vliegtuigbouw heeft een veiligheidscultuur van tientallen jaren, maar bovenstaande voorbeelden laten zien dat ontwerpfouten in hard- en software toch nog altijd ongelukken kunnen veroorzaken. Piloten kunnen bovendien enigszins lui worden, omdat de software bijna alles voor ze doet. Ze maken daarom zelf ook nog weleens fatale fouten; die conclusie trekt in ieder geval dit 2013 rapport van de door de FAA geïnitiëerde PARC/CAST Flight Deck Automation Work Group. In noodsituaties kan het voorkomen dat handmatig ingrijpen door de piloten technisch onmogelijk gemaakt is, en de besturingssoftware kan blijkbaar 'undocumented features' hebben, die het onmogelijk maken voor de piloten om te begrijpen wat en waarom de autopilot iets doet of niet doet. Moderne vliegtuigen zijn trouwens niet de enige transportmiddelen uitgerust met geavanceerde sensoren en software om ze veiliger te maken, maar in d praktijk voor nieuwe onveilige situaties zorgen. Denk aan elektrische autos (EV's). De autopilot van Tesla, van Baidu, van Waymo en van Cruise. Maar andere automerken EV's hebben ook last van 'phantom braking' en bezorgen de chauffeurs vaak de schrik van hun leven.
Een moderne kerncentrale (Gen III+ PWR) is óók een 'complex systeem' geworden inclusief de daarvoor geldende wetmatigheden. De complexiteit zit niet alleen in de fysieke reactor, maar in de volledige verwevenheid van hard- en software, menselijk handelen, strenge wetgeving, geopolitiek, militaire conflicten en maatschappelijke controle. Het complexe systeem van een kerncentrale kan emergent gedrag vertonen: Door de enorme hoeveelheid gekoppelde componenten kan een storing zich soms op onvoorspelbare manieren door het systeem verspreiden, wat strakke beheersing en een actieve veiligheidscultuur vereist. Denk aan domino-effect, kantelpunten. Moderne regelsoftware voor kerncentrales bevat voor elke denkbare abnormale situatie een remedie die gelijk in gang gezet wordt. Maar niet elke abnormale situatie is bedacht door de ontwerpers, bovendien is die regelsoftware voornamelijk getest met een digitaal simulatie-model van de kerncentrale. Het echte testprogramma met de echte kerncentrale en regelsoftware vindt meestal pas plaats als de kerncentrale in commissie komt. Dus net voor de operationele oplevering. De Franse EPR Flamanville 3 werd bijvoorbeeld bijna twee jaar getest met allerlei scenarios voordat ie 100% vermogen kon/mocht produceren in april 2026 en de commisioning volbracht was. Flamanville 3 was de eerste EPR die in Frankrijk in productie kwam en werd daarom onderworpen aan een extra zwaar test-programma door de ASNR.
Moderne regelsoftware voor kerncentrales wordt dus uiterst streng getest. Onafhankelijke nucleaire toezichthouders controleren elke stap grondig voordat de software in een echte reactor mag draaien. Maar menselijke fouten blijven in de de testprocedures mogelijk.
De belangrijke testmethodieken zijn:
Formele verificatie: Wiskundige bewijsmethoden tonen aan dat de code exact doet wat de specificaties voorschrijven en geen onverwachte paden bevat.
Hardware-in-the-loop (HIL): De software draait op de daadwerkelijke doelcomputer en wordt aangesloten op een real-time simulator die de kernreactor en fysieke processen nabootst.
Foutinjectie (Stress-testing): Er wordenzettend veel scenario's met sensorstoringen, stroomuitval en extreme piekbelastingen op de software losgelaten.
Kwalificatie en validatie (V&V): Een strikt onafhankelijk testteam controleert de software-eisen, de codekwaliteit en het functionele gedrag onder alle omstandigheden.
Regelgevende toetsing: Nationale en internationale nucleaire autoriteiten beoordelen de volledige documentatie en testresultaten vooraf.
Moderne regelsoftware in een kerncentrale bewaakt en stuurt het splijtingsproces en de stoomproductie aan via realtime sensoren, gedigitaliseerde veiligheidssystemen en een digital twin die continu duizenden datapunten analyseert om de reactor binnen veilige marges te houden. De regelsoftware houdt de reactor en de stoomproductie - net als bij een modern verkeersvliegtuig - binnen een veilige 'envelope'. Maar dit gegeven kan óók leiden tot een incident of erger. De ontwerpers van de regelsoftware kunnen zo bepaalde instabiele eigenschappen van de reactor softwarematig 'repareren', door bij bepaalde waarden van een aantal sensoren te concluderen dat de reactor zich buiten de 'envelope' bevindt, en de reactor zo te regelen dat ie weer binnen de 'envelope' terugkeert. Dit kan de operators in de control-room in verwarring brengen, waardoor mogelijk verkeerde beslissingen worden genomen. Een situatie dus vergelijkbaar met het MCAS probleem van de Boeing 737 MAX, zoals hierboven besschreven staat.
Kerncomponenten van de regelsoftware zijn:
Sensoren en Data-acquisitie: meten continu de druk, temperatuur, neutronenflux en waterstanden in het koelsysteem.
Procescomputers (Distributed Control System): Verwerken de meetwaarden en sturen regelkleppen, control rods (controlestaven) en pompen direct aan via actuators.
Digital Twin: Een virtueel 3D-model dat de fysieke centrale spiegelt om scenario's en risico's vooraf door te rekenen.
Fysieke scheiding: De software voor de normale besturing staat volkomen los van de kritieke veiligheidssystemen.
Redundantie: Meerdere onafhankelijke computersystemen voeren dezelfde rekentaken uit; bij een storing neemt een back-up het direct over.
Fail-safe principe: Ais de software twijfelt of een storing detecteert, vallen de regelstaven automatisch door de zwaartekracht naar beneden om de reactor te stoppen.
Sensoren en actuatoren in een moderne kerncentrale zijn gevoelig voor storingen. Door strenge ontwerp-eisen, redundantie en onafhankelijke noodsystemen zouden deze defecten zelden tot rampen moeten leiden. Operationele gevolgen kunnen varieren van automatische stillegging (SCRAM; Safety Control Rod Actuator Mechanism) tot ernstige koelingsproblemen. In het uiterste scenario - waarbij reguliere en redundante koelingsaansturingen falen - kan de reactorkern oververhit raken en smelten. Ook kunnen sensoren gewoon verkeerde informatie geven, waardoor operators niet meer weten wat er echt aan de hand is en verkeerde beslissingen nemen (Zie de vliegtuigindustrie Turkish Airlines ramp NL, Boeing 737 MAX) Oorzaken van storingen in sensoren en acuatoren kunnen zijn:
Hoge temperaturen, sterke straling, trillingen en elektromagnetische interferentie verouderen de hardware van sensoren en actuatoren vroegtijdig.
Een softwarefout of een identiek ontwerpfoutje in gekoppelde digitale netwerken kan ervoor zorgen dat meerdere redundante systemen tegelijk uitvallen Common Cause Failures (CCF).
Sensoren kunnen door vervuiling of veroudering onjuiste, afwijkende meetwaarden doorgeven aan de regelsoftware (signaalruis of drift).
Een defecte sensor kan een 'false positive' geven, waardoor de centrale uit veiligheidsoverwegingen automatisch noodgedwongen uitschakelt (reactor trip)
Ais een actuator (zoals een regelklep of pomp) vastzit, kan de centrale de stoomdruk of koelvloeistofstroom niet tijdig bijsturen (vertraagde reactie).
Moderne kerncentrales hebben dus altijd een fysieke, hardwired (direct bekabelde) noodstop-schakelaar in de control-room, vaak een SCRAM-knop of reactor trip-knop genoemd. De allerbelangrijkste noodstop mag op geen enkele manier software-afhankelijk zijn en via besturingssoftware of een enige computeromgeving lopen. Als computers uitvallen of vastlopen door een digitale fout (een zogenaamde common-mode failure), moet de centrale te allen tijde veilig kunnen worden uitgezet.
In een LWR (PWR of BWR) worden de regelstaven gebruikt voor een noodstop. In een PWR worden ze in de reactor actief met electromagneten vastgehouden in de bovenste stand. Een fysieke noodstop-knop onderbreekt direct en mechanisch/elektrisch de stroom naar de elektromagneten die de regelstaven vasthouden, waardoor deze onmiddellijk door de zwaartekracht of veerdruk in de reactorkern vallen en de reactor stilleggen. In een BWR worden de regelstaven onderin het reactorvat naar boven geschoten m.b.v. hydraulische druk die afkomstig is vanuit een drukvat. De noodstop-knop onderbreekt de elektromagneten die de hydraulische kleppen gesloten houden.
In een MSR wordt de freeze plug (zie ook Thorium MSR) gebruikt voor een noodstop. De freeze plug wordt electrisch aktief gekoeld. Bij een noodstop wordt de electrische stroom naar het koel-element onderbroken, waardoor de plug smelt en het gesmolten zout uit de reactortank stroomt naar de lager gelegen dumptanks. De kernreactie van het gesmolten zout in de dumptanks stopt doordat de platte geometrische vorm van de tanks er voor zorgt dat meer neutronen weglekken en het zout verlaten. Het zout wordt subkritisch. Bovendien wordt het zout in de dumptanks passief gekoeld en dat brengt de criticaliteit nog verder omlaag. Ook is geen moderator aanwezig in de dumptanks.
In een HTGR worden óók regelstaven gebruikt bij een noodstop. Maar die regelstaven vallen niet in de TRISO-pebbles van de reactor maar in speciale kanalen die zich bevinden in de grafiet zij-reflector (grafiet is niet alleen een neutronen-moderator maar ook een neutronen-reflector). Soms gebruikt men ook een extra secundair noodstop-systeem in de vorm van kleine neutronen absorberende bolletjes (grafiet met Boor) die in een kanaal van de zijreflector stromen (KLAK systeem; 'Kleine Absorber Kugeln'). De HTMR-100 (grote broer van de Allseas SMR) gebruikt alleen regelstaven.
Een SCRAM (noodstop) kan of zal in de meeste gevallen geïnitiëerd worden door de regelsoftware. Maar er is een situatie denkbaar dat de regelsoftware een SCRAM wil initiëren, maar dat dit niet lukt door een technisch defect. Op dat moment moeten er sirenes en zwaailichten afgaan in de control-room, want de operator moet dan heel snel handmatig de SCRAM-noodknop indrukken.
Kernreactoren dienen hardwired noodstop-inrichtingen te hebben, die door de IAEA na Fukushima met nieuwe inzichten zijn aangepast: IAEA Safety Standards, maar ook voor nieuwe SMR's heeft IAEA al richtlijnen geschreven. Toch hebben wij bij verschillende SMR-ontwerpen (nog) geen (hard wired) noodstop-inrichting en/of regelstaven kunnen ontdekken. Deels komt dit doordat bij sommige ontwerpen volledig wordt vertrouwd op passieve veiligheid (negatieve temperatuur-coëfficiënt en/of koeling door natuurlijke circulatie). In de marketing wordt zelfs geroepen 'Walk Away Safe' (bijv. Holtec SMR-300). De Holtec SMR-300 heeft wel een noodstop-regeling maaar die is niet hardwired. Andere SMR-ontwerpen zijn nog niet volledig af. Daar komt bij dat regulering in de USA versoepeld is onder Trump en veel SMR-ontwerpers de intentie hebben om hun ontwerp als eerste in de USA gecertificeerd te willen hebben omdat de USA hun grootste markt is.
Een "negatieve temperatuur-coëfficiënt" wordt vaak gebruikt als argument voor passieve veiligheid (als de temperatuur te hoog wordt neemt de reactiviteit vanzelf af). Maar het water van het primaire koelcircuit in een PWR zorgt óók voor een negatieve temperatuur-coefficiënt in de reactor. En toch hebben alle operationele PWR's en BWR's in de wereld een hardwired noodstop-regeling. Er zijn namelijk legio scenarios denkbaar waarin een hardwired noodstop-schakelaar een ernstig incident of ramp kan voorkomen. Hieronder enkele voorbeelden:
Kwaadaardige software gijzelt de centrale computers of blokkeert de automatische noodstop.
Een programmeerfout (bug) zorgt ervoor dat de digitale regelsystemen (DCS) vastlopen of 'bevriezen'.
Signalen tussen sensoren en centrale computers vallen weg door brand, kortsluiting of fysieke beschadiging van datakabels.
Alle beeldschermen van het hoofdcomputer weergavesysteem in de control room vallen uit door een stroomstoring of grafische fout.
Sensoren spreken elkaar tegen, waardoor de automatische logica van de computer twijfelt en niet ingrijpt.
De uitdaging met nieuwe Gen IV ontwerpen voor SMR's is, dat nog niet alle mogelijke fout-scenarios bedacht zijn en dus ook alle mogelijke domino-effecten, kantelpunten en zwarte zwanen, domweg omdat er nog heel weinig praktische ervaring is. De digitale regelsoftware (Instrumentation & Control of l&C) kan dus nog niet zo geprogrammeerd worden om met die nog onbekende fout-scenarios rekening te houden. Kerncentrales die uit meerdere gekoppelde SMR-modules bestaan, kunnen ook nog nieuwe technische uitdagingen vormen voor I&C en een noodstop-inrichting.
Praktijk-ervaring bouwt zich pas na jaren op, een snelle en brede commercialisering van nieuwe typen reactoren na een korte of gedeeltelijke prototype-/demo-periode is in onze ogen niet verantwoord, omdat de operators van de eerste commerciële reactoren heel erg bedacht moeten zijn op onbekende fout-scenarios en precies moeten weten wat I&C doet of zou moeten doen.
Discrepantie in Veiligheids-scenario-testen
Er is de laatste jaren een aanzienlijke verschuiving en discrepantie ontstaan tussen het gebruikelijke scenario-testen met fysieke prototypes en/of demo-reactoren en het nieuwe veiligheids scenario-testen met virtuele kernreactoren (digital twins en computersimulaties). Hoewel virtuele modellen onmisbaar zijn voor het vooraf uitsluiten van grote ontwerpfouten, kunnen ze de fysieke werkelijkheid nooit 100% dekkend nabootsen. Fysieke prototypes blijven noodzakelijk om onvoorziene materiaaleigenschappen en complexe interacties in de praktijk te valideren. Testen met virtuele kernreactoren is veel goedkoper, sneller en totaal ongevaarlijk. Een simulatie is zo goed als de code en de invoerdata. Subtiele effecten, zoals de exacte stromingsdynamica van vloeibaar natrium of gesmolten zout (bij Generation IV-reactoren), zijn computationeel extreem moeilijk perfect te modelleren.
Scenario-testen met een protype is duur, tijdrovend en niet ongevaarlijk vanwege het risico op het vrijkomen van radio-activiteit, menselijke fouten bij bediening, of constructie en kritikaliteits-risico's. Maar om correct inzicht in daadwerkelijke materiaaldegradatie en slijtage onder constante neutronenbombardementen en temperatuurwisselingen te krijgen is eigenlijk nog steeds een prototype nodig.
Het bouwen van fysieke prototype- of demonstratiereactoren brengt enorme kapitaalinvesteringen en langdurige vergunningstrajecten met zich mee die de commerciële haalbaarheid sterk onder druk zetten. De prototype- of demo-reactor van een nieuw (SMR-)ontwerp is daarom steeds vaker een commerciële First Of A Kind (FOAK), vooral in de USA.
De U.S. Nuclear Regulatory Commission (NRC) werkt sinds kort met risicogestuurde en op prestaties gebaseerde kaders, waardoor goedgekeurde computer-berekeningen en component-specifieke experimenten (separate effects tests) een grotere rol spelen in de goedkeuring van ontwerpen. NRC gebruikt risicogestuurde (risk-informed) en op prestaties gebaseerde (performance-based) kaders om geavanceerde en nieuwe reactorontwerpen, zoals SMR's en microreactoren, flexibel en efficiënt goed te keuren. Risk informed wil zeggen dat veiligheidsbeslissingen en beoordelingen probabilistische risico-analyses (PRA) gebruiken waarbij de focus ligt op de aspecten van het ontwerp met de grootste reële impact op de veiligheid. Performance based wil zeggen dat ontwerpers niet hoeven te voldoen aan verouderde, gedetailleerde voorgeschreven ontwerpregels. Ontwerpers tonen gewoon aan dat het systeem aan vooraf bepaalde veiligheidsdoelen voldoet, ongeacht de technologische weg die ze kiezen. Verschillende ontwerpers in de USA kiezen voor zero-power tests, componenten-tests of directe fabrieks- en veldimplementatie. Dit zijn: Antares Nuclear Mark-0 microreactor (sodium heat-pipe cooled microreactor) ; Aalo Atomics (sodium-cooled thermal-spectrum reactor); Deployable Energy (gas-cooled, water-moderated microreactor); Oklo Aurora (fast neutron reactor / sodium-cooled fast reactor); Last Energy (PWR).Hoewel de nadruk sterk verschuift naar softwarevalidatie, worden fysieke scenario-testen nog niet volledig overgeslagen. De Amerikaanse regelgever NRC eist nog steeds hard bewijs en experimentele data van kritieke veiligheidsmechanismen en passieve koelsystemen voordat een definitief ontwerp-goedkeurings-certificaat (Standard Design Approval) wordt afgegeven.
De Britse ONR neemt genoegen met een ontwerp op papier en documentatie voor de Generic Design Assessment (GDA) voor de Rolls Royce SMR. Er vinden wel tests plaats van specifieke fabrieksgemaakte onderdelen en modules, maar er wordt geen compleet fysiek reactor-prototype gebouwd voor grootschalige scenario- of noodtests onder regie van de regulator.
De Franse nucleaire regulator ASNR hanteert nog steeds een prototype eis voor nieuwe type reactoren. We noemen Newcleo (Lead-cooled Fast Reactor), Jimmy Energy (High-Temperature Reactor), Hexana (Sodium-cooled Fast Reactor), Otrera (Sodium Fast Reactor), BlueCapsule (Sodium-cooled High-Temperature Reactor), Stellaria (Fast Breeder Molten Salt Reactor). EDF besloot in 2024 zijn Nuward SMR-ontwerp te versimpelen naar bestaande PWR-technologie om zo o.a. het prototype-test traject te bekorten.
De populaire Chinese Hualong One is als officiëel demonstratie-project én FOAK gebouwd (Fuqing 5 en 6) en 2 jaar onderworpen aan strenge scenariotests voordat de Chinese regulator CNNC het type goedkeurde in 2023.
Interpretatie van Storingen in de Control-room
De nationale nucleaire autoriteit eist in de meeste landen bij een ontwerp-goedkeuring van een kerncentrale ten allen tijde volledige en onbelemmerde toegang tot alle data logs en audit trails van de besturings-software én operator handelingen. Dit vormt een fundamenteel onderdeel van de veiligheidsbeoordeling van moderne digitale controlesystemen (Instrumentation & Control - I&C). Een ruwe audit trail (gebeurtenis-logboek) van de besturingssoftware is tijdens een acute storing echter niet te interpreteren voor operators. Tijdens een ernstige storing of 'transiënt' in een kerncentrale ontstaat er een enorme berg aan data. Een ruwe audit trail registreert elke milliseconden-vermogensreductie, klepstanden, sensorwaardes en statuswijzigingen chronologisch achter elkaar. Een audit trail is ontworpen voor achteraf-analyse (forensisch onderzoek, compliance en root-cause analyse) door engineers en veiligheidsautoriteiten, niet voor snelle besluitvorming onder hoge druk in de control-room.
In moderne control-rooms gebruiken operators speciaal ontworpen hulpmiddelen die de datalogs filteren en vertalen, zoals systemen die onbelangrijke meldingen onderdrukken en alleen de kritieke afwijkingen tonen. Ook is een overzichtelijke grafische weergave die de kerntoestand (druk, temperatuur, koelwaterpeil) direct toont in 'veilig groen' of 'onveilig rood' (SPDS - Safety Parameter Display System) gebruikelijk. Verder zijn gestandaardiseerde noodprocedures aanwezig, die voorschrijven welke fysieke stappen een operator moet zetten, los van de onderliggende softwarelogs (EOP's - Emergency Operating Procedures).
Echte storingen kunnen onopgemerkt blijven, maar door de besturingssoftware gemelde storingen kunnen ook niet echt zijn. In alle gevallen kan dit lijden tot stress bij de operators. Daarvoor zijn juist de EOP's bedacht. Softwarefouten kunnen leiden tot een foutieve interpretatie van de grenzen van de envelope, waardoor de centrale een automatische noodstop (SCRAM) uitvoert. Maar ook misleide of gestresste operators kunnen besluiten tot een SCRAM. Een noodstop veroorzaakt direct enorme thermische en mechanische stress (design transients) op de installatie (reactorwand en lasnaden) en vereist dat operators snel een complex protocol opstarten om de centrale in een stabiele, koude toestand te brengen. Bij een grote kerncentrale kan een dag zonder productie al snel een miljoen euro kosten en het kan 2 dagen duren voordat de centrale weer vol in productie is. Een SCRAM moet niet te vaak gebeuren. Een reactorvat van een grote PWR is ontworpen op een vast aantal snelle thermische cycli (vaak tussen de 150 en 300 grote 'transiënten' (SCRAMS) over een geplande levensduur van 40 tot 60 jaar. Maar ook op langzame thermische cycli zit een limiet. Zo is bijv. de Franse EPR(2) ontworpen om ook in een beperkte Load Following Regime te kunnen draaien. De EPR kan dit tussen 25% en 100% van het totale vermogen. Een langzame vermogens-toename of afname is mogelijk van 5% per minuut in de 60-100% range en 2,5% in de 25-60% range. De EPR reactor kan echter maar 2 powercycles per dag (1 cycle is ramp-up én ramp-down) en max 200 maal per jaar uitvoeren en dat is technisch mogeliik door speciale (grijze) regelstaven op speciale posities in de reactorkern (banks).
De Pressurized Water Reactor (PWR) is in de wereld de meest gebouwde en operationele reactor. De eerste civiele PWR werd in gebruik ge genomen in 1957 en was 25 jaar operationeel. Er is sinds 1957 ontzettend veel kennis opgebouwd over PWR-technologie, die in de loop der jaren steeds geïnnoveerd is. Ook is er met prototype en demo-reactoren ontzettend veel in de praktijk getest op het gebied van neutronics, thermodynamica, invloed van neutronenstraling op materiaal, splijtstof-assemblies, control-rod's, enz.. Veruit de meeste nieuwe SMR ontwerpen zijn geen PWR's; het zijn GenIV ontwerpen, zoals MSR's, HTGR's, SFR's en LFR's. Daar zijn veel minder (langdurige) praktijktesten met prototpes of demo-reactoren mee uitgevoerd, terwijl veel technische aspecten toch erg nieuw zijn. Computersimulaties kunnen niet alles betrouwbaar nabootsen. Wij denken dat nieuwe GenIV SMR's in combinatie met de bijbehorende besturings-software (!) volwaardig als prototype uitvoerig getest zou moeten worden.