Roberto Renzetti

        L’incidente alla centrale nucleare di Three Mile Island 2 (TMI-2) è avvenuto il 28 marzo 1979, alle 4 del mattino. La centrale era di tipo PWR (vedi), costruita da Babcock & Wilcox, con una potenza nominale di 906 MW elettrici. Essa è situata sull’isola che porta il suo nome (Isola delle tre miglia) nella Regione di Middletown (Pennsylvania – USA) lungo il Susquehanna River, a 15 Km da Harrisburg (90.000 abitanti) capitale dello Stato. Il reattore era stato messo in servizio commerciale meno di tre mesi prima, il 30 dicembre 1978. Mentre avveniva l’incidente, il reattore TMI-1 dello stesso tipo del TMI-2, situato lì vicino, era fermo per le operazioni di ricarica 

Figura 1

Figura 2

Figura 3

Figura 4

del combustibile. La figura 1 mostra le quattro torri di raffreddamento, due per ogni reattore (in funzione quelle di TMI-1 e disattive quelle di TMI-2). Sempre in figura 1, ma meglio in figura 3, si vedono i due edifici di contenzione (i due cilindri coperti da una mezza cupola) dentro i quali vi sono i reattori (gli edifici parallelepipedi che si trovano adiacenti a questi contengono tutta la parte che trasforma l’energia nucleare in elettrica).

LA CENTRALE

         Nella figura 5 è riportato lo schema del reattore TMI-2:

Figura 5      

        Si tratta di un normale PWR con il suo doppio circuito di raffreddamento:

– il calore è estratto dal nocciolo mediante acqua in pressione (150 atmosfere e circa 300 °C) circolante nel circuito primario in acciaio costituito da grossi tubi del diametro di 70 centimetri, da pompe, da un sistema che mantiene la pressione costante (pressuriseur in figura) e dal recipiente che contiene il nocciolo (cuve in figura) che è alto 12 metri, ha un diametro di 4 metri ed uno spessore di 20 centimetri;

– l’acqua del primario cede il suo calore al circuito secondario dentro i generatori di vapore GV (générateur de vapeur in figura). Qui si lavora a 50 atmosfere di modo che l’acqua non è più nella fase liquida e può trasformarsi in vapore che aziona la turbina accoppiata al generatore di corrente;

– la sicurezza del reattore risiede in un sistema di tre barriere che dovrebbero evitare il contatto dei materiali radioattivi con l’ambiente:

• le guaine di zirconio che rivestono le pastiglie di combustibile (circa 40.000, in barre di 4 metri di lunghezza e di 10 millimetri di diametro) dentro il nocciolo;
• il recipiente di acciaio che riveste il nocciolo stesso (cuve);
• l’edificio di contenimento (il cilindro con cupola di cui alle figure 1 e 3, schematizzato anche in figura 5) realizzato in cemento armato di circa 1 metro di spessore, che dispone anche di un sistema antincendio (aspersion enceinte in figura).

        C’è appena da osservare che tutti i sistemi di sicurezza della centrale puntano su queste tre barriere. Nel caso di un qualunque inconveniente le barre di controllo scendono tra le barre di combustibile per rallentare la reazione o spegnere del tutto il reattore.

L’INCIDENTE 

(seguo le  Notes d’Information du CEA n° 9 del settembre 1979, L’ACCIDENT D’HARRISBURG redatto dall’Istituto della Protezione e della Sicurezza Nucleare e dal Centro Studi Nucleari di Fontenay-aux-Roses, Francia)

        Prima dell’incidente, vi erano state diverse e successive avarie sul circuito secondario particolarmente dovute ad ostruzioni per l’acqua all’uscita dal condensatore. Gli operatori stavano facendo delle prove per controllare come reagiva il miscuglio di acqua e resine probabilmente all’origine degli inconvenienti. Improvvisamente dell’acqua arrivò in modo imprevisto nel recipiente d’aria compressa che gli operatori utilizzavano. Ciò comportò una serie di eventi in cascata: la chiusura delle valvole, il blocco di una pompa a pressione ed infine il blocco di due pompe di alimentazione che portavano acqua al secondario dei due generatori di vapore (ogni pompa può alimentare l’uno o l’altro GV).

        E’ questo un incidente di normale manutenzione che può avvenire in ogni centrale o nucleare o convenzionale. Questi incidenti devono essere eliminati per ragioni economiche (il fermo della centrale comporta il blocco delle vendite di energia) ma nel contempo mostrano che gli strumenti di cui si dispone non sono affidabili e questo può diventare pericoloso. Ed è stato proprio un supposto sofisticato circuito automatico di controllo ad operare in modo che addirittura le due pompe indipendenti si bloccassero insieme (quando una sarebbe servita per sostenere l’altro circuito, indifferentemente).

        Il blocco delle pompe di alimentazione comporta l’automatico blocco della turbina, l’apertura della linea  by pass verso il condensatore (ligne de contournement au condenseur in figura)  e l’avvio delle pompe di alimentazione di emergenza.  

        L’arresto dell’arrivo di acqua fredda dal circuito secondario dei generatori di vapore, che non può essere istantaneamente sostituita con l’alimentazione di emergenza, si traduce in un aumento della temperatura (e della pressione)  dell’acqua del primario a causa della minore sottrazione di calore prodotto dal nocciolo. L’aumento di pressione rapido comporta (in tre secondi) l’apertura della valvola di scarico del circuito per stabilizzare la pressione e, successivamente, il raggiungimento della soglia di arresto del reattore mediante caduta delle barre di controllo per ridurre la potenza e, con essa, la temperatura. Queste due misure di sicurezza funzionarono perfettamente: il salto di pressione nel primario è bloccato, il picco di pressione era atteso dopo 7 secondi; successivamente la pressione diminuisce rapidamente e raggiunge dopo 12 secondi il livello corrispondente affinché si richiuda la valvola di scarico  (vanne de décharge, al centro in alto in figura) del sistema di controllo della pressione (pressuriseur, in figura). L’automatismo dà l’ordine e l’operatore riceve, nella sala di controllo, l’indicazione corrispondente.

        Fin qui tutto come dovrebbe normalmente svolgersi. Il reattore ritornerebbe, in tempi ragionevoli (la discesa delle barre di controllo del 7% comporta la diminuzione del 4% della potenza nominale in 30 secondi e del 10% in due ore), al normale funzionamento. La pressione del secondario decresce per lo scambio nei GV, le pompe riprendono le loro funzioni. Quando la pressione è sufficientemente diminuita si possono aprire i sistemi di raffreddamento a bassa pressione (RRA – ISSP di figura) con proprie pompe e scambiatori di calore.

ED ALLORA ?

           Avevamo detto più su che dopo 12 secondi si sarebbe dovuta richiudere la valvola di scarico. QUESTA VALVOLA NON SI ERA RICHIUSA ed il circuito primario continuava a perdere acqua attraverso questa valvola (60 tonnellate l’ora, rispetto alle complessive 200 tonnellate del circuito primario) inviandola ad un recipiente che raccoglie gli esuberi d’acqua del regolatore di pressione (reservoir de decharge du pressuriseur, in figura).  La pressione del circuito primario è dunque continuata a scendere rapidamente fino a raggiungere le 110 atmosfere solo dopo due minuti dall’inizio dell’incidente. A questo valore di pressione il sistema di iniezione di emergenza (IS) si mette automaticamente in funzione per rifornire d’acqua fredda il primario. Questo automatismo funzionò perfettamente ma (e qui sembra risiedere la chiave dell’incidente) l’operatore non sapeva che la valvola di scarico era rimasta aperta. Gli strumenti della sala di controllo indicavano che la valvola si era richiusa e solo 2 ore e 20 minuti dopo l’inizio dell’incidente l’operatore ha chiuso la valvola di isolamento (vanne d’isolament, in figura), situata appena sotto la valvola di scarico difettosa, fermando così la perdita d’acqua. Ma non è sicuro che l’operatore si sia davvero reso conto di cosa accadeva, sembra di più che egli abbia agito con una misura routinaria piuttosto che per l’essersi reso conto delle grandi perdite d’acqua. Vi erano comunque altri due modi attraverso i quali l’operatore avrebbe potuto rendersi conto della situazione della valvola di scarico: la temperatura dell’acqua al di là della valvola di scarico e il livello dell’acqua nel recipiente che raccoglie gli esuberi d’acqua del regolatore di pressione. Questa ultima cosa sembra non sia stata fatta perché questa indicazione di livello non si trova nella sala di controllo ma in un locale vicino. L’operatore leggeva invece le temperature a valle della valvola e risultavano elevate in modo assolutamente anomalo. Ma egli considerò la cosa dovuta alla perdita d’acqua precedente alla chiusura supposta della valvola medesima. Tale perdita avrebbe riscaldato in modo anomalo la valvola medesima che ora, per inerzia termica, continuava a dare alte temperature, apparentemente, anomale. Lo stesso operatore aveva indirizzato la sua attenzione al seguimento del livello dell’acqua nel regolatore di pressione e la cosa era ben sottolineata nella consegna che aveva: “non perdere il vapore presente nel regolatore”. In tale regolatore, infatti, vi è acqua in presenza di vapor d’acqua ed è proprio la presenza di questo vapore in cima all’acqua che permette la regolazione della pressione; se il livello dell’acqua dovesse salire fino in cima al recipiente regolatore non vi sarebbe più il modo di misurare la pressione. Ora il livello dell’acqua nel regolatore, dopo un abbassamento iniziale a causa della valvola di scarico aperta, è salito rapidamente (pochi minuti) e questo innalzamento può sembrare paradossale perché accompagnato da un abbassamento di pressione nel primario. Ciò è però normale (si veda figura 6) e la cosa non era conosciuta dall’operatore (anche se uno stesso incidente, senza queste conseguenze, era già avvenuto nel 1977 nella centrale USA di Davis Besse).

Figura 6

        Per fermare questo innalzamento, l’operatore a 4 minuti e 48 secondi dall’inizio del processo, ha chiuso manualmente il sistema di iniezione di emergenza. A partire da questo momento, l’acqua che usciva dal primario attraverso quella valvola di scarico non era più rimpiazzata.

        A questo problema se ne è aggiunto un secondo dovuto ad inaffidabilità dei materiali del circuito secondario: la turbopompa e le due motopompe di emergenza ASG (pompes d’alimentation de secours des GV, in figura) si erano automaticamente messe in moto trenta secondi dopo la perdita della normale alimentazione, quando il livello dell’acqua nel GV aveva raggiunto il livello di sicurezza, proprio per mantenere nel GV un livello d’acqua costante e tale da permettere la sottrazione di calore dal primario. Ma l’acqua inviata da queste pompe non è potuta entrare nel GV perché le valvole di immissione erano chiuse e non aperte. Qui il problema nasce a monte e comunque è sempre responsabilità dell’operatore: queste valvole sono regolarmente chiuse una volta al mese per permettere delle prove regolamentari delle pompe. Alla fine delle prove è l’operatore che deve assicurarsi che siano riaperte. Le prove avevano avuto luogo qualche giorno prima dell’incidente e sembra che queste valvole non fossero state riaperte. Sta di fatto che l’operatore in sala di controllo non si è accorto dell’indicatore che dava queste valvole come chiuse e solo dopo 8 minuti dall’inizio del processo esse furono aperte manualmente. Ma nel frattempo (circa dopo 2 o 3 minuti) i generatori di vapore si erano completamente prosciugati, non vi era stato alcun raffreddamento del sistema e la temperatura dell’acqua del primario era cresciuta considerevolmente. Una volta corretto l’errore è stato necessario un certo tempo per stabilizzare la situazione. Dopo molte manovre, dopo 25 minuti dall’inizio del processo, i livelli d’acqua e le pressioni del secondario sembravano essere a posto.

 L’EVOLUZIONE DELLA SITUAZIONE DURANTE LA PRIMA ORA

          A partire dal 5° minuto, ricapitolando,  la situazione si degrada rapidamente:

• – con la valvola aperta il circuito primario si vuota e l’acqua non è rimpiazzata perché l’ignizione di emergenza è stata arrestata;
• – i generatori di vapore del secondario sono a secco e e non raffreddano più il primario;
• – nel primario la pressione scende, le temperature salgono;
• – a circa il 6° minuto si raggiungono le cosiddette condizioni di saturazione: l’acqua del primario inizia a bollire;
• – da questo momento, verosimilmente, si inizia a produrre una bolla di vapore dentro il contenitore del nocciolo e all’interno dell’intero circuito primario;
• – le pompe continuano a girare veicolando però un miscuglio disfasico formato di acqua e vapore, con il vapore che aumenta percentualmente nel tempo;
• – per il momento il nocciolo è adeguatamente raffreddato e non vi sono pericoli di danni nelle pastiglie di combustibile (ossido d’uranio);
• – dalla valvola di scarico il circuito che perdeva prima vapore ora perde acqua e vapore;
• – l’indicatore del livello del controllo di pressione non ha ora più senso: prima quel livello indicava la separazione del vapore dall’acqua, ora si ha acqua mescolata a vapore dappertutto;
• – il fluido del primario arriva  nel recipiente della riserva degli esuberi del controllore di pressione;
• – le valvole di scarico del vapore (soupapes de décharge de la vapeur, in figura) si aprono per scaricare il fluido del primario nell’ambiente esterno, ma ciò non è sufficiente; intorno al 15° minuto dall’inizio del processo si rompono le valvole e così si è definitivamente messo in contatto il fluido del primario con l’ambiente;
• – nel secondario, a partire dall’8° minuto,  (apertura delle valvole ASG), la situazione si ristabilisce progressivamente ed i generatori di vapore riprendono la loro funzione di estrazione del calore dal primario di modo che le temperature del primario vanno diminuendo; si è stabilito uno pseudo equilibrio tra primario e secondario: il calore residuo del nucleo e l’energia che le pompe forniscono al fluido del primario vengono scaricate verso l’esterno dalle aperture che le valvole rotte rappresentano; nei GV c’è quindi poco scambio perché le pressioni e le temperature dei due circuiti sono sensibilmente vicine ed i Gv medesimi stabilizzano la pressione intorno alle 70 atmosfere (il vero e proprio regolatore di pressione invece, come detto, non gioca più alcun ruolo);
• – la presenza di vapore nel primario cresce e le pompe sollecitate in modo anomalo iniziano a vibrare eccessivamente oltre a  subire particolari corrosioni (cavitazione).

I DANNI AL NOCCIOLO

        Tra 1 ora e 30 minuti ed 1 ora e 40 minuti (sempre dall’inizio del processo, cosa che non ripeterò più, essendo quella l’ora zero), l’operatore arresta in successione le pompe primarie che portano dal nocciolo ai due GV attraverso le curva A e B (boucle, in figure 7 ed 8). Egli spera che la circolazione dell’acqua sia garantita dall’effetto termosifone. Così è e la conseguenza immediata consiste nella separazione della fase liquida da quella di vapore del fluido: il vapore va a sistemarsi in tutte le parti alte del circuito mentre il liquido in tutte le parti basse (si vedano le figure 7 ed 8: nella prima le pompe sono in funzione mentre nella seconda sono ferme).

Figura 7

Figura 8

        Il calore prodotto dal nocciolo continua a portare l’acqua ad ebollizione. Non essendoci più rifornimento d’acqua, dentro il contenitore d’acciaio il livello dell’acqua scende continuamente FINO A SCOPRIRE IL NOCCIOLO. Il raffreddamento del combustibile diviene meno efficace, le temperature del rivestimento aumentano enormemente per raggiungere e poi superare il 1500 °C, temperatura a partire della quale lo zirconio reagisce chimicamente con il vapor d’acqua per formare ossido di zirconio ed idrogeno. Questa reazione libera calore e va ad aumentare ulteriormente le temperature. Verosimilmente, in certi punti si raggiunge la temperatura di fusione delle guaine (la figura 9 riporta una foto fatta alle guaine del nocciolo dopo l’avvenuto incidente). Questa fase, la più critica di tutto l’incidente, dura per circa un’ora e 30 minuti (da 1 ora e  42 minuti a 3 ore e 20 

Figura 9

minuti). E’ durante questo tempo che l’operatore chiude la valvola d’isolamento (vanne d’solament, in figura 6) della valvola di scarico del regolatore di pressione (esattamente a 2 ore e 22 minuti) ma il nocciolo, a quell’ora, è già parzialmente scoperto. Questa chiusura, comunque, avrà l’effetto di far crescere la pressione nel primario. E’ solo alle 3 ore e 20 minuti che la rimessa in funzione manuale d’iniezione d’acqua fredda nel primario permette di ristabilire un qualche raffreddamento. Occorre sottolineare che, prima della chiusura, la pressione nel primario era scesa di molto, fino a 45 atrmosfere. A questa pressione gli automatismi del reattore avrebbero dovuto far scattare l’immissione d’acqua, nel contenitore del nocciolo, da apposite riserve (cuve stockage effluents, in figura 6). Ciò, forse, poteva riuscire a salvare il nocciolo da danni ma, non è ben chiaro perché questa immissione d’acqua non sia avvenuta (con una tecnica costante in tutti gli incidenti avvenuti si tende anche qui a parlare di errore umano: l’operatore avrebbe di sua spontanea volontà bloccato manualmente questa immissione d’acqua perché, secondo quanto aveva capito, non vi era perdita d’acqua, n.d.r.). A questo punto anche l’operatore si accorge che sta avvenendo qualcosa di grave. I danni sulla prime guaine sono considerevoli ed una parte importante dei prodotti di fissione gassosi e volatili passano nel fluido del primario (principalmente xenon 133, kripton, iodio 131 e cesio). Poiché, come abbiamo detto, questo fluido era in comunicazione con l’ambiente esterno, si inizia a diffondere della radioattività in tale ambiente. Ciò viene rivelato dalla strumentazione con degli allarmi. L’operatore sa certamente ora che la cosa è molto seria.

        Anche quando le valvole di scarico del vapore verso l’esterno saranno chiuse, la radioattività dell’acqua del primario,veicolata per certi circuiti ausiliari non del tutto contenuti nell’edificio di contenzione (vedi figura 6), sarà talmente elevata che le fughe esistenti in tali circuiti comporteranno livelli elevatissimi nella radioattività di quell’ambiente esterno da far scattare allarmi nella sala di controllo. Alle 3 ore e 20 dall’inizio dell’incidente, tutti gli allarmi della centrale sono in funzione ed è proclamata la situazione di emergenza.

L’INTERVENTO DI EMERGENZA

        Abbiamo già detto che alle 3 ore e 20 minuti viene reimmessa acqua fredda nel primario e ciò raffredda un poco il nocciolo. L’operazione si realizzò però con molte difficoltà a seguito dell’elevatissima temperatura a cui già si trovava una parte del nocciolo e per la presenza nel circuito di una grande quantità di gas incondensabili (principalmente idrogeno) che ostacolano quasi completamente la circolazione d’acqua. Il contatto di acqua fredda con le barre del nocciolo ad altissima temperatura provoca importanti danni meccanici.

        Verso le 4 ore sembra comunque che si stia riuscendo a raffreddare il nocciolo anche se i danni enormi in esso sono già stati fatti. E poiché l’operatore non riesce a riattivare una circolazione complessiva, rimedia al raffreddamento mediante successive aperture e chiusure delle valvole di scarico ma questo butta fuori dall’edificio di contenzione verso l’ambiente, come già accennato, enormi quantità di liquidi e gas radioattivi. L’attività radioattiva dell’acqua del primario in funzionamento normale è meno di 1 curie al metro cubo; il limite massimo ammesso è di 200 curie; ora eravamo ad 800.000 curie.

        Successivamente l’operatore tenta per oltre due ore (dalle 5 ore alle 7 ore e 30 minuti) di pressurizzare  il reattore nella speranza di condensare il vapore. Prova poi il cammino inverso, quello di depressurizzare il primario attraverso le valvole del controllore di pressione. A questo momento una grande quantità d’idrogeno passa nell’edificio di contenzione, al punto che vi sarà una reazione esplosiva (si dice: “piccola”) con l’aria contenuta in tale edificio (intorno alle 10 ore) con un picco locale di pressione di 2 atmosfere. L’operatore cerca di mettere in funzione il sistema di raffreddamento del reattore che si utilizza al suo arresto, l’RRA (pompes de refroidissement et d’injection basse pression, a sinistra al centro  in figura 6). Non ci riesce ma l’operazione permette di scaricare via gran parte dei gas incondensabili facendo in tal modo posto ad altra acqua fredda. Verso le 13 ore egli tenterà di nuovo di pressurizzare fino alle 15 ore e 50 minuti (siamo ora alle ore 19 e 50 locali, poiché ricordo che l’incidente è iniziato alle ore 4 del mattino) quando potrà rimettere in moto alcune pompe primarie e quindi una certa circolazione d’acqua nel circuito primario. A questo punto l’incidente propriamente detto è terminato.

BILANCIO PROVVISORIO DALLA SERA DEL 28 MARZO AL 2 APRILE 1979

        L’acqua radioattiva di cui dicevamo fu scaricata in gran parte nell’ambiente attraverso le fughe successive dal primario. Insieme all’acqua fuoriuscirono i gas radioattivi. Durante l’incidente lo strumento situato alla sommità dell’edificio indicava che la dose diffusa era di 30.000 rad l’ora e ciò vuol dire che un essere umano avrebbe assorbito in meno di un secondo la dose massima ammissibile per un intero anno, cioè 5 rad. Nella parte bassa dell’edificio vi erano 2400 metri cubi d’acqua radioattiva provenienti da primario. Questa fu la radioattività che l’edificio preposto allo scopo (la terza barriera) ha contenuto.

        Intorno alle ore 20 del 28 marzo anche la seconda barriera sembra essere tornata a funzionare. Si trattava ora di tentare di spegnere il reattore per procedere alle riparazioni. 

        Sembra comunque che i gestori abbiano scoperto l’eventuale presenza di una bolla di idrogeno incondensabile in cima al contenitore del nocciolo tra la notte dal 28 ed il 29 ed il giorno 29. In ogni caso, nonostante l’intervento dell’autorevole e potente NRC (Nuclear Regulatory Commission)  USA, del Ministero dell’Industria e di vari tecnici, per oltre 5 giorni, si è avuta una completa confusione. Il volume di questa bolla era valutato in maniera indiretta poiché non vi era nessuno strumento dentro il contenitore d’acciaio che potesse dare indicazioni in tal senso. La presenza di idrogeno preoccupava non poco poiché una sua eventuale ricombinazione con ossigeno prodotto da processi d’irraggiamento, avrebbe provocato un’esplosione. Tale esplosione, se avesse creato delle fessure nell’involucro del nocciolo, l’incidente sarebbe potuto diventare di gran lunga più grave. La NRC escludeva comunque una tale possibilità. E, fortunatamente, si riuscì ad evacuare lentamente la bolla di idrogeno dapprima dissolvendo il gas nell’acqua del primario e quindi liberandosi di tale acqua attraverso la sommità del controllore di pressione. Per quel che riguarda invece l’idrogeno presente nel circuito di contenzione, esso fu eliminato con grandi difficoltà, dovute agli elevatissimi livelli radioattivi presenti, nei giorni successivi mediante un ricombinatore catalitico in dotazione al reattore (recombineur d’hydrogène, in figura 6).

        La vicenda dei liquidi radioattivi presenti nelle parti basse della centrale ha fatto molto discutere. I proprietari della centrale hanno sostenuto di averli eliminati mediante stockaggio. Lo Stato di Pennnsylvania ha sostenuto invece che erano stati eliminati attraverso il fiume.

DAL 2 APRILE

        I proprietari della centrale tentano di tranquillizzare le popolazioni ed il governo degli USA. Affermano di aver fatto interventi tali da essere tornati alla copmpleta sicurezza, soprattutto mediante l’uso delle pompe di raffreddamento all’arresto (RRA). Purtroppo queste pompe sono all’esterno dell’edificio di contenzione ed il loro essere stagne è completamente in predicato. I proprietari, di fronte a tali obiezioni, hanno operato in modo da ripristinare i generatori di vapore (GV) anche se la cosa ha richiesto un impegno fino alla fine di aprile. Nonostante ciò, ancora alla fine di luglio, la situazione del reattore era disastrosa: la pressione primaria era intorno alle 20 atmosfere e la temperatura intorno ai 70 °C. Il reattore è quindi fuori uso per la produzione di energia e, a detta dei proprietari, l’attività dell’acqua del primario a fine luglio è intorno ai 130 curie al metro cubo, quindi nella norma di legge (anche se non ancora ai valori iniziali), mentre la radioattività intorno all’edificio del reattore era intorno ai 40 rad l’ora. Sarà solo intorno alla metà del 1980 quando si potrà entrare nell’edificio, aprire il contenitore del nocciolo per vedere cosa è accaduto. Questo rapporto che è precedente alla apertura suddetta conclude affermando che si sono avute gravi perdite economiche per i proprietari della centrale. BASTA.

        Furono evacuate 140 mila persone e, secondo dati ufficiali, non vi furono conseguenze per le persone.  Si trattò di un incidente gravissimo,  ma la struttura del reattore –  più sicuro rispetto a quelli sovietici proprio per quell’edificio di contenzione – limitò i danni, evitando il dramma. Ma neppure oggi (2004), a 25 anni  dall’incidente, si sa con assoluta sicurezza che cosa sia esattamente successo. Il termine tecnico dell’incidente è «meltdown», cioè la fusione del nocciolo. L’unica conseguenza accertata al 100% del dramma è che la compagnia elettrica proprietaria della centrale, la Metropolitan Edison, fallì, non potendo far fronte né alle ingenti spese di decontaminazione dell’area, né ai risarcimenti da pagare. Secondo l’inchiesta, a Three Mile Island, il reattore surriscaldato raggiunse una temperatura di 2.650 gradi, solo 150 gradi in meno rispetto al punto di fusione del nucleo di uranio, il che avrebbe provocato una tragedia di dimensioni apocalittiche. Vicino a Harrisburg c’è infatti Filadelfia, ci sono Washington e Baltimora e una megalopoli come New York non è lontana. Ancora oggi, come si deduce dalla serie di articoli che il quotidiano locale, il Philadelphia Enquirer, sta pubblicando in questi giorni, rimangono molti punti oscuri.

CONFRONTO CERNOBYL E TMI

        L’incidente di Three Mile Island  benché gravissimo (fusione di un terzo del nocciolo del reattore) non ha avuto conseguenze così drammatiche come quelle di Cernobyl: nessuna vittima, nessun decesso, incidente dovuto ad errori umani, sempre possibili, ma senza incendio (non c’era grafite) ed ovviamente in presenza di un edificio di contenimento in calcestruzzo armato, che ha giocato un ruolo decisivo in questa centrale ad acqua in pressione (PWR). Tutte le centrali eletronucleari in Occidente sono costruite con un edificio di contenimento in calcestruzzo armato, capace di contenere la radioattività in caso di incidente.

        La quantità di sostanze radioattive che è stata rilasciata nell’ambiente a TMI è dell’ordine di 1 milione di volte meno che a Cernobyl. Ugualmente il bilancio di Cernobyl è dell’ordine di un centinaio di vittime delle radiazioni, per il momento (come ordine di grandezza – potrebbe essere dell’ordine di 1000 a lungo termine) mentre a TMI non c’è stata alcuna vittima perché non vi è stata alcuna indagine epidemiologica. Le morti per cancro furono numerose nella regione, ma è impossibile capire quante furono quelle provocate dalle radiazioni della centrale. Nessuno inoltre ha mai calcolato il numero dei morti per cancro nell’area dopo il 1988 (alcuni tumori si manifestano solo dopo 30 anni); nessuno dei lavoratori che hanno decontaminato il sito, lavorandoci anche per 10 anni, è stato seguito dai sanitari in modo continuo. E la Metropolitan Edison si è sempre rifiutata, nonostante le ripetute richieste ufficiali, di tenere un registro sulle condizioni di salute dei lavoratori della centrale.

Più in dettaglio, vediamo le similitudini e le differenze tra l’incidente di Three Mile Islands e quello di Chernobyl.

SIMILITUDINI TRA THREE MILE ISLANDS E CHERNOBYL:

1) Operazioni manuali in assenza di un sistema automatico di arresto

• TMI non ha il sistema automatico
• Cernobyl lo ha disabilitato per fare delle prove

2) Si opera con il sistema di raffreddamento di emergenza disabilitato

• A TMI si opera con il sistema di sinistra escluso per fare un test
• A Chernobyl era disabilitato per lo stesso motivo

3) Mancanza di preparazione dell’operatore per operazioni manuali di emergenza

4) Difetti nel disegno del sistema ed inaffidabilità dei componenti

5) Risolutezza dei gestori nel nascondere i problemi

6) Assenza di piani di emergenza in caso di incidente grave

7) Irresponsabili decisioni dei gestori e delle commissioni di controllo preposte che il rischio di cancro da rilasci radioattivi è accettabile

DIFFERENZE TRA THREE MILE ISLAND E CHERNOBYL

CHERNOBYL:

• non ha una struttura di contenzione
• ha come moderatore di neutroni la grafite infiammabile.

NOTE

– A proposito delle unità di misura usate si può vedere, nel sito, un articolo in proposito.

– Non ho approfondito in alcun modo i dati sugli effetti sanitari delle due tragedie. Non voglio entrare in un dibattito inutile perché sia le più grandi “dittature” che le più grandi “democrazie” hanno sempre fatto a gara a chi nascondeva meglio i dati, salvo quelli eclatanti e qui, nel nucleare, i danni eventuali non sono clamorosi perché diluiti nel tempo anche a 30 anni di distanza. Un cenno ai problemi di danno da radiazioni lo farò nel prossimo capitolo nucleare, quello che si occuperà degli armamenti nucleari e dei possibili effetti di una guerra nucleare. Intanto, er sapere cose importanti e precise sugli effetti delle radiazioni si può leggere:

P. PRIORI, Radiazioni e radioprotezione, Edisco, Torino (1983).

P.J. EARLY, M.A. RAZZAK, D.B. SODEE, Medicina nucleare, Ambrosiana Milano (1978).

F. BORSA, Lezioni di fisica e biofisica medica, “La goliardica pavese” (1971).

C. POLVANI, Elementi di radioprotezione, Enea, Roma (1983).

M. PELLICCIONI, Elementi di dosimetria delle radiazioni, Enea, Roma (1983).

Categorie:Nucleare