Sistemas de seguridad para reactores de agua en ebullición

El Sistema de Protección del Reactor (RPS, por sus siglas en inglés), informatizado en los modelos BWR más recientes, está diseñado para apagar de forma automática, rápida y completa el Sistema de Suministro de Vapor Nuclear (NSSS, que incluye el recipiente de presión del reactor , las bombas y las tuberías de agua/vapor dentro de la contención) y garantizar su seguridad si se produce algún evento que pudiera provocar una criticidad inadvertida. El RPS también inicia la parada cuando la presión límite del refrigerante del reactor, la contención o el combustible están en riesgo. El RPS no controla los Sistemas de Refrigeración de Emergencia del Núcleo (ECCS, por sus siglas en inglés). Sin embargo, sí controla las funciones de aislamiento de la contención primaria. Su funcionamiento no requiere intervención humana. No obstante, los operadores del reactor pueden anular partes del RPS si es necesario. Si un operador detecta un deterioro en la condición del reactor y sabe que se activará un sistema de seguridad automático, está capacitado para activarlo de forma preventiva.

Si el reactor está en potencia o aumentando su potencia (es decir, si el reactor es supercrítico; las barras de control se retiran hasta el punto en que el reactor genera más neutrones de los que absorbe), pueden surgir contingencias relacionadas con la seguridad que requieren una parada rápida del reactor o, en la jerga nuclear occidental, un " SCRAM ". El SCRAM consiste en la inserción rápida, manual o automática, de todas las barras de control en el reactor, lo que lo lleva a niveles de potencia de calor residual en decenas de segundos. Dado que aproximadamente el 0,6 % de los neutrones se emiten a partir de productos de fisión ( "neutrones retardados" ), que se generan segundos o minutos después de la fisión, no es posible detener toda la fisión instantáneamente, pero el combustible pronto vuelve a niveles de potencia de calor residual. Los operadores del reactor pueden iniciar los SCRAM manuales, mientras que los SCRAM automáticos se inician cuando:

1. Cierre de la válvula de parada de la turbina o de la válvula de control de la turbina.
   1. Si los sistemas de protección de la turbina detectan una anomalía significativa, se detiene la admisión de vapor. El apagado rápido del reactor se realiza en previsión de un transitorio de presión que podría aumentar la reactividad.
   2. El rechazo de carga del generador también provocará el cierre de las válvulas de la turbina y la desconexión del sistema de protección contra sobretensiones (RPS).
   3. Este mecanismo solo está activo por encima de aproximadamente 1/3 de la potencia del reactor. Por debajo de este valor, el sistema de vapor de derivación es capaz de controlar la presión del reactor sin provocar un transitorio de reactividad en el núcleo.
2. Pérdida de energía fuera de las instalaciones (LOOP)
   1. Durante el funcionamiento normal, el sistema de protección del reactor (RPS) se alimenta mediante energía externa.
      1. La pérdida de energía externa abriría todos los relés del RPS, lo que provocaría que todas las señales de apagado rápido llegaran de forma redundante.
      2. Esto también provocaría el cierre de MSIV, ya que RPS es a prueba de fallos; la planta asume que una rotura de la tubería principal de vapor coincide con la pérdida de energía externa.
3. Disparos del monitor de neutrones : el propósito de estos disparos es garantizar un aumento uniforme de la potencia neutrónica y térmica durante el arranque.
   1. Escalado ascendente del monitor de rango fuente (SRM) o del monitor de rango intermedio (IRM):
      1. El SRM, utilizado durante la calibración de instrumentos, la criticidad precrítica y la criticidad no térmica temprana, y el IRM, utilizado durante el ascenso a potencia, las etapas no térmicas medias/tardías y las etapas térmicas tempranas o medias, tienen disparos incorporados que impiden disminuciones rápidas en el período del reactor ^{[ 5 ]} cuando el reactor es intensamente reactivo (por ejemplo, cuando no existen vacíos, el agua está fría y el agua es densa) sin confirmación positiva del operador de que tales disminuciones en el período son su intención. Antes de que ocurran los disparos, se activarán los bloqueos de movimiento de barras para garantizar la vigilancia del operador si los niveles preestablecidos se superan marginalmente.
   2. Escalado del monitor de rango de potencia promedio (APRM):
      1. Evita que el reactor supere los niveles máximos de potencia de neutrones preestablecidos durante el funcionamiento o los máximos relativos antes de que el operador confirme positivamente el final del arranque mediante la transición del estado del reactor a "Funcionamiento".
   3. Monitor de rango de potencia promedio / Disparo térmico por flujo de refrigerante:
      1. Evita que el reactor supere los niveles de potencia variables si no hay suficiente flujo de refrigerante para dicho nivel.
   4. Monitor de rango de potencia de oscilación
      1. Evita que la potencia del reactor oscile rápidamente en condiciones de bajo caudal y alta potencia.
4. Nivel bajo de agua en el reactor:
   1. Contingencia por pérdida de refrigerante (LOCA)
   2. Pérdida de agua de alimentación adecuada (LOFW)
   3. Protege la turbina del arrastre excesivo de humedad si el nivel de agua está por debajo del separador de vapor y la chimenea del secador de vapor.
5. Alto nivel de agua (en plantas BWR6)
   1. Evita la inundación de las tuberías principales de vapor y protege los equipos de turbina.
   2. Limita la velocidad de adición de agua fría al recipiente, limitando así el aumento de potencia del reactor durante los transitorios de sobrealimentación.
6. Alta presión en el pozo seco (contención primaria).
   1. Indicativo de una posible pérdida de refrigerante.
   2. Asimismo, inicia los sistemas ECCS para prepararse para la inyección del núcleo una vez que se hayan autorizado los permisos de inyección.
7. Cierre de la válvula principal de aislamiento de vapor (MSIV)
   1. Protege contra transitorios de presión en el núcleo que causan transitorios de reactividad.
   2. Solo se activa para cada canal cuando la válvula está cerrada en más del 10%.
   3. Es posible que alguna combinación de válvulas esté cerrada y no provoque una parada de emergencia del reactor.
8. Alta presión en el recipiente de presión del reactor:
   1. Indicativo del cierre del MSIV.
   2. Disminuye la reactividad para compensar el colapso de los poros de ebullición debido a la alta presión.
   3. Impide que se abran las válvulas de alivio de presión.
   4. Sirve como respaldo para otros viajes, como el viaje de parada de la turbina.
9. Baja presión en la línea principal de vapor:
   1. Indicativo de una rotura en la tubería del túnel de vapor u otra ubicación que no desencadena una alta presión en el pozo seco, o de un fallo en el controlador de presión de la turbina principal.
   2. Cierra las válvulas principales de aislamiento de vapor (MSIV) para detener la despresurización. Esta acción activaría automáticamente una señal de parada de emergencia al cerrarse las MSIV.
   3. Se desactiva cuando el interruptor de modo del reactor no está en modo de funcionamiento para permitir la despresurización y presurización normales durante el arranque.
10. Evento sísmico
    1. Por lo general, solo las plantas ubicadas en zonas de alta sismicidad tienen habilitada esta función.
11. Alto volumen de descarga de Scram
    1. En caso de que el volumen de descarga hidráulica del sistema de parada de emergencia comience a llenarse, este activará la parada de emergencia del reactor antes de que dicho volumen se llene por completo. Esto evita el bloqueo hidráulico, que podría impedir la inserción de las barras de control. El objetivo es prevenir un transitorio anticipado sin parada de emergencia (ATWS, por sus siglas en inglés). Esta medida se implementó debido al ATWS de Browns Ferry.

Mientras que el sistema de protección del reactor está diseñado para apagar el reactor, el ECCS está diseñado para mantener una refrigeración adecuada del núcleo. El ECCS es un conjunto de sistemas de seguridad interrelacionados diseñados para proteger el combustible dentro del recipiente de presión del reactor, que se denomina "núcleo del reactor", del sobrecalentamiento. Los cinco criterios para el ECCS son evitar que la temperatura máxima del revestimiento del combustible supere los 2200  °F (1204  °C), evitar más del 17 % de oxidación del revestimiento del combustible, evitar más del 1 % de la generación máxima teórica de hidrógeno debido a la reacción metal-agua de la zircaloy, mantener una geometría refrigerable y permitir la refrigeración a largo plazo. ^{[ 6 ]} Los sistemas ECCS logran esto manteniendo el nivel de agua de refrigeración del recipiente de presión del reactor (RPV) o, si eso es imposible, inundando directamente el núcleo con refrigerante.

Estos sistemas son de tres tipos principales:

1. Sistemas de alta presión: Estos sistemas están diseñados para proteger el núcleo inyectando grandes cantidades de agua para evitar que el combustible quede al descubierto debido a la disminución del nivel de agua. Generalmente se utilizan en casos de válvulas de seguridad atascadas en posición abierta, pequeñas roturas en tuberías auxiliares y transitorios particularmente violentos causados ​​por la parada de la turbina y el cierre de la válvula principal de aislamiento de vapor. Si el nivel de agua no se puede mantener solo con los sistemas de alta presión (el nivel de agua sigue descendiendo por debajo de un punto preestablecido incluso con los sistemas de alta presión funcionando a máxima potencia), se activa el siguiente conjunto de sistemas.
2. Sistemas de despresurización: Estos sistemas están diseñados para mantener la presión del reactor dentro de los límites de seguridad. Además, si el nivel de agua del reactor no se puede mantener únicamente con los sistemas de refrigeración de alta presión, el sistema de despresurización puede reducir la presión del reactor a un nivel en el que los sistemas de refrigeración de baja presión puedan funcionar.
3. Sistemas de baja presión: Estos sistemas están diseñados para funcionar después de que los sistemas de despresurización hayan entrado en funcionamiento. Tienen una gran capacidad en comparación con los sistemas de alta presión y se alimentan mediante múltiples fuentes de energía redundantes. Mantendrán cualquier nivel de agua que se pueda mantener y, en caso de una rotura importante de una tubería por debajo del núcleo que provoque la exposición temporal de las barras de combustible, mitigarán rápidamente esa situación antes de que el combustible se caliente hasta el punto de dañar el núcleo.

El SLCS es un respaldo del sistema de protección del reactor. En caso de que el RPS no pueda realizar el scram del reactor por cualquier motivo, el SLCS inyectará una solución líquida de boro en el recipiente del reactor para llevarlo a un estado de parada garantizada antes de que se excedan los límites de contención o del recipiente del reactor. El sistema de control de líquido de reserva está diseñado para suministrar el equivalente a 86 gpm de una solución de pentaborato de sodio al 13% en peso en un recipiente de reactor BWR de 251 pulgadas. ^{[ 10 ]} El SLCS, en combinación con el sistema alternativo de inserción de barras, la parada automática de la bomba de recirculación y las acciones manuales del operador para reducir el nivel de agua en el núcleo, asegurarán que el recipiente del reactor no exceda sus límites del código ASME, que el combustible no sufra inestabilidades que dañen el núcleo y que la contención no falle debido a la sobrepresión durante una falla de scram de alta potencia.

El SLCS consiste en un tanque que contiene agua borada como absorbente de neutrones , protegido por válvulas de apertura explosiva y bombas redundantes, lo que permite la inyección de agua borada en el reactor contra cualquier presión interna; el agua borada detendrá el reactor y lo mantendrá apagado. El SLCS también puede inyectarse durante un accidente de pérdida de refrigerante (LOCA) o una falla en el revestimiento del combustible para ajustar el pH del refrigerante del reactor derramado, evitando la liberación de algunos materiales radiactivos.

Nota de control de versiones: El SLCS es un sistema que nunca debe activarse a menos que todas las demás medidas hayan fallado. En los reactores BWR/1 a BWR/6, su activación podría causar daños suficientes a la planta como para dejar inoperables los BWR más antiguos sin una revisión completa. Con la llegada de los reactores ABWR y (E)SBWR, los operadores no tienen que ser tan reacios a activar el SLCS, ya que estos reactores cuentan con un sistema de limpieza de agua del reactor (RWCS) diseñado para eliminar el boro. Una vez que el reactor se ha estabilizado, el agua borada dentro del recipiente de presión del reactor (RPV) puede filtrarse a través de este sistema para eliminar rápidamente los absorbentes de neutrones solubles que contiene y, por lo tanto, evitar daños a los componentes internos de la planta.

El sistema de seguridad definitivo, tanto dentro como fuera de cada reactor BWR, consiste en los numerosos niveles de blindaje físico que protegen al reactor del mundo exterior y, a su vez, protegen al mundo exterior del reactor.

Existen cinco niveles de protección:

1. Las barras de combustible dentro del recipiente de presión del reactor están recubiertas con un grueso blindaje de Zircaloy ;
2. El recipiente a presión del reactor está fabricado con acero de 150 mm (6 pulgadas ) de espesor, con placas de acero inoxidable quirúrgico de grado 316L, extremadamente resistentes a altas temperaturas, vibraciones y corrosión, tanto en el interior como en el exterior; 
3. La estructura de contención primaria está hecha de acero de 1  pulgada de espesor;
4. La estructura de contención secundaria está hecha de hormigón pretensado reforzado con acero, de 1,2 a 2,4 metros (3,9 a 7,9 pies) de espesor. 
5. El edificio del reactor (el muro de protección/escudo antimisiles) también está hecho de hormigón pretensado reforzado con acero, de 0,3 a 1 m (0,98 a 3,28 pies) de espesor.  

Si fallan todas las medidas posibles que se interponen entre el funcionamiento seguro y el daño al núcleo, el sistema de contención puede sellarse indefinidamente, lo que impedirá que se produzca una liberación sustancial de radiación al medio ambiente en casi cualquier circunstancia.

Variedades de contención de reactores de agua en ebullición (BWR)

Como ilustran las descripciones de los sistemas anteriores, los reactores BWR difieren bastante en diseño de los reactores PWR. A diferencia de los PWR, que generalmente siguen un diseño de contención externa muy predecible (la típica cúpula sobre un cilindro), las contenciones de los BWR varían en su forma externa, pero su singularidad interna es extremadamente notable en comparación con los PWR. Existen cinco variedades principales de contenciones de BWR:

• La contención "premoderna" (Generación I), de forma esférica y equipada con un separador de tambor de vapor o un separador de vapor fuera del recipiente de presión del reactor, y un intercambiador de calor para vapor a baja presión, está ahora obsoleta y no la utiliza ningún reactor en funcionamiento.

• La contención Mark I consiste en un edificio rectangular de hormigón armado, junto con una capa adicional de hormigón armado que rodea el pozo seco cilíndrico revestido de acero y el toroide de supresión de presión revestido de acero situado debajo. La Mark I fue el primer tipo de contención de uso generalizado, y muchos reactores con este tipo de contención siguen en servicio hoy en día. A lo largo de los años se han realizado numerosas mejoras de seguridad en este tipo de contención, especialmente para permitir una reducción ordenada de la carga de contención causada por la presión en una falla limitante compuesta. El edificio del reactor Mark I generalmente tiene la forma de una gran estructura rectangular de hormigón armado.

• La contención Mark II, similar a la Mark I, omite un toroide de supresión de presión distintivo y, en su lugar, utiliza un pozo húmedo cilíndrico situado debajo de la sección de cavidad no reactor del pozo seco. Tanto el pozo húmedo como el pozo seco cuentan con una estructura de contención primaria de acero, como en la Mark I, así como con las capas de hormigón armado de la Mark I que componen la contención secundaria entre la estructura de contención primaria externa y la pared exterior del edificio del reactor propiamente dicho. El edificio del reactor Mark II tiene, en general, forma de cilindro de cima plana.
• La contención Mark III, de forma generalmente similar externamente a la de un reactor PWR típico, presenta algunas similitudes internas, al menos superficialmente. Por ejemplo, en lugar de una losa de hormigón sobre la que el personal pudiera caminar mientras el reactor no se recargaba, cubriendo la parte superior de la contención primaria y la válvula de presión del reactor (RPV) justo debajo, la Mark III adopta un diseño más parecido al de un reactor PWR al colocar una piscina de agua sobre esta losa. Otros cambios incluyen la separación del pozo húmedo en una piscina de supresión de presión, con un muro de contención que la separa del pozo seco.

• Contenciones avanzadas; los modelos actuales de contenciones BWR para el ABWR y el ESBWR se inspiran en el estilo clásico Mark I/II, que se distingue claramente del PWR tanto por fuera como por dentro. Sin embargo, ambos reactores incorporan el estilo Mark III, con edificios no relacionados con la seguridad que rodean o están unidos al edificio del reactor, en lugar de estar claramente separados de él. Estas contenciones también están diseñadas para soportar mucha más tensión que las anteriores, lo que proporciona una seguridad avanzada. En particular, GE considera que estas contenciones pueden resistir el impacto directo de un tornado de nivel superior al 5 en la antigua escala Fujita, con vientos de más de 530 km/h. Nunca se ha registrado un tornado de tal magnitud en la Tierra. Además, están diseñadas para soportar aceleraciones sísmicas de 0,2 G, o casi 2 metros por segundo al ^cuadrado en cualquier dirección.

Durante las operaciones normales de la planta y a temperaturas normales de funcionamiento, la generación de hidrógeno no es significativa. Cuando el combustible nuclear se sobrecalienta, el circonio del revestimiento de Zircaloy utilizado en las barras de combustible se oxida en reacción con el vapor: ^{[ 11 ]}

Zr + _2H₂O → _ZrO₂ + _2H₂

Cuando se mezcla con el aire, el hidrógeno es inflamable, y la detonación o deflagración del hidrógeno puede dañar la contención del reactor. En diseños de reactores con volúmenes de contención pequeños, como en las contenciones Mark I o II, el método preferido para controlar el hidrógeno es la preinertización con gas inerte (generalmente nitrógeno) para reducir la concentración de oxígeno en el aire por debajo de la necesaria para la combustión del hidrógeno, y el uso de recombinadores térmicos. La preinertización se considera poco práctica con volúmenes de contención mayores donde se utilizan recombinadores térmicos e ignición deliberada. ^{[ 12 ]} Las contenciones Mark III tienen encendedores de hidrógeno y mezcladores de hidrógeno que están diseñados para evitar la acumulación de hidrógeno ya sea por preignición antes de superar el límite inferior de explosividad del 4%, o por recombinación con oxígeno para formar agua.

El accidente de base de diseño (DBA, por sus siglas en inglés) para una central nuclear es el accidente individual más grave posible que los diseñadores de la planta y las autoridades reguladoras podrían prever razonablemente. Es, además, por definición, el accidente al que los sistemas de seguridad del reactor están diseñados para responder con éxito, incluso si ocurre cuando el reactor se encuentra en su estado más vulnerable. El DBA para el reactor BWR consiste en la rotura total de una tubería de refrigerante grande en la ubicación que se considera que coloca al reactor en mayor peligro de sufrir daños; específicamente, para los reactores BWR más antiguos (BWR/1-BWR/6), el DBA consiste en una rotura de guillotina en el circuito de refrigerante de una de las bombas de chorro de recirculación, que se encuentra sustancialmente por debajo de la línea de agua del núcleo (LBLOCA, accidente de pérdida de refrigerante por rotura grande) combinada con la pérdida de agua de alimentación para compensar el agua hervida en el reactor (LOFW, pérdida de agua de alimentación adecuada), combinada con un colapso simultáneo de la red eléctrica regional, lo que resulta en una pérdida de energía para ciertos sistemas de emergencia del reactor (LOOP, pérdida de energía externa). El reactor BWR está diseñado para resistir este accidente sin sufrir daños en su núcleo.

La descripción de este accidente es aplicable al BWR/4.

El resultado inmediato de dicha rotura (llamémoslo tiempo T+0) sería un chorro de agua a presión muy por encima del punto de ebullición que sale disparado de la tubería rota hacia el pozo seco, que está a presión atmosférica. A medida que este chorro de agua se convierte en vapor, debido a la disminución de la presión y a que está por encima del punto de ebullición del agua a presión atmosférica normal, los sensores de presión dentro del pozo seco informarán de una anomalía de aumento de presión dentro del mismo al sistema de protección del reactor a más tardar en T+0.3. El RPS interpretará esta señal de aumento de presión, correctamente, como la señal de una rotura en una tubería dentro del pozo seco. Como resultado, el RPS inicia inmediatamente un SCRAM completo, cierra la válvula principal de aislamiento de vapor (aislando el edificio de contención), dispara las turbinas, intenta iniciar el giro de RCIC y HPCI, utilizando vapor residual, y arranca las bombas diésel para LPCI y CS.

Suponiendo que el corte de energía se produzca en T +0,5, el sistema de alimentación ininterrumpida (SAI) funciona con un sistema de alimentación flotante, por lo que continúa operando; sin embargo, sus sensores no lo hacen, y por lo tanto, el SAI asume que todos detectan condiciones de emergencia. En menos de un segundo tras el corte de energía, las baterías auxiliares y el suministro de aire comprimido ponen en marcha los generadores diésel de emergencia. El suministro eléctrico se restablecerá en T +25 segundos.

Volvamos al núcleo del reactor. Debido al cierre del MSIV (completo en T +2), una onda de contrapresión impactará el RPV que se despresuriza rápidamente, pero esto es irrelevante, ya que la despresurización debida a la rotura de la línea de recirculación es tan rápida y completa que es improbable que los huecos de vapor colapsen en agua líquida. El HPCI y el RCIC fallarán debido a la pérdida de presión de vapor en la despresurización general, pero esto nuevamente es irrelevante, ya que el caudal de 2000 L/min (600 galones estadounidenses/min) del RCIC disponible después de T +5 es insuficiente para mantener el nivel de agua; tampoco el caudal de 19 000 L/min (5000 galones estadounidenses/min) del HPCI, disponible en T +10, sería suficiente para mantener el nivel de agua, si pudiera funcionar sin vapor. En T +10, la temperatura del núcleo del reactor, que ronda los 285 °C (545 °F) en ese momento y antes, comienza a subir a medida que se ha perdido suficiente refrigerante del núcleo como para que se formen huecos en el refrigerante entre las barras de combustible y estas comiencen a calentarse rápidamente. A los T +12 segundos del inicio del accidente, comienza el descubrimiento de las barras de combustible. Aproximadamente en T +18, algunas zonas de las barras han alcanzado los 540 °C (1004 °F) . Se produce cierto alivio alrededor de T +20, ya que el coeficiente de temperatura negativo y el coeficiente de huecos negativo ralentizan la tasa de aumento de temperatura. En T +25 se restablece la energía; sin embargo, LPCI y CS no estarán en línea hasta T +40.    

A T +40, la temperatura del núcleo es de 650 °C (1202 °F) y aumenta constantemente; CS y LPCI entran en acción y comienzan a inundar el vapor por encima del núcleo, y luego el núcleo mismo. Primero, una gran cantidad de vapor que aún está atrapado por encima y dentro del núcleo debe ser eliminado primero, o el agua se convertirá en vapor antes de que llegue a las barras. Esto sucede después de unos segundos, ya que los aproximadamente 200 000 L/min (3300 L/s, 52 500 galones estadounidenses/min, 875 galones estadounidenses/s) de agua que liberan estos sistemas comienzan a enfriar primero la parte superior del núcleo, con LPCI inundando las barras de combustible, y CS suprimiendo el vapor generado hasta que aproximadamente a T +100 segundos, todo el combustible está ahora sujeto a la inundación y los últimos puntos calientes restantes en la parte inferior del núcleo ahora se están enfriando. La temperatura máxima alcanzada fue de 900 °C (1650 °F) (muy por debajo del máximo de 1200 °C (2190 °F) establecido por el NRC) en la parte inferior del núcleo, que fue el último punto caliente afectado por el diluvio de agua.      

El núcleo se enfría de forma rápida y completa, y tras enfriarlo a una temperatura razonable, inferior a la que permite la generación de vapor, se apaga el sistema CS y se reduce el volumen del LPCI a un nivel que permita mantener una temperatura constante entre las barras de combustible, la cual irá disminuyendo a lo largo de varios días debido a la disminución del calor residual de los productos de fisión dentro del núcleo.

Después de unos días de LPCI, el calor residual habrá disminuido lo suficiente como para que se pueda comenzar el desmantelamiento del reactor con cierto grado de precaución. Después del desmantelamiento, se puede apagar el LPCI. Será necesario un largo período de reparaciones físicas para reparar el circuito de recirculación roto; revisar el ECCS; las bombas diésel; y los generadores diésel; vaciar el pozo seco; inspeccionar completamente todos los sistemas del reactor, poner los sistemas no conformes a las especificaciones, reemplazar las piezas viejas y desgastadas, etc. Al mismo tiempo, personal diferente del licenciatario que trabaja en conjunto con la NRC evaluará cuál fue la causa inmediata de la rotura; buscará qué evento condujo a la causa inmediata de la rotura (las causas raíz del accidente); y luego analizará las causas raíz y tomará medidas correctivas basadas en las causas raíz y las causas inmediatas descubiertas. A esto le sigue un período para reflexionar en general y analizar el accidente, discutir qué procedimientos funcionaron, qué procedimientos no funcionaron y, si todo volviera a suceder, qué se podría haber hecho mejor y qué se podría hacer para asegurar que no vuelva a suceder; y registrar las lecciones aprendidas para transmitirlas a otros titulares de licencias de reactores BWR. Una vez logrado esto, el reactor puede recargarse de combustible, reanudar sus operaciones y comenzar a producir energía nuevamente.

Los reactores ABWR y ESBWR, los modelos más recientes del BWR, no son vulnerables a un incidente de este tipo, ya que no tienen penetraciones de líquido (tuberías) a menos de unos pocos pies por encima de la línea de flotación del núcleo. Por lo tanto, la vasija de presión del reactor retiene el agua como una piscina profunda en caso de rotura de la línea de alimentación de agua o de la línea de vapor. Los reactores BWR 5 y 6 tienen mayor tolerancia, niveles de agua más profundos y tiempos de respuesta del sistema de emergencia mucho más rápidos. La exposición de las barras de combustible ocurrirá brevemente, pero la temperatura máxima solo alcanzará los 600 °C (1112 °F) , muy por debajo del límite de seguridad de la NRC.  

Según un informe de la Comisión Reguladora Nuclear de EE. UU. sobre el desastre nuclear de Fukushima Daiichi , el terremoto y tsunami de Tōhoku de marzo de 2011 que causó dicho desastre fue un evento "mucho más severo que la base de diseño para la central nuclear de Fukushima Daiichi ". ^{[ 13 ]} Los reactores de esta central eran modelos BWR 3 y BWR 4. Sus recipientes de contención primaria tuvieron que ser inundados con agua de mar que contenía ácido bórico, lo que impedirá cualquier reanudación de la operación y no fue previsto en el escenario DBA. Además, el escenario DBA no previó nada similar a las explosiones químicas que ocurrieron en la central de Fukushima Daiichi ^{[ 14 ]} .

Antes del desastre de Fukushima Daiichi, no se había producido ningún incidente con un reactor BWR que se acercara a la gravedad de un DBA o incluso de un LBLOCA . Si bien se habían registrado incidentes menores relacionados con el ECCS, en esos casos su funcionamiento había estado a la altura o incluso por encima de las expectativas. El incidente más grave que se había producido anteriormente con un reactor BWR tuvo lugar en 1975 debido a un incendio causado por una espuma de uretano extremadamente inflamable instalada en lugar de materiales ignífugos en la central nuclear de Browns Ferry . Durante un breve periodo, el equipo de monitorización de la sala de control se desconectó del reactor, pero este se apagó correctamente y, a fecha de 2009, seguía produciendo energía para la Autoridad del Valle de Tennessee , sin haber sufrido daños en los sistemas dentro de la contención. El incendio no tuvo nada que ver con el diseño del reactor BWR; podría haber ocurrido en cualquier central eléctrica. Las lecciones aprendidas de ese incidente dieron como resultado la creación de una estación de control de respaldo independiente, la compartimentación de la central en zonas de incendio y la documentación precisa de los equipos necesarios para apagar el reactor y mantenerlo en condiciones seguras en caso de un incendio grave en cualquiera de las zonas afectadas. Estos cambios se implementaron en todas las centrales nucleares existentes en Estados Unidos y en la mayoría de las occidentales, y se incorporaron a las nuevas centrales a partir de entonces.