Действия эксплуатационного персонала
Как бы там не было, но реактор взорвался в руках у эксплуатации, и естественно возникает вопрос, что они делали не так, почему именно у них он взорвался. На этот вопрос сразу же был дан ответ [12], подтверждённый авторитетом МАГАТЭ в докладе международной группы по безопасности реакторов INSAG [13]. Эксплуатационный персонал «нарушил важнейшие положения регламента эксплуатации в части безопасности ведения технологического процесса», и перечислено семь таких нарушений. Но в 1991 г. многие из, сделанных в этом докладе утверждений относительно нарушений регламента, были признаны не соответствующими истине, и в новой редакции доклада МАГАТЭ [6] его выводы были существенно пересмотрены.
В этой связи, нисколько не подвергая сомнению необходимость соблюдения регламента, тем не менее, следует классифицировать действия эксплуатационного персонала не только как регламентные и не регламентные, но и как правильные и неправильные. И если эти классификации не совпадают, то следует разбираться не только с нарушениями регламента, но и с самим регламентом. При нормально написанном регламенте не может быть неправильных действий, им разрешённых, равно как и не должно быть запрета на правильные действия.
Большинство нарушений, в которых обвинили персонал, на самом деле никак не влияли на протекание аварии, и не они её вызвали. Наиболее ярким из таких нарушений, является блокирование на долгое время гидроёмкостей САОР. Они, в общем-то, предназначены для борьбы именно с такого рода авариями (потеря теплоносителя в результате МПА), но в данном случае их наличие или отсутствие ничего не меняло, хотя бы потому, что не возникало сигнала на автоматическое включение САОР. Про другие нарушения, такие как манипулирования уставками аварийной защиты по уровню или давлению в БС, если и можно говорить об их влиянии на возникновение аварии, то только в том смысле, в каком мы уже говорили раньше. Не будь этих нарушений, невозможно было бы работать, и реактор был бы остановлен аварийной защитой, не позволив провести запланированные работы (снятие вибрационных характеристик и испытание выбега). Но есть три нарушения, они же, и неправильные действия, имеющие непосредственное отношение к аварии, и на них стоит остановиться подробнее.
Одним из основных неправильных действий и одновременно нарушением программы испытаний была работа реактора на малом уровне мощности 200 МВт вместо запланированного 700 МВт. Помимо того, что на такой мощности, реактор и КМПЦ работают неустойчиво, требуя повышенного внимания со стороны операторов и интенсивной работы систем регулирования, этот режим был ещё и опасен. При большом расходе теплоносителя, создаваемого 8-ю ГЦН, включёнными согласно программе испытаний, температура в контуре циркуляции приближалась к температуре кипения с возможностью возникновения кавитации, срыву циркуляции и нарушению охлаждения активной зоны реактора. Даже если бы реактор не был взрывоопасен и не обладал большим положительным ПКР, это могло бы привести к серьёзной аварии связанной с пережогом и разрушением твэл.
Как не странно, работа на мощности 200 МВт не была запрещена регламентом эксплуатации. Более того она была предусмотрена как ступень при выходе реактора на мощность после длительного останова, и время нахождения на этой ступени ограничивалось не сверху, а снизу (не менее 2-х часов). Ограничивался только расход теплоносителя, который 26-го апреля 1986 г. был превышен.
Самым впечатляющим нарушением, в котором обвиняется персонал, является, несомненно, блокировка аварийной защиты АЗ-5 по отключению 2-х ТГ. Интересно, что само по себе отключение этой (технологической) защиты не было на самом деле никаким нарушением регламента, более того в специальной инструкции по работе с блокировками предписывалось вводить эту защиту при пуске первого и выводить перед остановкой последнего турбогенератора. Другое дело, что это отключение защиты было нарушением в какой-то степени программы испытаний, в которой, правда, ничего прямым текстом о заглушении реактора не говорилось, но по содержанию и смыслу программы было ясно, что реактор должен быть остановлен по сигналу АЗ-5 в начале выбега.
Оставив реактор на мощности, эксплуатационный персонал допустил большую ошибку, и она несомненно могла бы считаться причиной аварии, если бы не одно но... Зададимся вопросом: а что было бы, если бы кнопка АЗ-5 была нажата одновременно с началом выбега, так как это и собирались сделать, если верить руководителю испытаний А.С. Дятлову ([4], стр. 39), но почему-то не сделали? А было бы тогда вот что, реактор, скорее всего, взорвался бы точно так же, как это и произошло в действительности, но только на 35 с раньше. Ведь условия для такого развития событий были к началу выбега уже подготовлены всей работой в течение часа, предшествующего аварии.
Так что же такого, необычного, сделал эксплуатационный персонал в течение этого часа, что взрыв реактора стал неотвратимым? Ответ на это даётся крайне простой и столь же удивительный: они нарушили технологический регламент и работали с малым оперативным запасом реактивности (ОЗР). Заметим, что ОЗР это не реактивность, которая непосредственно отслеживается по изменению мощности. Это параметр, характеризующий гипотетическое состояние реактора: какая в нём появится реактивность, если извлечь полностью все стержни регулирования. Разумеется, сделать это невозможно, и определить ОЗР можно только расчётным путём, проведя физический расчёт реактора. Кроме того этим параметром невозможно непосредственно управлять, управлять можно стержнями регулирования, перегрузкой ТВС и ДП, а ОЗР устанавливается при этом сам нейтронно-физическими процессами, протекающими в реакторе. И наконец, ОЗР в переходных режимах (при любых изменениях мощности реактора или тепло-гидравлических параметров) сильно и быстро меняется.
Как же это может быть, что такой достаточно абстрактный, трудно отслеживаемый и непосредственно не наблюдаемый параметр определяет фатальным образом ядерную безопасность реактора, и почему? Из того, что было сказано раньше про аварийную защиту, становится ясно почему. Малый (близкий к нулю) ОЗР требует, чтобы все регулирующие стержни были почти полностью извлечены из реактора, а в этом состоянии аварийная защита РБМК-1000 теряет свои функции и вместо заглушения разгоняет реактор. Давайте посмотрим, что же по этому поводу говорят правила ядерной безопасности [14] и регламент эксплуатации?
Правила ядерной безопасности ПБЯ-04-74, действовавшие на момент аварии, об ОЗР не говорят абсолютно ничего. И даже само словосочетание «запас реактивности» во всём этом документе встречается только один раз, в разделе «Основные понятия, определения и терминология» при определении термина «максимальный запас реактивности», который, впрочем, тоже нигде дальше не используется. Уже одно это означает, что либо документ никуда не годится, либо ОЗР не является параметром, важным для безопасности. То, что ОЗР не считался до Чернобыльской аварии параметром, определяющим ядерную безопасность реактора РБМК-1000, достаточно очевидно. Отсутствовал постоянный автоматический контроль этого параметра, не формировались предупредительные и аварийные сигналы при его выходе за допустимые пределы, не срабатывала по этому параметру аварийная защита. Для того чтобы получить значение ОЗР, необходимо было заказать физ. расчёт дежурному инженеру по вычислительной технике и ожидать 5...10 мин. пока его принесут на пульт управления. Последний такой расчёт был заказан за 1,5 мин. до взрыва, и получить его результаты операторы не успели, но уже после аварии по сохранённой записи исходных данных на магнитной ленте расчёт был проведён, и ОЗР оказался в два раза ниже разрешённого предела.
Отсутствовало какое-либо упоминание о ядерной опасности малого ОЗР и в регламенте эксплуатации. Регламент запрещал работу с запасом реактивности менее 15 стержней РР. Но давайте посмотрим, почему он это делал и как. Этот запрет в регламенте упоминается дважды: в главе 6 при описании порядка подъёма мощности реактора после кратковременной остановки энергоблока и в главе 9, посвящённой работе реактора на постоянном уровне мощности. В этой главе в 33-х её параграфах для всех более или менее значимых параметров энергоблока (каждому посвящён отдельный параграф) подробно описывается, в каких они должны находиться пределах. Там где это необходимо, сказано, как это соответствие регламенту определяется. Для некоторых (комплексных) параметров дополнительно разъясняются разрешённые ситуации. В следующей, 10-й главе «Действия персонала при отклонениях параметров от нормальных» в 27-ми параграфах (с большим количеством подпунктов каждый) подробнейшим образом описываются все необходимые действия по каждому из параметров.
Так вот, во всём этом тексте нет ни слова об оперативном запасе реактивности. Ни как определять, находится ли он в допустимых пределах, ни что и как делать, если он за эти пределы вышел. Вообще ничего. Нет такого контролируемого параметра! ОЗР упоминается только в преамбуле главы 9. Вот, что там написано:
На номинальной мощности в стационарном режиме величина оперативного запаса реактивности должна составлять не менее 26...30 стержней.
Работа реактора при запасе менее 26 стержней допускается с разрешения главного инженера станции.
При снижении оперативного запаса реактивности до 15 стержней реактор должен быть немедленно заглушён.
Научное руководство станции должно периодически (1 раз в год) рассматривать конкретные условия устойчивого поддержания полей энерго выделения на данном блоке и при необходимости пересматривать их в сторону ужесточения по согласованию с Научным руководителем и Главным конструктором.
Из этого текста следует, что опасность, заставляющая немедленно заглушать реактор, проистекает из влияния ОЗР на устойчивость нейтронного поля в активной зоне. И такое влияние действительно есть, неустойчивость нейтронного поля это то, с чем оператор, управляющий реактором, практически постоянно имеет дело. Нейтронное поле непосредственно контролируется датчиками внутриреакторного контроля реактора и их показания непрерывно поступают на мнемотабло, расположенное перед оператором, а также в систему предупредительной (и аварийной) сигнализации. Неустойчивость нейтронного поля имеет чётко определённую количественную характеристику τ01 – период вращения азимутальной гармоники. Так почему же не этот непосредственно наблюдаемый параметр служит сигналом для немедленного заглушения реактора, а какой-то ОЗР, от которого к тому же неустойчивость зависит неоднозначно. Она зависит от общего наличия любого поглотителя в активной зоне, а не только и не столько от погружения стержней регулирования. И почему же тогда кроме этого косвенного упоминания в преамбуле главы 9 в регламенте нет ни слова о неустойчивости нейтронного поля в РБМК-1000.
Создаётся впечатление, что авторы регламента что-то такое знают об ОЗР и об устойчивости нейтронного поля, чего они говорить не хотят.
Самая страшная авария для ядерного реактора – неконтролируемый разгон на мгновенных нейтронах. В «Правилах» этого не сказано, видимо потому, что считалось: такое произойти не может, если будет выполнено всё что в «Правилах» написано. Но читая этот документ, мы не находим в нём самого главного, что делает разгон на мгновенных нейтронах невозможным, а именно требования, чтобы быстрый мощностной коэффициент реактивности был отрицателен. И с удивлением обнаруживаем, что вообще такого понятия, как быстрый мощностной коэффициент там нет. А что же есть?
Есть ничем не примечательный пункт 3.2.2 в одном из разделов «Правил» среди множества других пунктов требований к конструкции и характеристикам активной зоны. Это даже не требование, а скорее пожелание, касающееся не быстрого, а полного мощностного коэффициента.
При проектировании реактора следует стремиться к тому, чтобы полный мощностной коэффициент реактивности не был положительным при любых режимах работы АЭС.
Чтобы этот пункт 3.2.2 не выглядел уж совсем абсурдным, он заканчивается следующим текстом:
Если полный мощностной коэффициент реактивности в каких-либо эксплуатационных условиях положителен, в проекте должна быть обеспечена и особо доказана ядерная безопасность реактора при работе в стационарных, переходных и аварийных режимах.
Так как по этому наиважнейшему для ядерной безопасности вопросу ничего в ПБЯ больше не сказано, то получается, что разработчик сам должен проявлять инициативу. Мало того, что он должен выискивать режимы и ситуации, в которых мощностной коэффициент может стать положительным, и он должен обеспечить безопасность в этих случаях. Он ещё сам же должен придумать, как требуемое обеспечение безопасности обосновать и «особо доказать». Вряд ли найдётся такой разработчик, который будет искать себе на голову подобных приключений. Куда проще посчитать, что таких режимов, где коэффициент положителен, нет, и тогда ничего никому обосновывать и доказывать не нужно. Так гл. конструктор РБМК-1000 и поступил, сделав взрывоопасный реактор. Но он при этом ничего не нарушил, он ведь не знал (пока не произошла авария), что мощностной коэффициент может оказаться положительным!
Хорошо, допустим, что чего-то главный конструктор не знал, о чём-то научный руководитель не догадался, и всякое может с реактором случиться. Но именно на такой случай на всех реакторах предусмотрена аварийная защита «SCRAM», которая осуществляет «быстрое гашение цепной реакции, а также поддержание реактора в подкритическом состоянии» (п. 3.3.1. ПБЯ-04-74), причём делать это она должна «при любых нормальных и аварийных условиях» (п. 3.3.5. ПБЯ-04-74) и в том числе обеспечивать «автоматический останов реактора при возникновении аварийной ситуации» (п. 3.3.21. ПБЯ-04-74). Много ещё чего сказано про аварийную защиту, но не сказано прямым текстом главного, само собой разумеющегося. Не сказано, что достигается всё это введением большой отрицательной реактивности, и ни при каких обстоятельствах аварийная защита, срабатывая, не должна вводить положительную реактивность.
И тогда нечего удивляться, что разработчик реактора РБМК-1000, создав такую, фантастическую, противоречащую здравому смыслу защиту, сейчас делает невинные глаза и не видит ничего особенного в том, что защита вместо заглушения разгоняет реактор, называя это свойство защиты, придуманным им научным термином: положительный scram-эффект ([8], стр. 556). И он может не обращать внимания на скромное примечание к пункту 3.1.6 «Правил» о том, что в техническом проекте АЭС в его специальном разделе «указываются все имеющиеся отступления от требований «Правил». Отступления должны быть обоснованы и согласованы с Госатомнадзором СССР». Разумеется, ничего этого сделано не было, и вся эксплуатационная документации на АЭС составлялась без учёта «мягко говоря» особенностей аварийной защиты.
Спустя 5 лет после аварии надзорный орган Госпроатомнадзор (уже дважды сменивший к этому времени и название, и свой статус) дал подробный анализ нарушения требований ядерной безопасности в проекте РБМК-1000 ([6] приложение I). Конечно, лучше поздно, чем никогда, но сделай он этот анализ своевременно и потребуй должных обоснований безопасности для принятых конструкторских решений, не было бы чернобыльской аварии.
Выводы
Из этого текста следует, что опасность, заставляющая немедленно заглушать реактор, проистекает из влияния ОЗР на устойчивость нейтронного поля в активной зоне. И такое влияние действительно есть, неустойчивость нейтронного поля это то, с чем оператор, управляющий реактором, практически постоянно имеет дело. Нейтронное поле непосредственно контролируется датчиками внутриреакторного контроля реактора и их показания непрерывно поступают на мнемотабло, расположенное перед оператором, а также в систему предупредительной (и аварийной) сигнализации. Неустойчивость нейтронного поля имеет чётко определённую количественную характеристику τ01 – период вращения азимутальной гармоники. Так почему же не этот непосредственно наблюдаемый параметр служит сигналом для немедленного заглушения реактора, а какой-то ОЗР, от которого к тому же неустойчивость зависит неоднозначно. Она зависит от общего наличия любого поглотителя в активной зоне, а не только и не столько от погружения стержней регулирования. И почему же тогда кроме этого косвенного упоминания в преамбуле главы 9 в регламенте нет ни слова о неустойчивости нейтронного поля в РБМК-1000.
Создаётся впечатление, что авторы регламента что-то такое знают об ОЗР и об устойчивости нейтронного поля, чего они говорить не хотят.
Непосредственной причиной чернобыльской аварии были ошибки, допущенные в конструкции реактора и в исследовании его физических характеристик, а также неправильные действия эксплуатационного персонала, позволившие этим ошибкам проявиться в полной мере. Всё это стало возможным из-за отсутствия должного государственного и общественного контроля безопасности в атомной энергетике.
Не может разработчик ядерных реакторов при всём своём желании осуществлять этот контроль сам над собой. Его деятельность по созданию экономичных и совершенных, с точки зрения научного творчества и инженерной мысли, объектов атомной энергетики находится в жёстком противоречии с ограничениями, возникающими из требований по их безопасной эксплуатации. И, тем не менее, так было, формально существовавший надзорный орган Госатомнадзор, на самом деле был всего лишь одним из подразделений ведомства, ответственного за разработку реакторов. Даже тогда, когда Госатомнадзор в 1984 г. был преобразован в самостоятельный «Государственный комитет СССР по надзору за безопасным ведением работ в атомной энергетике» (Госатомэнергонадзор), он сохранил неформальную, но полную зависимость от ведомства разработчика, Минсредмаша.
Иначе и не могло быть в той командно-административной системе управления промышленностью (и наукой), которая была в СССР. Минсредмаш это могучее ведомство, обеспечивавшее ядерную оборонную мощь страны, где были сосредоточены все научно-инженерные кадры и материально-технические ресурсы для проведения исследований и разработок в области ядерной физики и техники. Там и только там могли приниматься решения о том, что и как надо делать в области атомной энергетики. «Межведомственный научно-технический совет» по атомной энергетике состоял при НТУ (научно-техническое управление) министерства и возглавлялся директором института, подведомственного Минсредмашу (академиком А.П. Александровым). Ситуация начала меняться только в 1990 г.
Сразу после аварии были разработаны организационные и технические мероприятия на действующих реакторах РБМК-1000, сначала по устранению опасности от имеющихся ошибок в конструкции и физике реактора, а затем по исправлению самих этих ошибок. Повышение обогащения топлива с 2% до 2,4%, уменьшило соотношение ядер замедлителя и топлива и существенно снизило положительный паровой коэффициент реактивности.
Создана быстродействующая аварийная защита (БАЗ), где стержни перемещаются в каналах СУЗ с плёночным охлаждением, и каналы не заполнены водой, эффективность БАЗ составляет 2β и быстродействие 2,5 с. Все стержни СУЗ были заменены стержнями новой конструкции, исключающими столбы воды в нижней части каналов и имеющими более длинную поглощающую часть. Скорость ввода стержней была повышена, и время полного погружения стержней в активную зону уменьшено с 18 до 12 секунд.
Ликвидированы и все другие отклонения аварийной защиты от требований правил ядерной безопасности. Заведёны в систему аварийной защиты укороченные стержни УСП, не имеющие вытеснителей и вводимые в активную зону снизу. Внедрена новая программа расчёта оперативного запаса реактивности с цифровой индикацией его текущей величины на пульте оператора. Существенно улучшено информационное обеспечение рабочего места операторов и по ряду других параметров текущего состояния энергоблока. Выведение аварийной защиты по каждому из параметров фиксируется на специальном световом табло без какой-либо возможности вмешательства в его работу. Разработана система мероприятий по предотвращению больших аварий связанных с нарушениями целостности контура циркуляции. Существенно увеличена пропускная способность системы аварийного сброса парогазовой смеси из реакторного пространства при одновременном разрушении нескольких каналов. Теперь система справляется с одновременным разрушением до 9-ти каналов, предотвращая подъём верхней защитной плиты и разрушение реактора.
Проведена значительная корректировка проектно-эксплуатационной документации. Полностью переработан регламент эксплуатации, в нём даны чёткие требования по минимальному и стационарному запасам реактивности. Предписаны алгоритмы действий оперативного персонала при работе на малом уровне мощности. Сформулированы требования по работе персонала с аварийными защитами и по контролю за системами безопасности.
Радикальные перемены в деятельности надзорных органов начались в 1989 г с объединения атомного и общепромышленного надзора и образования на базе Госгортехнадзора и Госатомэнергонадзора единого государственном органа Госпроматомнадзор, и эти реформы продолжаются до сих пор путём то разделения то объединения. На сегодня ядерная и радиационная безопасность регулируется федеральной службой «по экологическому, технологическому и атомному надзору» (Ростехнадзор), входящей в состав Министерства природных ресурсов и экологии РФ. В 1990 г. взамен старых правил ядерной безопасности ПБЯ-74-04 были введены новые ПБЯ РУ АС-89, где требования по обеспечению безопасности и порядок его обоснования сформулированы значительно более определённо, и вряд ли кому удастся снова это испортить.
Существенные изменения произошли в системе подготовки и обучения эксплуатационного персонала. Важнейшей составляющей этой системы стало обучение на тренажёрах. В настоящее время каждая АЭС с РБМК-1000 имеет свой учебно-тренировочный центр, в состав которого входит полномасштабный тренажёр (натуральный БЩУ, управляющий в реальном времени математической моделью энергоблока, реализованной на мощных быстродействующих компьютерах).
Сейчас можно твёрдо сказать, что авария типа чернобыльской на АЭС с РБМК-1000 больше невозможна. И на этой оптимистической ноте можно было бы закончить, но настораживает поведение разработчиков. Их ещё можно было бы понять сразу после аварии, когда остро стоял вопрос об уголовной ответственности за содеянное. Но то, что они говорят спустя четыре года [16], а ещё того пуще, спустя 20 лет [8] после аварии, и главное то, как они это говорят, наводит на грустные размышления. Не видно в их словах никакого чувства моральной ответственности ни за то, что создали взрывоопасный реактор, ни за то, что своевременно не приняли меры по устранению этих ошибок. Вместо этого явно прослушивается ещё доаварийный победный марш и всё то же чувство собственной избранности, с оттенком пренебрежительного отношения к широкой публике, которая ничего не понимает ни в физике реакторов, ни в атомной энергетике.
СПИСОК ЛИТЕРАТУРЫ:
1. Дмитриев В.М. Чернобыльская авария. Причины катастрофы. Журнал «Безопасность в техносфере», №1, 2010 г., стр. 38.
2. Медведев Г.У. Чернобыльская тетрадь (повесть 1987 г.) в книге «Ядерный загар». М.: Книжная палата, 1990.
3. Горбачёв Б.И. Чернобыльская авария. НиТ, 2002.
4. Дятлов А.С. Чернобыль. Как это было? М.: Научтехиздат, 2003 г.
5. Карпан Н.В. Чернобыль. Месть мирного атома. Днепропетровск: ИКК «Баланс-Клуб», 2006 г.
6. Чернобыльская авария: Дополнение к INSAG-1: INSAG-7: Доклад Международной консультативной группы по ядерной безопасности. МАГАТЭ, Вена, 1993.
7. О причинах и обстоятельствах аварии на 4 блоке чернобыльской АЭС 26 апреля 1986 г. Доклад Комиссии Госпроматомнадзора СССР. 1991 г.
8. Адамов Е.О., Черкашов Ю.М. и др. Канальный ядерный энергетический реактор РБМК. М.: ГУП НИКИЭТ, 2006 г.
9. Дмитриев В.М. Причины чернобыльской аварии известны. Фактические данные.
10. Доллежаль Н.А., Емельянов И.Я. Канальный ядерный энергетический реактор. М.: Атомиздат, 1980 г.
11. Анализ причин аварии на Чернобыльской АЭС путём математического моделирования физических процессов. Отчёт ВНИИАЭС, инв. №846, 1986 г.
12. Информация об аварии на Чернобыльской АЭС и её последствиях, подготовленная для МАГАТЭ. Атомная энергия, т. 61, вып. 5, 1986 г. стр. 301.
13. Итоговый доклад о совещании по рассмотрению причин и последствий аварии в Чернобыле, Серия изданий по безопасности, № 75-INSAG-1, МАГАТЭ, Вена (1986).
14. Правила ядерной безопасности атомных электростанций. ПБЯ-04-74. Атомиздат, 1974 г.
15. Как готовился взрыв Чернобыля. Воспоминания В.И. Борца.
16. Калугин А.К. Сегодняшнее понимание аварии. Журнал «Природа», №11, 1990 г.