Низька культура безпеки всієї системи – причина аварії на Чорнобильській АЕС

26 квітня вся атомна спільнота вшановує пам’ять героїв, які ціною власного життя змогли захистити нас від наслідків найбільшої техногенної катастрофи – аварії на четвертому енергоблоці Чорнобильської АЕС. Сьогодні в 33 роковини трагедії важливо розуміти, які висновки були зроблені та як аварія вплинула на подальший розвиток світової атомної енергетики.

Причинам та висновкам Чорнобильської трагедії присвячена стаття Разу Камілова, члена Українського ядерного товариства, провідного інструктора навчально-тренувального центру ВП «Атомремонтсервіс».

Низька культура безпеки всієї системи – причина аварії на Чорнобильській АЕС

Сумна іронія долі полягає в тому, що поняття Культура безпеки своєю появою в якості одного з фундаментальних принципів безпеки в атомній галузі, зобов’язане аварії на Чорнобильській АЕС у 1986 р.

У підсумковій доповіді про розслідування експертів МАГАТЕ це відображено так: «Комісія відзначає, що, аналізуючи корінні причини чорнобильської аварії, INSAG (Міжнародна консультативна група з ядерної безпеки – International Nuclear Safety Advisory Group) приходить до висновку про необхідність формування та підтримки «культури безпеки» як найважливішої умови безпеки АЕС». Надалі МАГАТЕ закріпило це поняття в своїх офіційних документах.

Аналізуючи причини аварії на ЧАЕС, я буду спиратися на офіційний звіт експертів МАГАТЕ INSAG-7, тому що існує багато інших версій причин аварії, включаючи екзотичні (типу теорії змов або втручання іншопланетян). Вимоги з культури безпеки застосовані відповідно до документа INSAG-4.

«Підсумкова доповідь післяаварійної оглядової конференції по Чорнобильському реактору» Міжнародна консультативна група з ядерної безпеки INSAG-1 опублікувала в 1986 році. У доповіді акцент був зроблений на вину персоналу, як основну причину аварії. Такий підхід збігався з висновками радянської комісії з розслідування.

В СРСР кілька людей з експлуатаційного персоналу були засуджені на різні терміни позбавлення волі.

У 1993 році була випущена доповнена доповідь INSAG-7, в якій проглядається спроба експертів МАГАТЕ виправдатися за свою згоду з версією причин аварії, запропонованої в 1986 році в звіті радянських фахівців. У новій доповіді в якості основної причини аварії названі конструктивні недоліки реактора.

Для зручності сприйняття, я буду викладати матеріали в такій послідовності:

– короткий зміст висновків експертів МАГАТЕ про причини аварії;
– пояснення змісту висновків, що мається на увазі;
– в чому полягає прояв низької культури безпеки.

Технічні деталі викладаються максимально спрощено, на доступному неспеціалістам мовою.

Висновок експертів про причини аварії

«Недоліки конструкції реактора ЧАЕС, визначили важкі наслідки чорнобильської аварії. Причиною катастрофи є вибір розробниками реактора концепції, в якій, не були достатньо враховані питання безпеки, в результаті чого отримані фізичні і теплогідравлічні характеристики активної зони реактора, що суперечать принципам створення динамічно стійких безпечних систем. Незадовільні з точки зору безпеки фізичні і теплогідравлічні характеристики активної зони реактора були посилені помилками, допущеними при конструюванні СУЗ. Реактор РВПК-1000 з його проектними характеристиками і конструктивними особливостями станом на 26 квітня 1986 р. володів настільки серйозними розбіжностями з вимогами норм і правил з безпеки, що експлуатація його стала можливою лише в умовах недостатнього рівня культури безпеки в країні» (INSAG-7)

Що мається на увазі

На момент експлуатації, реактори типу РВПК (що експлуатувалися на ЧАЕС) вже не відповідали вимогам нормативних документів з безпеки, що діяли в той час. Наприклад, одна з найважливіших властивостей, якою повинен володіти реактор згідно ОПБ (Загальні положення забезпечення безпеки атомних станцій) це властивість внутрішньої самозахищеності (саморегулювання). Це означає, що реакторна установка повинна забезпечувати безпеку на основі природних зворотних зв’язків, процесів і характеристик всередині реактора. Для кращого розуміння подальших пояснень і прикладів, наведу деякі технічні подробиці. Розщеплювати уран-235 можуть тільки повільні (або теплові) нейтрони. Тому, майже всі сучасні реактори працюють на повільних нейтронах. Нейтрони діляться на повільні і швидкі в залежності від їх кінетичної енергії. Спочатку нейтрони бувають швидкими. Для їх уповільнення застосовують так звані сповільнювачі. В основному це вода або графіт. В реакторах ВВЕР, які в даний час експлуатуються в Україні, як сповільнювач використовується вода. В реакторах РВПК (чорнобильського типу) сповільнювачем є графіт.

В реакторах ВВЕР саморегулювання на основі природних зворотних зв’язків здійснюється наступним чином:

Збільшується потужність реактора – збільшується температура води – зменшується щільність води – зменшується її сповільнююча здатність – зменшується кількість повільних нейтронів – зменшується кількість ядер, що розщеплюється – знижується потужність реактора.

При зниженні потужності процес повторюється в зворотному порядку. Таким чином, реактор знаходиться в стабільному стані, коливаючись в невеликому діапазоні потужностей.

Розглянемо той же ланцюг подій для реактора РБМК.

Збільшується потужність реактора – збільшується температура графіту – але уповільнює здатність графіту при цьому не змінюється – кількість повільних нейтронів продовжує зростати – кількість ядер, що розщеплюються, продовжує зростати – реактор розганяється (так званий позитивний паровий ефект).

Поки не втрутиться оператор або система автоматичного регулювання, реактор буде розганятися. Саме про такі характеристики реактора і йдеться у висновках експертів.

Нестабільності РВПК також сприяють великі розміри активної зони. Понад 11 метрів в діаметрі і 7 метрів висоти. Порівняйте з розмірами ВВЕР приблизно 4 на 4 метри. Великий реакторний простір призводить до нерівномірного розподілу нейтронних потоків. Саме перекіс розподілу нейтронного потоку став однією з основних причин, що сприяли виникненню аварії 1986 року. Далі, при детальному описі безпосередньої причини аварії я поясню вплив даного факту.

Що мається на увазі під помилками, допущеними при конструюванні СУЗ? Вважається, що саме конструкційний недолік стрижня СУЗ став, свого роду спусковим гачком, що привів до вибуху.

Стрижень системи управління і захисту (СУЗ) конструктивно складається з двох збірок, прикріплених на одній штанзі (див. малюнок). Верхня – боровмісна частина (бор дуже хороший поглинач нейтронів). Нижня, більш коротка частина складається з графіту. Графіт слабший поглинач нейтронів, ніж вода.

При русі стрижня СУЗ в зону, на тій ділянці реактора, де нижня графітова частина стрижня витісняє воду, реактивність (кількість повільних нейтронів) замість зменшення, навпаки збільшується (спрацьовує так званий кінцевий ефект).

До моменту аварії, був дуже сильний перекіс розподілу нейтронного потоку по висоті. Потік був зміщений в нижню частину реактора. На малюнку це показано червоною кривою.

Чому ж склалася така ситуація? В процесі експерименту реактор не змогли утримати на потужності. Для того щоб закінчити експеримент, керівник робіт (заступник головного інженера) змусив операторів вивести реактор на потужність. Але, даний тип реактора має особливість «отруюватися» відразу після зупинки. Тобто на певний час в реакторі накопичуються ізотопи ксенону, які дуже добре «поглинають» нейтрони. І для пуску реактора не вистачає реактивності (спрощено можна сказати не вистачає нейтронів). Тому доводиться робити витримку приблизно одну добу, поки ксенон розпадеться. Вихід на потужність без витримки, як в даному випадку, призводить до необхідності витягти із зони майже всі стрижні управління, і реактор перебуває у вкрай нестабільному і нерівномірному стані. До речі, виведення реактора на потужність без витримки і була єдиною помилкою персоналу, яка сприяла аварії.

Таким чином, всі складові, необхідні для аварії на той час вже були:

– позитивний паровий коефіцієнт реактивності (конструкційний недолік);
– кінцевий ефект стрижнів СУЗ (конструкційний недолік);
– нестабільний реактор, що працює на малій потужності, в якому майже всі стрижні СУЗ витягнуті із зони (ситуація створена діями персоналу).

Залишалося натиснути на спусковий гачок, яким в даному випадку виявилася кнопка аварійної зупинки реактора АЗ-5. Після її натискання всі стрижні синхронно пішли в активну зону. І в нижню частину реактора, куди дійшли графітові стрижні-витискувачі, була внесена велика позитивна реактивність (кінцевий ефект). Пояснення з цього приводу дано на малюнку вище. Ефект вийшов таким як, якби при натисканні на гальмо, автомобіль почав розганятися.

Зростання потужності реактора привело до збільшення паровмісту води і внесення додаткової позитивної, такою що збільшується зі збільшенням пароутворення, реактивності (паровий ефект). У лічені секунди потужність зросла в багато разів. Відбувся розрив технологічних каналів, викид пароводяної суміші в реакторний простір і її повне випарювання (це був перший вибух, паровий). Далі відбувається розгін реактора на швидких нейтронах і його повне руйнування. Це вже другий (можна сказати ядерний) вибух. Правда, на відміну від вибуху бомби, ланцюгова реакція тут же загасає, тому що немає умов для подальшої ланцюгової реакції, що самопідтримується.

В даному описі причин аварії пропущено безліч технічних, фізичних та теплогідравлічних нюансів, тому що стаття розрахована в основному на неспеціалістів. Але уявлення про основні причини аварії вона дає.

У чому невідповідність вимогам культури безпеки

Головний постулат культури безпеки – безпека понад усе! Над виробництвом, економікою, політикою. З огляду на цей постулат, дуже цікаво розглянути історію появи реактора РВПК. На початку, наведу спогади одного з авторів реактора РВПК академіка Александрова, які можна знайти на просторах інтернету.

«Знаєш, чому ми стали робити АЕС на РВПК – через Аркадія Райкіна. Вже не пригадую точно рік, коли нас з Фімою (Юхим Павлович Славський, що був тоді міністром середнього машинобудування СРСР) покликав до себе Микита Сергійович Хрущов. Питання у нього було одне: чому американці і англійці будують атомні електростанції, А МИ НІ. Чому СРСР створив в Обнінську таку станцію першим, а тепер відстає. Наздогнати і перегнати – ось ваше завдання!!!

Ми йому довго пояснювали, що в країні вже діють реактори спроектовані для вироблення збройового плутонію і застосовувати уран-графітові реактори канального типу для виробництва електроенергії небезпечно.

Було видно, що Микита не розуміє те, про що ми йому говоримо. І як часто бувало саме в таких випадках, він сильно розлютився, перейшов на українську мову і сказав: «Йдіть бiсовi дiти i зробiть за рiк станцiю. А якщо не буде, так партквитки зараз відберу». Ми розуміли, що це не жарт і поїхали обговорити план наших дій.

За обідом розмовляли про Хрущова і впівока дивилися телевізор. Йшла трансляція виступу відомого сатирика Аркадія Райкіна. Несподівано Фіма закричав: дивись, Хрущов. Але це був Райкін, який тим часом віщав: «Ось балерина крутиться. Крутиться, крутиться, аж в очах рябить. Причепити її до динамо – нехай струм дає в недорозвинені райони». Ця гумореска точно підходила і до ситуації і до хрущовського розуміння проблеми.

Виматюкавшись, ми покликали академіка М.А. Доллежаля і за два тижні підготували пропозиції по Томську-7 (Сибірська АЕС)».

Можливо, автор щось і згустив в своїх спогадах. Але, по суті, ці спогади точно характеризують ситуацію, в якій створювалися реактори типу РВПК.

У сімдесяті роки в США почалося бурхливе будівництво атомних енергоблоків. У Радянському Союзі цей процес йшов повільно. Причина була в технологічній складності виготовлення корпусу реактора. Його виготовлення займало 2-3 роки. Корпус реактора міг виготовляти тільки Іжорський завод в Ленінграді.

Партія поставила науці завдання вирішити цю проблему. І вихід був знайдений саме такий, як описано вище, пристосувати військовий реактор для вироблення електричної енергії.

Економічні та політичні інтереси переважили інтереси безпеки. Як ви розумієте, культурою безпеки в даному випадку і не пахне.

«У будь-якій важливій діяльності дії людей обумовлені вимогами, встановленими на високому рівні. Найвищим рівнем, що впливає на безпеку атомних станцій, є законодавчий рівень, що забезпечує національну основу для Культури безпеки». (INSAG-4).

Існуюча на момент аварії система правових, економічних і суспільно-політичних взаємин в галузі атомної енергії законодавчо не була врегульована. Був відсутній закон про використання атомної енергії. Повну відповідальність за безпеку експлуатованих станцій практично ніхто не ніс.

«Будь-яка організація, що здійснює діяльність, яка впливає на безпеку атомних станцій, чітко визначає свою відповідальність в заяві про політику в області безпеки». (INSAG-4).

Сенс заяви про політику в області безпеки полягає в тому, щоб привселюдно заявити про пріоритет безпеки перед іншими завданнями. Заява також дає зрозуміти персоналу, що якщо вони будуть слідувати в своїй роботі пріоритету безпеки і відмовляться виконувати небезпечні завдання, їм за це нічого не буде.

Якби в 1986 році існувала практика таких заяв, можливо боязкі спроби операторів БЩУ (СІУР Топтунов і НСБ Акімов, обидва загинули в перші дні аварії) протистояти тиску заступника головного інженера були б успішними, і аварії не сталося б. За посиланням https://youtu.be/FogTJMUhL8o можна подивитися фрагмент з фільму-реконструкції Discovery, в якому операторів примушують виконати небезпечну операцію (виведення на потужність недавно заглушеного реактора). Але заява про політику в області безпеки не могла з’явитися, в умовах відсутності законодавчого регулювання використання атомної енергії.

«Регулюючий орган має вагомий вплив на безпеку в межах своєї компетентності, і ефективна Культура безпеки поширюється на його власну організацію і персонал». (INSAG-4).

Державний наглядовий орган з питань безпеки АЕС був утворений всього за 3 роки до чорнобильської аварії, і всупереч концепції «культури безпеки» його не можна було вважати незалежним, оскільки він входив в ті ж державні структури, на які була покладена відповідальність за спорудження АЕС і виробництво на них електроенергії. Якщо, наприклад, приписи наглядового органу будуть заважати виконанню плану, можна було використовувати важелі адміністративного тиску.

«Як елемент політики всі організації вживають заходів для регулярного огляду тієї їх діяльності, яка вносить вклад в безпеку АЕС.

Так само як, наприклад … використання експлуатаційного досвіду та контроль змін проекту, модернізації станції і процедури її експлуатації». (INSAG-4)

Як приклад кричущої невідповідності вищевказаної вимоги культури безпеки можна навести такий факт:

Головному конструктору і науковому керівнику було відомо про «кінцевий ефект» ще до аварії. Експериментально він був виявлений під час фізичних пусків 1 блоку Ігналінської АЕС і 4 блоку Чорнобильської АЕС. Організація наукового керівника навіть звернула увагу на надзвичайну небезпеку виявленого ефекту.

Головний конструктор визнав наявність позитивного вибігу реактивності і запропонував ряд заходів. Однак технічні заходи самим же головним конструктором реалізовані не були.

Ще більш кричущим, є інший факт. На першому блоці Ленінградської АЕС в 1975 р. була аварійна ситуація, яка фактично була прототипом аварійної ситуації на четвертому блоці Чорнобильської АЕС в 1986 р. Тоді, як і на ЧАЕС, потужність реактора (через помилки оператора) провалилася до нуля. Але начальник зміни станції, боячись отримати «наганяй» від керівництва прийняв рішення відразу виводити реактор на потужність, а не чекати «розотруєння» реактора. В результаті один канал був зруйнований повністю, близько 30 каналів пошкодилися. Безпосередньо після аварії радіаційний фон в місті Сосновий Бор (5 км від аварійного енергоблоку) становив від 600 мкР/год і вище. Жителі Соснового Бору (місто атомників) отримали досить серйозні опромінення. Більшість з них можливо до теперішнього часу навіть не знають про це. Дані про аварійні ситуації ховалися як від громадськості, так і від оперативного персоналу АЕС під покровом секретності, що настільки широко застосовувався в СРСР.

Директор ЧАЕС Віктор Брюханов, якого оголосили головним винуватцем Чорнобильської катастрофи, відсидівши десять років у таборах і вийшовши на свободу, дав інтерв’ю, в якому сказав: «Якщо заглиблюватися, то мікроаварії були і раніше… Але це ховалося навіть від нас. Про Ленінград я, наприклад, знав з чуток, від колег. Що можна в цій ситуації було зрозуміти?»

Якби результати аварійної ситуації на Ленінградській АЕС були своєчасно доведені до відома оперативного персоналу інших діючих АЕС, то Чорнобильської катастрофи не сталося б.

Висновок експертів про причини аварії

«Практика перекладу на людину-оператора функції аварійного захисту в сукупності з проектними недоліками і не гарантованою надійністю людини-оператора привела до катастрофи. Пріоритет економічних факторів на практиці був визначальним принципом діяльності атомної енергетики». (INSAG-7)

Що мається на увазі

Сучасний підхід до проектування небезпечних технологічних систем, включаючи АЕС, полягає в тому, щоб виходити з припущення – людина обов’язково помилиться. Чорнобильський реактор був спроектований так, що міг вибухнути, якщо персонал допустить помилки. І він вибухнув.

Питання виникнення помилок, необхідних для катастрофи, виявилось справою часу. Використовуючи завідомо небезпечний реактор, на персонал була покладена функція системи безпеки. А коли трапилася аварія, з них зробили цапів-відбувайлів.

Порівняйте інший підхід. Після важкої аварії на АЕС Три Майл Айленд (США) розробники найменше намагалися звинуватити оперативний персонал, тому що «… інженери можуть аналізувати першу хвилину інциденту кілька годин або навіть тижнів для того, щоб зрозуміти, що трапилося або спрогнозувати розвиток процесу при зміні параметрів», тоді як оператор повинен «описати сотні думок, рішень і дій, що вживаються протягом перехідного процесу». Американський оператор, який прийняв в ніч аварії помилкові рішення, ніяким чином за це не переслідувався. Ті, хто проводили розслідування, дотримувалися принципу – оператор ніколи не повинен виявитися в ситуації, яку інженери попередньо не проаналізовали.

Висновок експертів

«Існуюча до аварії система правових, економічних і суспільно-політичних взаємин в галузі атомної енергії законодавчо не була врегульована. Наприклад, відсутність закону про використання атомної енергії. Повну відповідальність за безпеку експлуатованих АЕС практично ніхто не ніс ». (INSAG-7)

Що мається на увазі

Виходило, що небезпечні об’єкти є, а тих, хто відповідають за них, немає. Кожна організація, що бере участь в процесі створення і експлуатації АЕС відповідала тільки за свою частину роботи. Зараз підхід, що практикується у відповідності до вимог культури безпеки, вимагає наявність законодавчого регулювання використання ядерної енергії, з визначенням суб’єкта, який несе повну відповідальність за безпечну експлуатацію АЕС. Таким суб’єктом на практиці зазвичай є експлуатуюча організація (в разі України це НАЕК «Енергоатом») і директорів АЕС як її представників на майданчиках.

Оцінка подій чорнобильської аварії показала, що недостатність культури безпеки характерна не тільки для стадії експлуатації, але, не в меншій мірі і для учасників інших стадій створення і експлуатації АЕС (конструктори, проектанти, будівельники, виробники обладнання, міністерські керівники, контролюючі структури і т. д.).

Можна сказати, що аварія стала наслідком низької культури безпеки не тільки на Чорнобильській АЕС, але і в усій державній системі, що існувала на той час.