Дополнения к Докладу №1 (INSAG-1): отчёт INSAG-7, октябрь 1993г. 5. ВЗГЛЯДЫ ИНСАГ 5.1. Конструкция 5.2. Действия персонала 5.3. Система мероприятий по обеспечению безопасности 5.4. Последствия игнорирования недостатков 5.5. Важность компетентного анализа безопасности 5.6. Недостатки режима регулирования 5.7. Общие замечания о недостаточном уровне культуры безопасности 5.8. Итоговая оценка В предыдущих разделах подробно изложена и проанализирована информация, полученная после совещания 1986 года по рассмотрению причин и последствий аварии в Чернобыле. Цель Раздела 5 заключается в том, чтобы дать замечания по поднятым вопросам с точки зрения необходимости какого-либо пересмотра INSAG-1 и важности новой информации в контексте аварии. Рассматриваются три взаимосвязанных аспекта: конструктивные особенности, действия персонала и общая структура контроля вопросов безопасности. Следует отметить, что новая информация надежно обоснована в той степени, насколько это возможно в настоящее время. Однако нельзя исключить изменения этой информации в будущем, равно как и изменения восприятия ее значимости. 5.1. КОНСТРУКЦИЯ Указывался ряд возможных событий, непосредственно инициировавших аварию, причем все они обусловлены конкретными конструктивными особенностями. Вместо того, чтобы вступать в дискуссию, заведомо имея твердое мнение, что вряд ли может пролить новый свет на данный вопрос, ИНСАГ предпочитает рассмотреть те проблемы конструкции, в связи с которыми возникают основные вопросы. В INSAG-1 повторяется высказанное советскими представителями мнение о том, что основной причиной аварии явился мощный переходной процесс, вызванный скачком реактивности и ставший возможным благодаря положительному мощностному коэффициенту. Общее замечание в INSAG-1 заключалось в том, что в момент, когда безопасность станции подвергается серьезной угрозе, должны включаться автоматические системы безопасности (стр. 81). Предотвращение аварии, связанной с быстрым мощностным коэффициентом, зависело от быстроты действий эксплуатационного персонала; это недопустимо противоречило вышеуказанному фундаментальному принципу проектирования. Особенностью конструкции станции, вызвавшей обширные комментарии и не отмеченной в первоначальной советской оценке, была неудовлетворительная система аварийного останова, которая предопределила положительный выбег реактивности. Как сейчас представляется, наиболее вероятным окончательным вызвавшим аварию событием явился ввод стержней СУЗ в критический момент испытаний, который усугубил до разрушительного уровня уже существующие ввиду положительного мощностного коэффициента условия. В этом случае авария явилась бы результатом применения сомнительных регламентов и процедур, которые привели к проявлению и сочетанию двух серьезных проектных дефектов конструкции стержней и положительной обратной связи по реактивности. Положительный выбег реактивности мог произойти только вследствие особого положения стержней СУЗ, а двугорбая кривая распределения энерговыделения указывает на тот факт, что произошел разрыв связи между верхней и нижней половинами активной зоны реактора. Все эти условия превалировали одновременно. По-видимому, никогда не удастся узнать наверняка, соответствует ли действительности эта версия возникновения аварии. И вряд ли фактически имеет значение то, явился ли положительный выбег реактивности при аварийном останове последним событием, вызвавшим разрушение реактора. Важно лишь то, что такой недостаток существовал и он мог явиться причиной аварии. Заслуживает порицания тот факт, что этот недостаток был известен столь давно и не был устранен. Безусловно, дан ная в INSAG-1 оценка, была бы иной, если бы на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле стало бы известно о таких особенностях стержней СУЗ. В проекте предусматривалось и в момент подготовки INSAG-1 было четко признано требование о поддержании такой конфигурации регулирующих стержней, которая обеспечивает, по крайней мере, минимально допустимый ОЗР. Если, как было заявлено впоследствии, в пультовой не было эффективных средств информирования операторов об этом параметре, то опять же особенности конструкции сослужили им дурную службу, и в этом случае необходимо изменение первоначального вывода, содержащегося в INSAG-1. В ходе недавних обсуждений ИНСАГ фактически подвергла сомнению концепцию ОЗР, поскольку его определение (см. Раздел 4.2) не дает полной гарантии того, что такая конфигурация регулирующих стержней полностью обеспечивает достаточную защиту реактора. С учетом нынешних знаний можно было бы еще в большей степени подчеркнуть общее впечатление, создавшееся в момент подготовки INSAG-1. Конструкция предъявляет к системе управления/останова реактора противоречивые требования. С точки зрения оператора, в обычном режиме эта система обеспечивает средства регулирования мощности реактора и коррекции распределения энерговыделения. Система также влияет на значение парового коэффициента, и необходимо произвести отключение реактора в аварийных условиях. Не понятно, почему в нормальных условиях все эти требования не могут быть удовлетворены. Однако действия операторов, которые подняли до верхних концевиков почти все стержни, противоречили одновременным требованиям сохранения возможности выключения реактора и поддержания соответствующих значений мощностного коэффициента (хотя последнее в то время недооценивалось операторами). Возможность противоречия между этими целями является нежелательной конструктивной особенностью, ввиду которой станция стала в чрезмерной степени зависеть от правильности действий оператора. В первом пункте уроков и рекомендаций INSAG-1 содержится общее замечание о том, что "конструкции АЭС должны быть в наиболее возможной степени невосприимчивы к ошибке оператора и к преднамеренному нарушению регламентов безопасности" (стр. 31). Что касается конкретных характеристик системы выключения реактора, то ИНСАГ в то время определила, что эта система не обладала достаточным быстродействием, и нет оснований изменять эту точку зрения, несмотря на новые мнения о возможных причинах аварии. Еще одно сформировавшееся тогда общее впечатление сейчас еще более укрепилось. Регламенты, в соответствии с которыми осуществлялось управление реактором, были недостаточно хорошо обоснованы с точки зрения анализа присущих ему свойств безопасности. Фактически это признается во втором пункте уроков и рекомендаций INSAG-1: "Регламенты, относящиеся к эксплуатации АЭС, должны готовиться тщательным образом с уделением постоянного внимания влиянию на безопасность тех или иных намерений" (стр. 31). 5.2. ДЕЙСТВИЯ ПЕРСОНАЛА 5.2.1. Нарушения регламентов В INSAG-1 особое развитие получила представленная советскими экспертами точка зрения в отношении действий персонала, и здесь целесообразно воспользоваться информацией, ставшей известной в последнее время. В 1986 году в качестве основных причин аварии были указаны конкретные нарушения регламентов. В частности: —Заявлялось, что длительная эксплуатация реактора на уровнях мощности ниже 700 МВт(тепл.) запрещена. Это заявление основывалось на неправильной информации. Такое запрещение должно было существовать, однако в тот момент его не было. —Восемь главных циркуляционных насосов работали на полной мощности и, по-видимому, расход нескольких из них превышал предписанные значения. ИНСАГ высказала мнение, что такой режим эксплуатации был неправильным. Комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.7) в докладе сообщает, что одновременная эксплуатация всех восьми насосов никаким документом, включая рабочую программу испытаний, не запрещалась, хотя превышения расходов, когда они возникали, являлись нарушением технологического регламента. Этот вопрос связан с вопросом о недогреве, изложенном в Разделе 5.2.3. —В INSAG-1 указывалось, что эксплуатация при слишком низком ОЗР являлась нарушением требований. И сейчас ИНСАГ повторяет, что нарушение имело место, но оно оказалось важным по причинам, отличным от тех, которые были .приняты ранее. Это привело к повышенным значениям парового коэффициента, а также к такому положению стержней СУЗ, в котором они не только потеряли эффективность, но и стали оказывать разрушительное воздействие. —В INSAG-1 указывалось, что во время испытаний в Чернобыльской АЭС были отключены три компонента защиты реактора. Вопреки тому, что было указано в INSAG-1, имеющаяся в настоящее время информация позволяет предположить следующее: •Отключение САОР на Чернобыльской АЭС, в принципе, не было запрещено регламентом нормальной эксплуатации. ИНСАГ понимает, что это было требованием графика испытаний, и в соответствии с правилами от Главного инженера было получено специальное разрешение на такое отключение. В любом случае не было необходимости отключать САОР на столь продолжительный период времени. ИНСАГ считает, что отключение не повлияло на возникновение аварии, но явилось свидетельством низкого уровня культуры безопасности. •Блокировка сигнала аварийного останова реактора по уровню воды и давлению пара в барабанах-сепараторах могла бы быть допустимой, однако этого не произошло; ИНСАГ считает, что это не повлияло бы на возникновение аварии, и к тому же в любом случае существовала другая система защиты. •Блокировка сигнала аварийной зашиты по останову "двух турбогенераторов" была разрешена≫ и в действительности требовалась регламентами по нормальной эксплуатации на низких уровнях мощности, таких, как уровень мощности при рассматриваемых испытаниях. При любом случае блокировка этого сигнала, безусловно, могла вызвать разрушение реактора скорее во время аварийного останова турбогенератора, а не вскоре после него. ИНСАГ хотела бы сделать дополнительное замечание о том, что, хотя все это может быть и так, следует отметить довольно легкомысленное отношение к блокировке защиты реактора как технологического регламента по эксплуатации, так и операторов; об этом свидетельствует продолжительность времени, в течение которого была отключена САОР, при работе реактора на половинной мощности. 5.2.2. Отступления от рабочей программы испытаний Не оспаривается тот факт, что испытания были начаты на уровне мощности (200 МВт(тепл.)), который заведомо ниже предписанного в рабочей программе испытаний. Некоторые из недавних замечаний, адресованных ИНСАГ, сводятся к аргументу, что это было допустимо, поскольку ничто в регламенте по нормальной эксплуатации не запрещало этого. Однако факты таковы, что: —рабочая программа испытаний была изменена только для этого случая; —причиной этого явилась неспособность операторов восстановить уровень мощности, на котором должны были проводиться испытания; —это произошло из-за установившегося состояния реактора ввиду его предшествующей работы на половинной мощности и последующего провала мощности до весьма низких уровней; —в результате, когда начались испытания, расположение регулирующих стержней, распределение энерговыделения в активной зоне и теплогидравлические условия были такими, что реактор оказался в весьма неустойчивом нерегламентном состоянии. Когда мощность реактора не удалось восстановить до требуемого уровня 700 МВт(тепл.), эксплуатационный персонал не остановился и не обдумал создавшееся положение, а сразу же изменил условия испытаний таким образом, чтобы они соответствовали их мнению относительно существовавших в тот момент условий. При проведении испытаний на атомной электростанции весьма важной является хорошо запланированная рабочая программа таких испытаний. Эта программа должна строго выполняться. Если в процессе испытаний оказалось, что исходная программа неудовлетворительна или не может осуществляться как запланировано, то испытания должны быть прекращены, и следует осуществить оценку любых предусматриваемых изменений на основе тщательно запланированного заранее процесса. 5.2.3. Другие недостатки культуры безопасности Предшествующее обсуждение во многих случаях указывает на недостаточный уровень культуры безопасности. Критика недостаточной культуры безопасности была одной из главных тем INSAG-1, и нынешнее рассмотрение не уменьшает остроты этой проблемы. Стоит подчеркнуть два уже упомянутых примера, поскольку они имеют отношение к особым способностям, требуемым при эксплуатации реактора. Реактор эксплуатировался в режиме кипения теплоносителя в активной зоне и в то же время с незначительным или нулевым недогревом на всасе насосов и на входе в активную зону. Такой режим работы сам по себе мог привести к разрушительной аварии, подобной той, которая в конце концов и произошла, учитывая характеристики положительной обратной связи по реактивности реактора РБМК. То, что не признавалась необходимость избегать такой ситуации, указывает на недостатки, выразившиеся в эксплуатации атомной электростанции без тщательного и скрупулезного анализа безопасности, в условиях, когда персонал не был ознакомлен с результатами такого анализа безопасности и не проникся духом культуры безопасности. Это последнее замечание особенно уместно в отношении второго момента, который касается эксплуатации реактора в условиях, когда очти все стержни СУЗ выведены в положения, в которых они оказываются неэффективными с точки зрения быстрого снижения реактивности, если неожиданно потребуется заглушить реактор. Сознание необходимости избегать такой ситуации должно быть второй натурой всех ответственных лиц из числа эксплуатационного персонала и всех проектировщиков, ответственных за разработку инструкций по эксплуатации станции. 5.3. СИСТЕМА МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ Основное внимание в INSAG-1 было уделено непосредственным вопросам чернобыльской аварии, и в нем содержится мало ссылок на структуру регулирования и общую систему мероприятий по обеспечению безопасности, в рамках которой эксплуатировалась станция. С тех пор прояснился рад вопросов и были вынесены суждения, на основе которых сейчас можно представить более широкие оценки. Комиссия Госпроматомнадзора (Приложение I, Раздел 1-3) сравнивала проект 4 блока АЭС с действовавшими в момент проектирования требованиями безопасности, заявляя, что 9 проекте имеются существенные отступления от установленных норм. ENSAG отмечает, что некоторые вопросы, поднятые в докладе комиссии Госпроматомнадзора, отражают ее собственную озабоченность. Этот вопрос дополнительно обсуждается в следующих ниже разделах. 5.4. ПОСЛЕДСТВИЯ ИГНОРИРОВАНИЯ НЕДОСТАТКОВ В Приложениях I и П указывается, что важные проблемы проекта Чернобыльской АЭС, признанные в настоящее время, фактически признавались еще до аварии. ИНСАГ отмечает наблюдения, сделанные на Игналинской АЭС в 1983 году, когда возможность ввода положительной реактивности при останове реактора стала очевидной, и событие на Ленинградской АЭС в 1975 году, которое в ретроспективе показало, что события, вызываемые локальной обратной связью по реактивности, могут вызвать повреждение реактора. Эти два события указывали на существование недостатков в проекте. Хотя эти события имели сходство с событиями, потенциально приводящими к аварии, их тщательного анализа явно не проводилось. Вызывает большую озабоченность то, что эта важная информация не рассматривалась надлежащим образом, а в случаях, когда она распространялась среди проектировщиков, операторов и лиц, ответственных за регулирование, ее значимость не была полностью осознана и эта информация по существу игнорировалась. 5.5. ВАЖНОСТЬ КОМПЕТЕНТНОГО АНАЛИЗА БЕЗОПАСНОСТИ Независимое техническое рассмотрение и анализ безопасности являются краеугольным камнем удовлетворительного режима безопасности, и в этой связи ИНСАГ полагает, что проектированию и эксплуатации 4 блока Чернобыльской АЭС, а также других реакторов РБМК должно было уделяться значительно больше внимания. В ходе такого рассмотрения недостатки проекта, безусловно, обнаружились бы. Явившееся результатом такого рассмотрения углубленное понимание процессов в сочетании с режимом, требующим независимого и официального утверждения изменений, связанных с безопасностью аспектов проекта и технологических регламентов по эксплуатации, в значительной мере способствовало бы предотвращению аварии в целом. Даже помимо очевидной присущей ему изначальной ценности, компетентный анализ безопасности помогает создать обстановку внимательного отношения к безопасности как к первостепенной задаче. Этот принцип предопределяет важность эффективной передачи операторам знаний, полученных в результате выполнения анализа безопасности. 5.6. НЕДОСТАТКИ РЕЖИМА РЕГУЛИРОВАНИЯ 5.6.1. Общие недостатки Обеспечение безопасности вопреки неизбежному давлению в связи с необходимостью выполнять производственные задания требует приверженности эксплуатирующей организации цепям безопасности и прочного и независимого режима регулирования, который надлежащим образом финансируется, имеет поддержку на правительственном уровне и обладает всеми необходимыми полномочиями по контролю за соблюдением требований. В момент аварии такого рода режима в СССР не существовало. ИНСАГ было сообщено, что регулирующий режим был неэффективен во многих важных областях, таких, как анализ безопасности при проектировании и эксплуатации станций, в отношении требований к подготовке кадров и внедрения культуры безопасности и оказания ей содействия, а также контроля за соблюдением правил. Он не функционировал в качестве независимого компонента в деле обеспечения безопасности. 5.6.2. Доклад комиссии Госпроматомнадзора В докладе комиссии Госпроматомнадзора (Приложение I) содержится обширная информация, в которой подчеркивается отсутствие эффективного режима ядерного регулирования на протяжении многих лет до аварии. Технический проект реакторной установки РБМК был утвержден, несмотря на несоответствие многим требованиям, предъявляемым к проектированию атомных электростанций в СССР. 5.7. ОБЩИЕ ЗАМЕЧАНИЯ О НЕДОСТАТОЧНОМ УРОВНЕ КУЛЬТУРЫ БЕЗОПАСНОСТИ В своем докладе о чернобыльской аварии ИНСАГ ввела новый термин "культура безопасности", описывающий режим безопасности, который должен существовать на атомной станции. В последующем докладе, INSAG-4, озаглавленном "Культура безопасности"3, в котором это понятие развивалось, ИНСАГ проследила развитие культуры безопасности от ее изначального закрепления в национальном правовом режиме, связанном с ядерной безопасностью. Это устанавливает надлежащую цепочку ответственности и полномочий для требуемого уровня безопасности. Культура безопасности как в отношении режима эксплуатации, так и регулирования должна прививаться в организациях путем надлежащего отношения к делу и практики руководства. В предыдущем обсуждении неоднократно указывалось, что режим эксплуатации на Чернобыльской АЭС отличался недостаточным уровнем культуры безопасности. В соответствии со взглядами, изложенными в INSAG-4, ИНСАГ в настоящее время подтверждает мнение о том, что в СССР до чернобыльской аварии на АЭС не было надлежащей культуры безопасности. Многие из требований культуры безопасности, по-видимому, существовали в правилах, но не внедрялись на практике. Многих других необходимых характеристик не существовало вообще. В местную практику на атомных станциях, а практика на Чернобыльской АЭС, как можно полагать, не отличалась от других, не входили элементы культуры безопасности. 5.8. ИТОГОВАЯ ОЦЕНКА Рассматривая информацию, ставшую известной после Совещания по рассмотрению причин и последствий аварии в Чернобыле, ИНСАГ приходит к выводу, что факторы, приведшие к аварии, следует искать в особенностях средств безопасности конструкции (проекта), действиях персонала, общей системе мероприятий по обеспечению безопасности и структуре регулирования. В связи с нынешним восприятием событий существует необходимость сместить акцент таким образом, чтобы он в большей степени касался недостатков средств безопасности конструкции, о которых говорилось в INSAG-1, а также признать проблемы, обусловленные структурой, в рамках которой осуществлялась эксплуатация станции. Однако ИНСАГ по-прежнему придерживается мнения о том, что во многих отношениях действия персонала были неудовлетворительными. ГЛАВНАЯ Введение 1. Описание Чернобыльской АЭС с реакторами РБМК-1000 2. Хронология развития аварии 3. Анализ процесса развития аварии на математической модели 4. Причины аварии 5. Предотвращение развития аварии и уменьшение её последствий 6. Контроль за радиоактивным загрязнением окружающей среды и здоровьем населения 7. Рекомендации по повышению безопасности ядерной энергетики Дополнения к Докладу №1 INSAG-7 (1993г.) Второй Доклад в МАГАТЭ (2005г.) |