Чернобыль. II. Авария
Первая часть: Чернобыль. I. Предыстория.
В этой части будут рассмотрены события, непосредственно предшествовавшие аварии 26 апреля 1986 года.
Для рассмотрения и анализа необходимо прежде всего ознакомиться с аппаратурно зафиксированными данными. Мы будем пользоваться следующими исходными данными, имеющимися в открытом доступе:
Некоторых из регистрируемых данных в свободном доступе нет, что затрудняет анализ некоторых тонких моментов. Пока недоступны следующие фактические материалы:
Здесь уместно будет сказать несколько слов о документах, регулирующих действия персонала. Документом высшего уровня является Технологический регламент. Пункт 1 Введения ТР постановляет:
Технологический регламент эксплуатации АЭС с реакторами РБМК-1000 определяет правила, основные пределы и условия безопасной эксплуатации АЭС, а также общий порядок выполнения наиболее ответственных операций на станции, связанных с её безопасностью. Требования при эксплуатации отдельных видов оборудования, входящих в комплекс станции, не оговорённые в настоящем «Регламенте», определяются соответствующими положениями инструкций по эксплуатации cистем и оборудования станции.
Как мы видим, в ТР явно оговорено существование нижестоящих инструкций, устанавливающих требования по эксплуатации отдельного оборудования. Нас в определённый момент будут интересовать инструкции, связанные с аварийными защитами реактора. Здесь ситуация следующая: глава 3 ТР определяет перечень аварийных защит реактора (они в ней перечисляются) и имеет следующее примечание:
Примечание: состояние защит оборудования блока определяется настоящим Регламентом, инструкциями по эксплуатации оборудования блока, «Инструкцией по эксплуатации и проверке технологических защит и блокировок» и «Регламентом переключения ключей и накладок».
Технологический регламент также устанавливает нормальные параметры эксплуатации блока, которые должны контролироваться персоналом:
Приведённые ниже основные параметры должны контролироваться на всех уровнях мощности с момента включения оборудования в работу; при нормальной эксплуатации блока они должны поддерживаться в указанных пределах; в случае отклонения параметров от этих норм действовать согласно Регламенту, «Инструкции по ликвидации аварий» и инструкциям по эксплуатации оборудования блока.
Приведём также некоторые важные для дальнейшего параметры, перечисленные в ТР как обязательные для контроля:
На номинальной мощности в стационарном режиме величина оперативного запаса реактивности должна составлять не менее 26-30 стержней.
Работа реактора при запасе менее 26 стержней допускается с разрешения главного инженера станции.
При снижении оперативного запаса реактивности до 15 стержней реактор должен быть немедленно заглушён.
Научное руководство станции должно периодически (1 раз в год) рассматривать конкретные условия устойчивого поддержания полей энерговыделения на данном блоке и при необходимости пересматривать их в сторону ужесточения по согласованию с Научным руководителем и Главным конструктором.
Приняв во внимание эти сведения, приступим к описанию произошедших событий. Напомню, что 25 апреля 1986 года четвёртый энергоблок Чернобыльской АЭС должен был остановиться на очередной планово-предупредительный ремонт, и перед остановом были запланированы испытания режима выбега турбогенератора.
25 апреля в 00.00 на дежурство заступила смена НСБ А.Ф. Акимова, начавшая разгрузку энергоблока.
01.05. Приступили к разгрузке энергоблока. Мощности блока: 3100 МВт(т), 930 МВт(э), ОЗР равен 31 ст. РР.
04.48. Мощность реактора 1600 МВт(т).
07.10. Расчёт ОЗР по программе «Призма» системы централизованного контроля (СЦК) СКАЛА («система комплексной автоматизации Ленинградской АЭС»). Сбой в работе СКАЛы. ОЗР рассчитан без учёта погружения 12 стержней автоматического регулирования (АР) и показан равным 13,2 ст. РР. Реальное значение ОЗР порядка 18 ст. РР.
07.20. По заявке НСБ защита от снижения уровня в БС переведена из АЗ-1 в АЗ-5.
25 апреля в 08.00 на дежурство заступила смена НСБ И.И. Казачкова.
08.00. Состояние энергоблока: мощность 1520 МВт(т), ОЗР ≥ 16 ст. РР, мощности турбогенераторов ТГ-7 и ТГ-8 380 МВт(э) и 50 МВт(э) соответственно.
13.05. Отключён от сети ТГ-7, мощность 1600 МВт(т), 450 МВт(э).
14.00. САОР отключена от КМПЦ. По указанию диспетчера Киевэнерго разгрузка блока приостановлена до прохождения вечернего пика нагрузки.
15.10. Мощность реактора 1500 МВт(т), ОЗР 16,8 ст. РР.
25 апреля в 16.00 на дежурство заступила смена НСБ Ю.Ю. Трегуба.
16.30. Разрешён подъём мощности до 1600 МВт(т).
16.50. Мощность реактора 1600 МВт(т).
22.45. Мощность реактора 1600 МВт(т), ОЗР 26,0 ст. РР.
23.10. Получено разрешение от диспетчера Киевэнерго на снижение мощности, по заявке НСБ начато снижение мощности реактора.
24.00. Снижение закончено, мощность реактора 760 МВт(т), мощность ТГ-8 200 МВт(э), ОЗР 24,0 ст. РР.
26 апреля в 00.00 на дежурство заступила следующая смена в составе: НСБ - А.Ф. Акимов, СИУР - Л.Ф. Топтунов, СИУБ - Б.В. Столярчук. Присутствовали также оставшийся с предыдущей смены Ю.Ю. Трегуб, начальник смены станции (НСС) Б.В. Рогожкин, заместитель главного инженера по эксплуатации (ЗГИС-Э) А.С. Дятлов.
00.28. При переходе с локального автоматического регулятора (ЛАР) на автоматический регулятор мощности основного диапазона (АР) АР-1 отключился, дойдя до верхнего концевого выключателя (ВК), АР-2 не включился по разбалансу в его измерительной части. Тепловая мощность реактора падает.
00.36. Уставка аварийной защиты (АЗ-5) по снижению давления в БС переведена с 55 кгс/см2 на 50 кгс/см2.
00.39-00.42. Программа диагностической регистрации параметров (ДРЕГ) не работала по причине подготовки старшим дежурным инженером вычислительной техники (СДИВТом) магнитной ленты ДРЕГ для записи испытаний.
00.41. Выведена защита АЗ-5 по останову двух ТГ. Отключение ТГ-8 от сети, замер вибрации ТГ-8 с отключённым генератором.
01.03. Тепловая мощность 200 МВт(т).
01.12-01.18. Программа ДРЕГ не работала по причине перезагрузки СДИВТом ленты ДРЕГ для фиксации параметров по программе выбега.
01.18. ТГ-8 синхронизирован и включён в сеть. Проверено прохождение сигналов МПА с нештатно смонтированной кнопки МПА.
01.22.30. СКАЛА производит запись параметров на магнитную ленту.
01.23.04. Подана команда «Осциллограф-пуск», закрыты стопорно-регулирующие клапаны (СРК) ТГ-8. Начался выбег ПЭН и ГЦН.
01.23.10. Нажата нештатно смонтированная для испытаний кнопка МПА.
01.23.40. Нажата кнопка АЗ-5. Стержни АЗ и РР начали движение в активную зону.
01.23.43. Появились сигналы аварийных защит по периоду разгона (аварийная защита по скорости, АЗС) и по превышению мощности (АЗМ) - мощность более 520 МВт(т).
01.23.49. Сигнал аварийной защиты «повышение давления в реакторном пространстве», сигнал «нет напряжения 48 В» (снято питание муфт сервоприводов СУЗ).
01.24. Запись в журнале СИУР: «Сильные удары, стержни СУЗ остановились, не дойдя до нижних концевиков (НК). Выведен ключ питания муфт».
Поясним эти данные.
25 апреля в соответствии с графиком вывода энергоблока в ППР была начата разгрузка энергоблока. Испытания планировалось провести ещё 25 апреля, но из-за заявки диспетчера энергосистемы на период с 14.00 до 23.10 снижение мощности было приостановлено.
К 00.00 26 апреля мощность снизили до необходимой при испытаниях (по п. 2.1 программы испытаний мощность следовало установить равной 700...1000 МВт(т)). После сдачи-приёмки смены (около 00.30) произошёл провал мощности, который через некоторое время удалось остановить. Параллельно с этим проводился вывод некоторых защит, а также изменение аварийных уставок по другим защитам.
К 01.00 мощность реактора была застабилизирована на 200 МВт(т). Решено было не поднимать мощность до 700 МВт(т), предусмотренных программой испытаний, а провести испытания на мощности 200 МВт(т).
В 01.23.04 были начаты испытания. Стопорно-регулирующие клапаны ТГ-8 были закрыты, и начался выбег турбогенератора. С опозданием в 6 с была нажата специально смонтированная кнопка МПА с целью выдачи сигнала МПА в электрическую часть (согласно п. 3.8 программы).
В 01.23.40 была нажата кнопка АЗ-5 (аварийная защита-5). До этого момента никаких предупредительных или аварийных сигналов не зафиксировано.
Примечание. Нажатие кнопки АЗ-5 вообще говоря не означает, что возникла аварийная ситуация - кнопка АЗ-5 была штатным средством глушения реактора при останове на ППР (п. 12.4 ТР). До аварии защита АЗ-5 работала без запоминания сигнала, т.е. до снятия первопричины.
В 01.23.43 сработали аварийные защиты АЗС и АЗМ.
В 01.23.49 сработала аварийная защита по повышению давления в реакторном пространстве, а также появился сигнал обесточения муфт приводов регулирующих стержней (при обесточении стержни идут в активную зону под собственным весом).
По современным представлениям (см., например, INSAG-7), произошло следующее. В момент нажатия кнопки АЗ-5 в активную зону начало движение большое количество стержней практически с верхних концевиков. В этих условиях за счёт неудачной конструкции стержней СУЗ проявился так называемый «концевой эффект»: в нижнюю часть активной зоны при начале движения стержней вводилась не отрицательная, а положительная реактивность. В тогдашних условиях расход теплоносителя через реактор был большим, а недогрев до кипения на входе в активную зону малым. Это привело к тому, что при вводе положительной реактивности в низу активной зоны резко повысилось паросодержание. Из-за большого парового эффекта реактивности это внесло ещё бо́льшую реактивность в низ активной зоны, что привело к сильному броску мощности (возможно, разгону на мгновенных нейтронах), повлёкшему за собой разрыв нескольких технологических каналов. Давление в реакторном пространстве возросло, и верхняя крышка реактора (так называемая схема «Е») была приподнята, что привело к массовому разрыву технологических каналов, прикрепленных к ней. Это привело к взрывному вскипанию воды по всему реакторному пространству и выбросу его содержимого в центральный зал, находящийся над реактором. В результате протекших химических реакций (пароциркониевые реакции, реакции пара с железом, взаимодействие расплава топлива с водой и паром) выделилось большое количество водорода, вышедшего в центральный зал и образовавшего там гремучую смесь, что привело ко второму взрыву.
* * *
Концевой эффект стержней СУЗ и большой паровой коэффициент реактивности тогдашних реакторов РБМК, без сомнения, внесли непосредственный вклад в развитие аварии. Однако часто приходится слышать мнение и о безусловной вине персонала ЧАЭС. Оно может варьироваться от дилетантского «отключили все защиты» до витиеватого «особенности конструкции РБМК наиболее проявились в нерегламентном состоянии, достигнутом по вине персонала». Здесь я попытаюсь прокомментировать действия персонала, используя имеющиеся данные, а также соображения, почерпнутые из дискуссий специалистов.
25 апреля в 01.05 начали разгрузку энергоблока. Снижение мощности всегда сопровождается ксеноновым отравлением реактора, что снижает ОЗР. Кривые отравления реактора рассчитываются теоретически, а затем подтверждаются экспериментально в реальных переходных режимах. Для РБМК-1000 они таковы:
25 апреля в 07 час 10 мин с помощью расчёта по программе «Призма» было получено значение в 13,2 ст. РР, формально требовавшее заглушения реактора согласно ТР. Однако было известно о сбое в работе СКАЛы, и реальное значение ОЗР было больше 15 ст. РР (это видно и по вышеприведённым кривым отравления). Имеющихся в открытом доступе документов недостаточно, чтобы установить, было ли продолжение работы нарушением. Однако есть косвенные данные, свидетельствующие о допустимости продолжения работы: пп. 8.7 л) и 10.4 о) Регламента разрешали работу без программы «Призма» на срок до 8 часов.
Смена И.И. Казачкова производила подготовку к испытаниям согласно программе, и к 14.00 завершила закрытие задвижек арматуры САОР. Пункт 2.15 программы предусматривал закрытие задвижек САОР во избежание попадания воды САОР в КМПЦ. Это блокировало быстродействующую систему САОР, обеспечивающую охлаждение реактора при МПА. Согласно п. 2.10.5 Регламента, САОР должна находиться в состоянии готовности. В то же время в INSAG-7 со ссылкой на раздел 2 «Регламента переключения ключей и накладок технологических защит и блокировок» утверждается, что с разрешения главного инженера станции (ГИС) разрешалось выводить автоматику запуска САОР, что равносильно выводу быстродействующей части САОР. Кроме того, в ходе развития аварийного процесса не зафиксировано сигналов на запуск САОР.
Приблизительно в это же время по заявке диспетчера Киевэнерго дальнейшее снижение мощности было приостановлено, и в течение 9 часов реактор продолжал оставаться на мощности 1600 МВт(т), постепенно разотравляясь, и к 23 часам ОЗР достиг 26 ст. РР. Снижение мощности было продолжено, и к 00.00 26 апреля мощность составила 760 МВт(т), что предусматривалось п. 2.1 программы испытаний.
26 апреля в 00 час 28 мин при переходе с ЛАР на АР тепловая мощность реактора упала. Вопрос о провале мощности и действиях персонала при нём является одним из наиболее спорных.
Начнём с анализа документальных данных. Единственный документ, имеющий отношение к регистрации мощности и находящийся в открытом доступе - диаграмма самописца СФКРЭ:
Во многих источниках присутствует высказывание «тепловая мощность упала до 30 МВт, а нейтронная - до нуля». На диаграмме самописца СФКРЭ отсутствуют показания ниже 100 МВт(т), в то же время отсутствуют показания за время приблизительно с 00.32 по 00.40. Кроме того, по паспорту на систему СФКРЭ показания самописца СФКРЭ при тепловой мощности менее 5% номинальной (160 МВт(т)) недостоверны. Самописец нейтронной мощности имеет несколько диапазонов, переключаемых вручную, и ноль может показывать лишь при условии непереключения диапазона. Вполне вероятно, что оператор просто не переключил диапазон. К несчастью, показаний самописца нейтронной мощности в свободном доступе нет, что не даёт возможности сделать определённый вывод об уровне мощности.
В INSAG-7 момент провала мощности освещён так:
В оперативном журнале СИУР в 00 ч. 28 мин. сделана следующая запись: «Включение АЗСР. Кнопкой «быстрое снижение мощности» снижена уставка АР. Включен 1АР. Недопустимый разбаланс по 2АР устранен. 2АР приведен в готовность». Анализируя эту запись, а также регистрацию ДРЕГ и алгоритм работы СУЗ, Комиссия делает следующие предположения относительно произошедшего в этот период события:
по невыясненной причине (возможно, из-за возмущения со стороны КМПЦ - изменения расхода питательной воды или давления пара в БС) отключился ЛАР, в автоматический режим включился регулятор 1АР и, отрабатывая отрицательный разбаланс, «вышел» на ВК;
регулятор 2АР по выходу 1АР на ВК не включился в автоматический режим из-за недопустимого разбаланса в его измерительной части;
по выходу из автоматического режима всех регуляторов включилась в режим готовности АЗСР с засветкой табло «АЗСР ВКЛ.» на панели СИУР;
в связи с тем, что продолжалось «отравление» реактора, его мощность начала падать, в измерительной части 1АР и 2АР увеличились недопустимые разбалансы, в результате сформировались сигналы «неисправность измерительной части 1АР», «неисправность измерительной части 2АР» с засветкой соответствующих табло на панели СИУР и фиксацией их в ДРЕГ;
вероятно, кнопкой «быстрое снижение мощности» СИУР со скоростью 2 % в секунду снизил уставки задатчиков мощности регуляторов, компенсировал разбаланс в измерительной части регулятора 1АР и включил его в автоматический режим работы;
затем, воздействуя на задатчик мощности регулятора 1АР, СИУР начал восстанавливать мощность реактора для создания условий проведения испытаний.
Важность этого вопроса связана с тем, что в Регламенте описаны две принципиально разных ситуации: подъём мощности после частичной разгрузки блока (п. 6.7) и подъём мощности после кратковременной остановки без прохождения «йодной ямы» (пп. 6.1-6.6). Чтобы установить, какой случай имеет место, Регламент предписывает использовать следующие определения:
6.1. Под кратковременной остановкой блока понимается снижение мощности реактора до нулевого уровня без расхолаживания контура МПЦ.
6.7. Частичная разгрузка блока - снижение мощности по сигналу АЗ или вручную до любого уровня мощности, но не ниже МКУ.
Здесь МКУ - это минимально-контролируемый уровень мощности. Он определён в п. 2.2:
2.2. За минимально-контролируемый уровень (МКУ) принимается такой минимальный уровень нейтронной мощности реактора, при котором возможна стабильная работа AРМ, но не выше 100 МВт (теп) (3% Nном) по приборам, отградуированным по тепловому балансу.
Никакие объективно зафиксированные данные, свидетельствующих о падении уровня ниже МКУ, не известны. Косвенным признаком того, что падение мощности было небольшим и что мощность ниже МКУ не снижалась, является отсутствие сигналов посадки стопорных клапанов (СК) ТГ-8. При отсутствии кратковременной остановки персонал был обязан действовать в соответствии с п. 6.7 Регламента, отсылающим к п. 6.6.10, где описываются ступени для подъёма мощности. Нарушений по этим пунктам Регламента нет.
Однако вопрос, до какого именно уровня снизилась мощность, представляет интерес в связи с п. 12.5 ТР, предписывающим включение защит для уровня малой мощности (АЗММ - аварийная защита по мощности в диапазоне малой мощности, АРМ - автоматический регулятор малой мощности, АЗС - аварийная защита по скорости):
12.5. В процессе снижения мощности реактора включить защиту АЗММ, АРМ на мощности 160 МВт(т) (5% Nном) и АЗС на мощности 100 МВт(т) (~3% Nном).
Необходимо отметить, что включить АРМ можно только после включения АЗММ. Уставка задатчика мощности АР находилась на уровне 160 МВт(т). Таким образом, возможны следующие варианты:
а) мощность снизилась до уровня менее 100-160 МВт(т), АЗММ и АЗС включали, и включали АРМ. Тогда нарушения ТР отсутствуют, ибо ниже МКУ мощность не снижалась;
б) мощность снизилась до уровня менее 100-160 МВт(т), АЗММ и АЗС не включали, и АРМ тоже не включали. Тогда нарушен п.12.5 ТР. Других нарушений нет, так как ТР разрешает работу без АРМ (п.6.6.9);
в) мощность менее 136 МВт(т) не снижалась.
В книге Н.В. Карпана на стр. 363 приведена диаграмма положения стержней на 0.39. Из неё следует, что стержни АРМ в этот момент находились на верхних концевиках, а в таком их положении включить АРМ невозможно. Таким образом, первый вариант сомнителен. В пункте в) значение 136 МВт(т) выбрано потому, что при отклонении мощности на 15% от уставки задатчика мощности АР появляются сигналы «недопустимый разбаланс УСМ» и «неисправность измерительной части АР». Сигнал «неисправность измерительной части АР» был зарегистрирован, но точная причина его появления неизвестна. К несчастью, неизвестно, был ли зарегистрирован сигнал «недопустимый разбаланс УСМ».
В 00.36 была переведена уставка срабатывания АЗ по давлению в БС. В INSAG-7 отмечено, что п. 12 «Регламента переключений ключей и накладок технологических защит и блокировок» предоставлял право выбора этой уставки персоналу.
В 00.41 была отключена защита АЗ-5 по останову двух ТГ. В INSAG-7 отмечено, что это было сделано в соответствии с п. 1 «Регламента переключений ключей и накладок технологических защит и блокировок», согласно которому эта защита выводится при нагрузке ТГ менее 100 МВт(э). В открытом доступе его нет, однако аналогичная «Карта уставок технологических защит» предусматривает вывод этой защиты перед плановым остановом последнего ТГ.
К 01.05 тепловая мощность реактора была поднята и застабилизирована на уровне 200 МВт(т). В отклонение от программы испытаний было решено проводить испытания на этом уровне мощности. Нарушений ТР и инструкций нет, так как уровень мощности 200 МВт(т) являлся регламентным, и время работы на нём не ограничивалось.
В 01.22.30 была произведена запись параметров блока на магнитную ленту. По расчётам ИАЭ, выполненным после аварии, ОЗР в этот момент составлял 6-8 ст. РР. Это было связано с тем, что при большом паровом коэффициенте реактивности изменения расхода питательной воды сильно влияют на реактивность, и ввод отрицательной реактивности приходится компенсировать, что уменьшает ОЗР. По условиям испытаний были включены все восемь ГЦН (по четыре с каждой стороны), что увеличило расход по КМПЦ, уменьшило паросодержание и снизило ОЗР. Кроме того, это привело к снижению уровня в БС и необходимости его ручного регулирования. Как следствие, расход питательной воды увеличился и ещё уменьшил ОЗР. Изменения расхода питательной воды можно проследить на нижеприведённом графике, опубликованном здесь:
Таким образом, в 01.22.30 ОЗР был нерегламентным и требовал заглушения реактора. При этом средств непрерывной индикации ОЗР на блочном щите управления (БЩУ) не было, ОЗР узнавался из распечаток СДИВТа или с помощью цифрового вызывного устройства. Персонал на 01.22.30 не был осведомлён об истинном значении ОЗР и формально не был обязан его в этот момент проконтролировать. В INSAG-7 также отмечается, что ТР трактует необходимость поддержания ОЗР для управления полем энерговыделения и что ни один проектный документ до аварии не трактовал ОЗР как параметр, напрямую влияющий на эффективность аварийной защиты.
В 01.23.04 начались испытания. По программе испытаний с их началом реактор глушился (должна была сработать защита АЗ-5 по посадке СК). Однако эта защита была выведена в соответствии с инструкциями, поскольку электрическая мощность ТГ была менее 100 МВт. В результате несогласованности в процессе испытаний заглушение реактора не было произведено с началом испытаний.
В 01.23.40 (01.23.39 по телетайпу СКАЛы) была нажата кнопка АЗ-5. Не существует единого мнения относительно цели её нажатия. Существует две правдоподобные версии:
а) кнопка АЗ-5 была нажата с целью заглушения реактора;
б) кнопка АЗ-5 была нажата кратковременно с целью снижения мощности согласно п. 10.4. в) Регламента.
Пункт 10.4. в) Регламента гласит:
10.4. Блок должен быть переведен на пониженный уровень мощности в случаях:<...>
в) изменения реактивности реактора на величину более 0.3 м по указателю АР (за время 3...5 с).
В ИНСАГ-7 принимается версия а) и утверждается, что, вероятно, срабатывание аварийной защиты в любой момент времени начиная приблизительно с 00.30 привело бы к повторению произошедшего сценария развития событий. В частности, если бы персонал проконтролировал ОЗР в 01.22.30 и получил значение 6-8 ст. РР, он вполне мог воспользоваться кнопкой АЗ-5 для глушения реактора и аварийный сценарий, вероятно, повторился бы.
В пользу версии б) говорят положения стержней автоматического регулирования, представленные на следующем графике):
Рассмотрим положения стержней АР. В 01.22.30 АР-2, АР-3 на ВК, АР-1 на 1,3 м. В 01.23.04 закрыли СРК и начался выбег ГЦН, внёсший дополнительную положительную реактивность. В 01.23.20 АР-1 начал перемещаться в активную зону, а в 01.23.30 туда же пошёл АР-3. В 01.23.33 АР-1 вышел на НК, и в зону пошел АР-2. Он успел пройти почти 3 м до нажатия АЗ-5. Это говорит о продолжавшемся вводе большой положительной реактивности. В такой ситуации п.10.4 в) требует снижения мощности реактора. Интересно, что по некоторым прикидкам компенсация такого ввода положительной реактивности привела ОЗР к регламентному значению (на момент нажатия АЗ-5).
Кроме того, имеется следующая распечатка телетайпа СКАЛы:
Первый сигнал: «01.23.39 Авар. защита 5»
Второй сигнал: «01.23.41 Авар. з»
Второй сигнал недопечатан. Однако сигналы АЗ-1, АЗ-2 и АЗ-3 не идут в «СКАЛу», если уставки задатчиков мощности ниже 60%, 50% и 20% номинальной соответственно. Поскольку уставка задатчика мощности была ниже 20%, на телетайпе мог начать печататься только сигнал АЗ-5. В ДРЕГе зафиксирован только один сигнал АЗ-5, но цикл опроса ДРЕГ составляет 2-4 с, и оба нажатия могли попасть в один цикл опроса данных. Таким образом, вероятно, что в первый раз кнопка АЗ-5 была нажата кратковременно. Это увеличило влияние концевого эффекта, что могло повлиять на масштаб аварии.
* * *
Рассмотрим технологические параметры энергоблока во время подготовки и проведения испытаний. Нас будут интересовать уровни в БС и расход через ГЦН.
Уровень в БС согласно ТР должен был находиться в пределах, определяемых «Инструкцией по эксплуатации КМПЦ»; кроме того, п. 9.23 ТР предписывал следующее:
9.23. Уровень в барабан-сепараторах в пределах величин 0±50 мм по приборам со шкалой ±315 мм.
Допускается кратковременное (5-10 мин.) снижение уровня до -80 мм или повышение уровня до 130 мм по уравнемерам со шкалой ±315 мм.
В главе 3 описываются аварийные защиты по изменению уровня в БС:
АЗ-1: <...> 3) снижение уровня в барабан-сепараторах на 200 мм ниже геометрической оси (-600 по уровнемерам со шкалой 400...-1200 мм);
АЗ-5: <...> к) снижение уровней в барабан-сепараторах любой стороны при любой мощности реактора до величины -1100 мм по уровнемерам со шкалой 400...-1200 мм,
л) повышение уровней в барабан-сепараторах любой стороны до 250 мм по уровнемерам со шкалой 400...-1200 мм.
Технологический регламент также ограничивает расход через ГЦН:
5.8. Производительность ГЦН по условиям кавитации должна быть при расходе питательной воды на каждую сторону:
- менее 500 т/ч - не более 7000 м3/ч,
- в диапазоне 500...1000 т/ч - не более 9000 м3/ч;
- более 1000 т/ч - не более 10300 м3/ч.
1. Начиная с 00.34, уровни в БС неоднократно опускались ниже -600 мм по «большим» уровнемерам. В INSAG-7 утверждается, что имело место нарушение «Регламента переключения ключей и накладок технологических защит и блокировок», предписывавшего перевод аварийной защиты по уровню -600 мм из АЗ-1 в АЗ-5 при снижении мощности до уровня ниже 60 % от номинальной. Аналогичное предписание имелось в «Карте уставок». В то же время защита по уровню -1100 мм оставалась включённой. Надо отметить, что уставка была переведена из АЗ-1 в АЗ-5 25 апреля в 07.20, и когда она была снова изменена - неизвестно. Кроме того, неизвестны требования эксплуатационных документов, описывавших порядок перевода уставки, а в списке аварийных защит в Регламенте АЗ-5 по уровню в -600 мм не перечислена. Порядок перевода уставки, скорее всего, не предполагал перевода сразу после снижения мощности ниже 60 % от номинальной. Это подтверждается следующими обстоятельствами: во-первых, авторы проекта РБМК утверждают, что «автоматический перевод уставок АЗ-1 и AЗ-5 при аварийных отключениях уровня воды в БС недопустим, т.к. при работе любой защиты АЗ-1, АЗ-2, АЗ-3 происходит снижение уровня до уставки -600 мм по прибору 400...-1200 мм, что в свою очередь приведет к срабатыванию АЗ-5 и полному заглушению реактора»; во-вторых, 25 апреля уставка была переведена значительно позже достижения уровня мощности в 60% от номинальной. Таким образом, возможно, это нарушение имело место, хотя без ознакомления с порядком изменения уставки однозначно это утверждать нельзя. Какое влияние это нарушение оказало на масштаб аварии, оценить крайне сложно, ибо действие включённой защиты по уровню в БС могло дать тот же эффект, что и нажатие кнопки АЗ-5 оператором, как в варианте а), так и в варианте б) развития событий.
2. На малых уровнях мощности Регламент ограничивал производительность каждого ГЦН величиной 6500-7000 м3/ч. 26 апреля 1986 г. имели место превышения расходов отдельных ГЦН, что являлось нарушением п. 5.8 ТР. С одной стороны, это не привело к кавитационному срыву насосов, с другой стороны, повышенный расход через ГЦН приводит к снижению недогрева теплоносителя до кипения на входе в активную зону, что могло проявиться в масштабе реактивности, вносимой паровым эффектом. Однако прямой связи этого нарушения с возникновением аварии нет.
3. Существует график привязки показаний «большого» и «малого» уровенемеров БС:
Из него видно, что при уровне ниже -350 мм по «большому» уровнемеру уровень в «малом» уровнемере не достигает регламентных значений из п. 9.23. С другой стороны, показания «малого» уровнемера отсутствуют, а порядок действий персонала при таких отклонениях от регламентных значений не содержится в доступных документах. Невозможно утверждать, были ли персоналом допущены какие-то нарушения, связанные с показаниями малого уровнемера.
* * *
Приведённые выше факты показывают, что на развитие Чернобыльской аварии повлияли и конструктивные недостатки проекта АЭС с реакторами РБМК-1000. В отличие от вопроса о действиях персонала Чернобыльской АЭС, по данному вопросу мною не замечено серьёзных дискуссий, документально опровергающих или ставящих под сомнение приведённые в докладе INSAG-7 несоответствия проекта РБМК-1000 «Правилам ядерной безопасности атомных электростанций» ПБЯ-04-74 и ОПБ-73. Их описание в докладе INSAG-7 занимает двадцать страниц, поэтому я лишь приведу лишь цитаты с выводами, отсылая всех интересующихся к стр. 42-62 упомянутого доклада.
Комиссия отмечает, что кроме отступлений проекта СУЗ РБМК-1000 от требований статей 3.1.6; 3.1.8; 3.2.2; 3.3.1; 3.3.5; 3.3.21; 3.3.26; 3.3.28; 3.3.29 ПБЯ-04-74, проект этой важнейшей для безопасности реактора системы также не соответствовал аналогичным требованиям статей 2.2.5; 2.2.6; 2.2.7; 2.2.8; 2.5.2; 2.5.8 ОПБ-73.
Конструктивные дефекты и нестабильность физических и теплогидравлических характеристик реактора РБМК-1000 были теоретически и экспериментально определены до аварии 26 апреля 1986 г., однако не было предпринято адекватных мер, во-первых, для устранения этих недостатков, во-вторых, для предупреждения персонала о последствиях этих опасных характеристик и соответствующей подготовки его к работе на реакторной установке, характеристики которой не отвечали требованиям НТД по безопасности. Непонимание возможной цены последствий действий персонала по управлению таким реактором привели к тому, что разработчики проекта и типового технологического регламента по эксплуатации РБМК-1000 не довели до сведения персонала действительную опасность проявления ряда характеристик реактора при возможных, в том числе и ошибочных, его (персонала) действиях. Установленные в регламенте пределы и условия безопасной эксплуатации (см. Раздел 1-4 доклада) далеко не всегда были однозначны, обоснованы и понятны персоналу, что могло отразиться на безопасности эксплуатации установки, проектом которой ряд защитных функций был переложен с технических средств на персонал. Технические меры, компенсирующие несоответствие проекта РБМК-1000 Правилам, разработчиками реакторной установки также не были приняты. Можно предположить, что хотя разработчики реактора и знали о недостатках конструкции и особенностях физики реактора, они не смогли количественно оценить возможные последствия этих недостатков и понять, что они могут привести к катастрофе.
В целом, по результатам рассмотрения проектных материалов, Комиссия считает необходимым сделать следующие выводы:
- проект 4 блока ЧАЭС имел существенные отступления от норм и правил по безопасности в атомной энергетике, действовавших на момент согласования и утверждения технического проекта второй очереди Чернобыльской АЭС в составе блоков 3 и 4;
- разработчиками проекта отступления не были выявлены, проанализированы, обоснованы и согласованы в установленном порядке. Не были разработаны технические и организационные меры, компенсирующие отступления от требований норм и правил по безопасности. От срока ввода в действие ОПБ-73 и ПБЯ-04-74 до аварии прошло более 10 лет, в течение которых осуществлялось проектирование, строительство, а затем и эксплуатация 4 блока ЧАЭС, однако, на протяжении всего этого периода Главным конструктором, Генпроектировщиком, Научным руководителем не было предпринято эффективных мер для приведения конструкции РБМК-1000 в соответствие с требованиями норм и правил по безопасности. Столь же бездеятельными в вопросах приведения АЭС с реакторами РБМК-1000 в соответствие требованиям действующих правил по безопасности в атомной энергетике оказались Минсредмаш СССР, Минэнерго СССР и органы Государственного надзора и контроля.
Так, например, расчётные значения парового коэффициента реактивности при большом паросодержании были отрицательными, однако выяснилось, что методика расчёта давала неправильный результат. На приводимом ниже графике показано расчётное значение парового эффекта реактивности (1), реальное значение парового эффекта реактивности на 26 апреля 1986 года (2), реальное значение парового эффекта реактивности после внедрения послеаварийных мероприятий (3). Рядом в таблице показаны измеренные эффекты и коэффициенты реактивности 4 блока ЧАЭС, а также восстановленные Н.В. Карпаном в аналитическом отчёте эффекты и коэффициенты реактивности на 24 апреля 1986 года.
* * *
В этой части я попытался осветить технический аспект произошедшей аварии. Мифы, относящиеся к причинам и ходу развития аварийной ситуации, перечислить и опровергнуть в рамках этого скромного текста технически невозможно - как и любой инцидент большой общественной значимости, Чернобыльская авария породила невероятное количество непроверенных данных, прямой лжи и мифов, в том числе наукообразных. Если читателям этого поста будет любопытно, насколько те или иные имеющиеся у них сведения соответствуют описанной мной картине либо если возникнут любые вопросы к написанному мной, я буду рад дать свои комментарии или ссылки на источники. При подготовке этого поста использовались материалы раздела «Чернобыльская атомная электростанция» на форуме г. Припять, а также дискуссии «Чернобыль» на форуме ixbt.com. Автор благодарит участников дискуссии VIUR, Andi, Konstantin, Green_Doz, mauer, and31, elp за предоставленные документы и пояснения.
В этой части будут рассмотрены события, непосредственно предшествовавшие аварии 26 апреля 1986 года.
Для рассмотрения и анализа необходимо прежде всего ознакомиться с аппаратурно зафиксированными данными. Мы будем пользоваться следующими исходными данными, имеющимися в открытом доступе:
- опубликованные данные систем контроля и регистрации параметров энергоблока;
- выписки из оперативных журналов четвёртого энергоблока ЧАЭС (журналы начальника смены блока (НСБ), старшего инженера по управлению блоком (СИУБ), старшего инженера по управлению реактором (СИУР), старшего инженера управления турбогенератором (СИУТ)), взятые из книги Н.В. Карпана «Чернобыль. Месть мирного атома»;
- взятые из той же книги Н.В. Карпана показания самописца системы физического контроля распределения энерговыделения (СФКРЭ) и сводный график изменения параметров;
- таблица, опубликованная как часть доклада комиссии Госпроматомнадзора СССР от 1991 г. в издании Международной консультативной группы по ядерной безопасности (INSAG), работающей при МАГАТЭ «INSAG-7: Чернобыльская авария. Дополнение к INSAG-1».
Некоторых из регистрируемых данных в свободном доступе нет, что затрудняет анализ некоторых тонких моментов. Пока недоступны следующие фактические материалы:
- лента самописца периода увеличения мощности;
- лента самописца реактивности;
- лента самописца тока реактиметра;
- лента самописца положения стержней включенного АР;
- полная распечатка ДРЕГ;
- полная распечатка телетайпа СКАЛы.
Здесь уместно будет сказать несколько слов о документах, регулирующих действия персонала. Документом высшего уровня является Технологический регламент. Пункт 1 Введения ТР постановляет:
Технологический регламент эксплуатации АЭС с реакторами РБМК-1000 определяет правила, основные пределы и условия безопасной эксплуатации АЭС, а также общий порядок выполнения наиболее ответственных операций на станции, связанных с её безопасностью. Требования при эксплуатации отдельных видов оборудования, входящих в комплекс станции, не оговорённые в настоящем «Регламенте», определяются соответствующими положениями инструкций по эксплуатации cистем и оборудования станции.
Как мы видим, в ТР явно оговорено существование нижестоящих инструкций, устанавливающих требования по эксплуатации отдельного оборудования. Нас в определённый момент будут интересовать инструкции, связанные с аварийными защитами реактора. Здесь ситуация следующая: глава 3 ТР определяет перечень аварийных защит реактора (они в ней перечисляются) и имеет следующее примечание:
Примечание: состояние защит оборудования блока определяется настоящим Регламентом, инструкциями по эксплуатации оборудования блока, «Инструкцией по эксплуатации и проверке технологических защит и блокировок» и «Регламентом переключения ключей и накладок».
Технологический регламент также устанавливает нормальные параметры эксплуатации блока, которые должны контролироваться персоналом:
Приведённые ниже основные параметры должны контролироваться на всех уровнях мощности с момента включения оборудования в работу; при нормальной эксплуатации блока они должны поддерживаться в указанных пределах; в случае отклонения параметров от этих норм действовать согласно Регламенту, «Инструкции по ликвидации аварий» и инструкциям по эксплуатации оборудования блока.
Приведём также некоторые важные для дальнейшего параметры, перечисленные в ТР как обязательные для контроля:
- тепловая мощность блока (измеряется в МВт(т));
- электрическая мощность блока (измеряется в МВт(э));
- уровень воды и давление в барабанах-сепараторах (БС);
- оперативный запас реактивности (ОЗР).
На номинальной мощности в стационарном режиме величина оперативного запаса реактивности должна составлять не менее 26-30 стержней.
Работа реактора при запасе менее 26 стержней допускается с разрешения главного инженера станции.
При снижении оперативного запаса реактивности до 15 стержней реактор должен быть немедленно заглушён.
Научное руководство станции должно периодически (1 раз в год) рассматривать конкретные условия устойчивого поддержания полей энерговыделения на данном блоке и при необходимости пересматривать их в сторону ужесточения по согласованию с Научным руководителем и Главным конструктором.
Приняв во внимание эти сведения, приступим к описанию произошедших событий. Напомню, что 25 апреля 1986 года четвёртый энергоблок Чернобыльской АЭС должен был остановиться на очередной планово-предупредительный ремонт, и перед остановом были запланированы испытания режима выбега турбогенератора.
25 апреля в 00.00 на дежурство заступила смена НСБ А.Ф. Акимова, начавшая разгрузку энергоблока.
01.05. Приступили к разгрузке энергоблока. Мощности блока: 3100 МВт(т), 930 МВт(э), ОЗР равен 31 ст. РР.
04.48. Мощность реактора 1600 МВт(т).
07.10. Расчёт ОЗР по программе «Призма» системы централизованного контроля (СЦК) СКАЛА («система комплексной автоматизации Ленинградской АЭС»). Сбой в работе СКАЛы. ОЗР рассчитан без учёта погружения 12 стержней автоматического регулирования (АР) и показан равным 13,2 ст. РР. Реальное значение ОЗР порядка 18 ст. РР.
07.20. По заявке НСБ защита от снижения уровня в БС переведена из АЗ-1 в АЗ-5.
25 апреля в 08.00 на дежурство заступила смена НСБ И.И. Казачкова.
08.00. Состояние энергоблока: мощность 1520 МВт(т), ОЗР ≥ 16 ст. РР, мощности турбогенераторов ТГ-7 и ТГ-8 380 МВт(э) и 50 МВт(э) соответственно.
13.05. Отключён от сети ТГ-7, мощность 1600 МВт(т), 450 МВт(э).
14.00. САОР отключена от КМПЦ. По указанию диспетчера Киевэнерго разгрузка блока приостановлена до прохождения вечернего пика нагрузки.
15.10. Мощность реактора 1500 МВт(т), ОЗР 16,8 ст. РР.
25 апреля в 16.00 на дежурство заступила смена НСБ Ю.Ю. Трегуба.
16.30. Разрешён подъём мощности до 1600 МВт(т).
16.50. Мощность реактора 1600 МВт(т).
22.45. Мощность реактора 1600 МВт(т), ОЗР 26,0 ст. РР.
23.10. Получено разрешение от диспетчера Киевэнерго на снижение мощности, по заявке НСБ начато снижение мощности реактора.
24.00. Снижение закончено, мощность реактора 760 МВт(т), мощность ТГ-8 200 МВт(э), ОЗР 24,0 ст. РР.
26 апреля в 00.00 на дежурство заступила следующая смена в составе: НСБ - А.Ф. Акимов, СИУР - Л.Ф. Топтунов, СИУБ - Б.В. Столярчук. Присутствовали также оставшийся с предыдущей смены Ю.Ю. Трегуб, начальник смены станции (НСС) Б.В. Рогожкин, заместитель главного инженера по эксплуатации (ЗГИС-Э) А.С. Дятлов.
00.28. При переходе с локального автоматического регулятора (ЛАР) на автоматический регулятор мощности основного диапазона (АР) АР-1 отключился, дойдя до верхнего концевого выключателя (ВК), АР-2 не включился по разбалансу в его измерительной части. Тепловая мощность реактора падает.
00.36. Уставка аварийной защиты (АЗ-5) по снижению давления в БС переведена с 55 кгс/см2 на 50 кгс/см2.
00.39-00.42. Программа диагностической регистрации параметров (ДРЕГ) не работала по причине подготовки старшим дежурным инженером вычислительной техники (СДИВТом) магнитной ленты ДРЕГ для записи испытаний.
00.41. Выведена защита АЗ-5 по останову двух ТГ. Отключение ТГ-8 от сети, замер вибрации ТГ-8 с отключённым генератором.
01.03. Тепловая мощность 200 МВт(т).
01.12-01.18. Программа ДРЕГ не работала по причине перезагрузки СДИВТом ленты ДРЕГ для фиксации параметров по программе выбега.
01.18. ТГ-8 синхронизирован и включён в сеть. Проверено прохождение сигналов МПА с нештатно смонтированной кнопки МПА.
01.22.30. СКАЛА производит запись параметров на магнитную ленту.
01.23.04. Подана команда «Осциллограф-пуск», закрыты стопорно-регулирующие клапаны (СРК) ТГ-8. Начался выбег ПЭН и ГЦН.
01.23.10. Нажата нештатно смонтированная для испытаний кнопка МПА.
01.23.40. Нажата кнопка АЗ-5. Стержни АЗ и РР начали движение в активную зону.
01.23.43. Появились сигналы аварийных защит по периоду разгона (аварийная защита по скорости, АЗС) и по превышению мощности (АЗМ) - мощность более 520 МВт(т).
01.23.49. Сигнал аварийной защиты «повышение давления в реакторном пространстве», сигнал «нет напряжения 48 В» (снято питание муфт сервоприводов СУЗ).
01.24. Запись в журнале СИУР: «Сильные удары, стержни СУЗ остановились, не дойдя до нижних концевиков (НК). Выведен ключ питания муфт».
Поясним эти данные.
25 апреля в соответствии с графиком вывода энергоблока в ППР была начата разгрузка энергоблока. Испытания планировалось провести ещё 25 апреля, но из-за заявки диспетчера энергосистемы на период с 14.00 до 23.10 снижение мощности было приостановлено.
К 00.00 26 апреля мощность снизили до необходимой при испытаниях (по п. 2.1 программы испытаний мощность следовало установить равной 700...1000 МВт(т)). После сдачи-приёмки смены (около 00.30) произошёл провал мощности, который через некоторое время удалось остановить. Параллельно с этим проводился вывод некоторых защит, а также изменение аварийных уставок по другим защитам.
К 01.00 мощность реактора была застабилизирована на 200 МВт(т). Решено было не поднимать мощность до 700 МВт(т), предусмотренных программой испытаний, а провести испытания на мощности 200 МВт(т).
В 01.23.04 были начаты испытания. Стопорно-регулирующие клапаны ТГ-8 были закрыты, и начался выбег турбогенератора. С опозданием в 6 с была нажата специально смонтированная кнопка МПА с целью выдачи сигнала МПА в электрическую часть (согласно п. 3.8 программы).
В 01.23.40 была нажата кнопка АЗ-5 (аварийная защита-5). До этого момента никаких предупредительных или аварийных сигналов не зафиксировано.
Примечание. Нажатие кнопки АЗ-5 вообще говоря не означает, что возникла аварийная ситуация - кнопка АЗ-5 была штатным средством глушения реактора при останове на ППР (п. 12.4 ТР). До аварии защита АЗ-5 работала без запоминания сигнала, т.е. до снятия первопричины.
В 01.23.43 сработали аварийные защиты АЗС и АЗМ.
В 01.23.49 сработала аварийная защита по повышению давления в реакторном пространстве, а также появился сигнал обесточения муфт приводов регулирующих стержней (при обесточении стержни идут в активную зону под собственным весом).
По современным представлениям (см., например, INSAG-7), произошло следующее. В момент нажатия кнопки АЗ-5 в активную зону начало движение большое количество стержней практически с верхних концевиков. В этих условиях за счёт неудачной конструкции стержней СУЗ проявился так называемый «концевой эффект»: в нижнюю часть активной зоны при начале движения стержней вводилась не отрицательная, а положительная реактивность. В тогдашних условиях расход теплоносителя через реактор был большим, а недогрев до кипения на входе в активную зону малым. Это привело к тому, что при вводе положительной реактивности в низу активной зоны резко повысилось паросодержание. Из-за большого парового эффекта реактивности это внесло ещё бо́льшую реактивность в низ активной зоны, что привело к сильному броску мощности (возможно, разгону на мгновенных нейтронах), повлёкшему за собой разрыв нескольких технологических каналов. Давление в реакторном пространстве возросло, и верхняя крышка реактора (так называемая схема «Е») была приподнята, что привело к массовому разрыву технологических каналов, прикрепленных к ней. Это привело к взрывному вскипанию воды по всему реакторному пространству и выбросу его содержимого в центральный зал, находящийся над реактором. В результате протекших химических реакций (пароциркониевые реакции, реакции пара с железом, взаимодействие расплава топлива с водой и паром) выделилось большое количество водорода, вышедшего в центральный зал и образовавшего там гремучую смесь, что привело ко второму взрыву.
* * *
Концевой эффект стержней СУЗ и большой паровой коэффициент реактивности тогдашних реакторов РБМК, без сомнения, внесли непосредственный вклад в развитие аварии. Однако часто приходится слышать мнение и о безусловной вине персонала ЧАЭС. Оно может варьироваться от дилетантского «отключили все защиты» до витиеватого «особенности конструкции РБМК наиболее проявились в нерегламентном состоянии, достигнутом по вине персонала». Здесь я попытаюсь прокомментировать действия персонала, используя имеющиеся данные, а также соображения, почерпнутые из дискуссий специалистов.
25 апреля в 01.05 начали разгрузку энергоблока. Снижение мощности всегда сопровождается ксеноновым отравлением реактора, что снижает ОЗР. Кривые отравления реактора рассчитываются теоретически, а затем подтверждаются экспериментально в реальных переходных режимах. Для РБМК-1000 они таковы:
25 апреля в 07 час 10 мин с помощью расчёта по программе «Призма» было получено значение в 13,2 ст. РР, формально требовавшее заглушения реактора согласно ТР. Однако было известно о сбое в работе СКАЛы, и реальное значение ОЗР было больше 15 ст. РР (это видно и по вышеприведённым кривым отравления). Имеющихся в открытом доступе документов недостаточно, чтобы установить, было ли продолжение работы нарушением. Однако есть косвенные данные, свидетельствующие о допустимости продолжения работы: пп. 8.7 л) и 10.4 о) Регламента разрешали работу без программы «Призма» на срок до 8 часов.
Смена И.И. Казачкова производила подготовку к испытаниям согласно программе, и к 14.00 завершила закрытие задвижек арматуры САОР. Пункт 2.15 программы предусматривал закрытие задвижек САОР во избежание попадания воды САОР в КМПЦ. Это блокировало быстродействующую систему САОР, обеспечивающую охлаждение реактора при МПА. Согласно п. 2.10.5 Регламента, САОР должна находиться в состоянии готовности. В то же время в INSAG-7 со ссылкой на раздел 2 «Регламента переключения ключей и накладок технологических защит и блокировок» утверждается, что с разрешения главного инженера станции (ГИС) разрешалось выводить автоматику запуска САОР, что равносильно выводу быстродействующей части САОР. Кроме того, в ходе развития аварийного процесса не зафиксировано сигналов на запуск САОР.
Приблизительно в это же время по заявке диспетчера Киевэнерго дальнейшее снижение мощности было приостановлено, и в течение 9 часов реактор продолжал оставаться на мощности 1600 МВт(т), постепенно разотравляясь, и к 23 часам ОЗР достиг 26 ст. РР. Снижение мощности было продолжено, и к 00.00 26 апреля мощность составила 760 МВт(т), что предусматривалось п. 2.1 программы испытаний.
26 апреля в 00 час 28 мин при переходе с ЛАР на АР тепловая мощность реактора упала. Вопрос о провале мощности и действиях персонала при нём является одним из наиболее спорных.
Начнём с анализа документальных данных. Единственный документ, имеющий отношение к регистрации мощности и находящийся в открытом доступе - диаграмма самописца СФКРЭ:
Во многих источниках присутствует высказывание «тепловая мощность упала до 30 МВт, а нейтронная - до нуля». На диаграмме самописца СФКРЭ отсутствуют показания ниже 100 МВт(т), в то же время отсутствуют показания за время приблизительно с 00.32 по 00.40. Кроме того, по паспорту на систему СФКРЭ показания самописца СФКРЭ при тепловой мощности менее 5% номинальной (160 МВт(т)) недостоверны. Самописец нейтронной мощности имеет несколько диапазонов, переключаемых вручную, и ноль может показывать лишь при условии непереключения диапазона. Вполне вероятно, что оператор просто не переключил диапазон. К несчастью, показаний самописца нейтронной мощности в свободном доступе нет, что не даёт возможности сделать определённый вывод об уровне мощности.
В INSAG-7 момент провала мощности освещён так:
В оперативном журнале СИУР в 00 ч. 28 мин. сделана следующая запись: «Включение АЗСР. Кнопкой «быстрое снижение мощности» снижена уставка АР. Включен 1АР. Недопустимый разбаланс по 2АР устранен. 2АР приведен в готовность». Анализируя эту запись, а также регистрацию ДРЕГ и алгоритм работы СУЗ, Комиссия делает следующие предположения относительно произошедшего в этот период события:
по невыясненной причине (возможно, из-за возмущения со стороны КМПЦ - изменения расхода питательной воды или давления пара в БС) отключился ЛАР, в автоматический режим включился регулятор 1АР и, отрабатывая отрицательный разбаланс, «вышел» на ВК;
регулятор 2АР по выходу 1АР на ВК не включился в автоматический режим из-за недопустимого разбаланса в его измерительной части;
по выходу из автоматического режима всех регуляторов включилась в режим готовности АЗСР с засветкой табло «АЗСР ВКЛ.» на панели СИУР;
в связи с тем, что продолжалось «отравление» реактора, его мощность начала падать, в измерительной части 1АР и 2АР увеличились недопустимые разбалансы, в результате сформировались сигналы «неисправность измерительной части 1АР», «неисправность измерительной части 2АР» с засветкой соответствующих табло на панели СИУР и фиксацией их в ДРЕГ;
вероятно, кнопкой «быстрое снижение мощности» СИУР со скоростью 2 % в секунду снизил уставки задатчиков мощности регуляторов, компенсировал разбаланс в измерительной части регулятора 1АР и включил его в автоматический режим работы;
затем, воздействуя на задатчик мощности регулятора 1АР, СИУР начал восстанавливать мощность реактора для создания условий проведения испытаний.
Важность этого вопроса связана с тем, что в Регламенте описаны две принципиально разных ситуации: подъём мощности после частичной разгрузки блока (п. 6.7) и подъём мощности после кратковременной остановки без прохождения «йодной ямы» (пп. 6.1-6.6). Чтобы установить, какой случай имеет место, Регламент предписывает использовать следующие определения:
6.1. Под кратковременной остановкой блока понимается снижение мощности реактора до нулевого уровня без расхолаживания контура МПЦ.
6.7. Частичная разгрузка блока - снижение мощности по сигналу АЗ или вручную до любого уровня мощности, но не ниже МКУ.
Здесь МКУ - это минимально-контролируемый уровень мощности. Он определён в п. 2.2:
2.2. За минимально-контролируемый уровень (МКУ) принимается такой минимальный уровень нейтронной мощности реактора, при котором возможна стабильная работа AРМ, но не выше 100 МВт (теп) (3% Nном) по приборам, отградуированным по тепловому балансу.
Никакие объективно зафиксированные данные, свидетельствующих о падении уровня ниже МКУ, не известны. Косвенным признаком того, что падение мощности было небольшим и что мощность ниже МКУ не снижалась, является отсутствие сигналов посадки стопорных клапанов (СК) ТГ-8. При отсутствии кратковременной остановки персонал был обязан действовать в соответствии с п. 6.7 Регламента, отсылающим к п. 6.6.10, где описываются ступени для подъёма мощности. Нарушений по этим пунктам Регламента нет.
Однако вопрос, до какого именно уровня снизилась мощность, представляет интерес в связи с п. 12.5 ТР, предписывающим включение защит для уровня малой мощности (АЗММ - аварийная защита по мощности в диапазоне малой мощности, АРМ - автоматический регулятор малой мощности, АЗС - аварийная защита по скорости):
12.5. В процессе снижения мощности реактора включить защиту АЗММ, АРМ на мощности 160 МВт(т) (5% Nном) и АЗС на мощности 100 МВт(т) (~3% Nном).
Необходимо отметить, что включить АРМ можно только после включения АЗММ. Уставка задатчика мощности АР находилась на уровне 160 МВт(т). Таким образом, возможны следующие варианты:
а) мощность снизилась до уровня менее 100-160 МВт(т), АЗММ и АЗС включали, и включали АРМ. Тогда нарушения ТР отсутствуют, ибо ниже МКУ мощность не снижалась;
б) мощность снизилась до уровня менее 100-160 МВт(т), АЗММ и АЗС не включали, и АРМ тоже не включали. Тогда нарушен п.12.5 ТР. Других нарушений нет, так как ТР разрешает работу без АРМ (п.6.6.9);
в) мощность менее 136 МВт(т) не снижалась.
В книге Н.В. Карпана на стр. 363 приведена диаграмма положения стержней на 0.39. Из неё следует, что стержни АРМ в этот момент находились на верхних концевиках, а в таком их положении включить АРМ невозможно. Таким образом, первый вариант сомнителен. В пункте в) значение 136 МВт(т) выбрано потому, что при отклонении мощности на 15% от уставки задатчика мощности АР появляются сигналы «недопустимый разбаланс УСМ» и «неисправность измерительной части АР». Сигнал «неисправность измерительной части АР» был зарегистрирован, но точная причина его появления неизвестна. К несчастью, неизвестно, был ли зарегистрирован сигнал «недопустимый разбаланс УСМ».
В 00.36 была переведена уставка срабатывания АЗ по давлению в БС. В INSAG-7 отмечено, что п. 12 «Регламента переключений ключей и накладок технологических защит и блокировок» предоставлял право выбора этой уставки персоналу.
В 00.41 была отключена защита АЗ-5 по останову двух ТГ. В INSAG-7 отмечено, что это было сделано в соответствии с п. 1 «Регламента переключений ключей и накладок технологических защит и блокировок», согласно которому эта защита выводится при нагрузке ТГ менее 100 МВт(э). В открытом доступе его нет, однако аналогичная «Карта уставок технологических защит» предусматривает вывод этой защиты перед плановым остановом последнего ТГ.
К 01.05 тепловая мощность реактора была поднята и застабилизирована на уровне 200 МВт(т). В отклонение от программы испытаний было решено проводить испытания на этом уровне мощности. Нарушений ТР и инструкций нет, так как уровень мощности 200 МВт(т) являлся регламентным, и время работы на нём не ограничивалось.
В 01.22.30 была произведена запись параметров блока на магнитную ленту. По расчётам ИАЭ, выполненным после аварии, ОЗР в этот момент составлял 6-8 ст. РР. Это было связано с тем, что при большом паровом коэффициенте реактивности изменения расхода питательной воды сильно влияют на реактивность, и ввод отрицательной реактивности приходится компенсировать, что уменьшает ОЗР. По условиям испытаний были включены все восемь ГЦН (по четыре с каждой стороны), что увеличило расход по КМПЦ, уменьшило паросодержание и снизило ОЗР. Кроме того, это привело к снижению уровня в БС и необходимости его ручного регулирования. Как следствие, расход питательной воды увеличился и ещё уменьшил ОЗР. Изменения расхода питательной воды можно проследить на нижеприведённом графике, опубликованном здесь:
Таким образом, в 01.22.30 ОЗР был нерегламентным и требовал заглушения реактора. При этом средств непрерывной индикации ОЗР на блочном щите управления (БЩУ) не было, ОЗР узнавался из распечаток СДИВТа или с помощью цифрового вызывного устройства. Персонал на 01.22.30 не был осведомлён об истинном значении ОЗР и формально не был обязан его в этот момент проконтролировать. В INSAG-7 также отмечается, что ТР трактует необходимость поддержания ОЗР для управления полем энерговыделения и что ни один проектный документ до аварии не трактовал ОЗР как параметр, напрямую влияющий на эффективность аварийной защиты.
В 01.23.04 начались испытания. По программе испытаний с их началом реактор глушился (должна была сработать защита АЗ-5 по посадке СК). Однако эта защита была выведена в соответствии с инструкциями, поскольку электрическая мощность ТГ была менее 100 МВт. В результате несогласованности в процессе испытаний заглушение реактора не было произведено с началом испытаний.
В 01.23.40 (01.23.39 по телетайпу СКАЛы) была нажата кнопка АЗ-5. Не существует единого мнения относительно цели её нажатия. Существует две правдоподобные версии:
а) кнопка АЗ-5 была нажата с целью заглушения реактора;
б) кнопка АЗ-5 была нажата кратковременно с целью снижения мощности согласно п. 10.4. в) Регламента.
Пункт 10.4. в) Регламента гласит:
10.4. Блок должен быть переведен на пониженный уровень мощности в случаях:<...>
в) изменения реактивности реактора на величину более 0.3 м по указателю АР (за время 3...5 с).
В ИНСАГ-7 принимается версия а) и утверждается, что, вероятно, срабатывание аварийной защиты в любой момент времени начиная приблизительно с 00.30 привело бы к повторению произошедшего сценария развития событий. В частности, если бы персонал проконтролировал ОЗР в 01.22.30 и получил значение 6-8 ст. РР, он вполне мог воспользоваться кнопкой АЗ-5 для глушения реактора и аварийный сценарий, вероятно, повторился бы.
В пользу версии б) говорят положения стержней автоматического регулирования, представленные на следующем графике):
Рассмотрим положения стержней АР. В 01.22.30 АР-2, АР-3 на ВК, АР-1 на 1,3 м. В 01.23.04 закрыли СРК и начался выбег ГЦН, внёсший дополнительную положительную реактивность. В 01.23.20 АР-1 начал перемещаться в активную зону, а в 01.23.30 туда же пошёл АР-3. В 01.23.33 АР-1 вышел на НК, и в зону пошел АР-2. Он успел пройти почти 3 м до нажатия АЗ-5. Это говорит о продолжавшемся вводе большой положительной реактивности. В такой ситуации п.10.4 в) требует снижения мощности реактора. Интересно, что по некоторым прикидкам компенсация такого ввода положительной реактивности привела ОЗР к регламентному значению (на момент нажатия АЗ-5).
Кроме того, имеется следующая распечатка телетайпа СКАЛы:
Первый сигнал: «01.23.39 Авар. защита 5»
Второй сигнал: «01.23.41 Авар. з»
Второй сигнал недопечатан. Однако сигналы АЗ-1, АЗ-2 и АЗ-3 не идут в «СКАЛу», если уставки задатчиков мощности ниже 60%, 50% и 20% номинальной соответственно. Поскольку уставка задатчика мощности была ниже 20%, на телетайпе мог начать печататься только сигнал АЗ-5. В ДРЕГе зафиксирован только один сигнал АЗ-5, но цикл опроса ДРЕГ составляет 2-4 с, и оба нажатия могли попасть в один цикл опроса данных. Таким образом, вероятно, что в первый раз кнопка АЗ-5 была нажата кратковременно. Это увеличило влияние концевого эффекта, что могло повлиять на масштаб аварии.
* * *
Рассмотрим технологические параметры энергоблока во время подготовки и проведения испытаний. Нас будут интересовать уровни в БС и расход через ГЦН.
Уровень в БС согласно ТР должен был находиться в пределах, определяемых «Инструкцией по эксплуатации КМПЦ»; кроме того, п. 9.23 ТР предписывал следующее:
9.23. Уровень в барабан-сепараторах в пределах величин 0±50 мм по приборам со шкалой ±315 мм.
Допускается кратковременное (5-10 мин.) снижение уровня до -80 мм или повышение уровня до 130 мм по уравнемерам со шкалой ±315 мм.
В главе 3 описываются аварийные защиты по изменению уровня в БС:
АЗ-1: <...> 3) снижение уровня в барабан-сепараторах на 200 мм ниже геометрической оси (-600 по уровнемерам со шкалой 400...-1200 мм);
АЗ-5: <...> к) снижение уровней в барабан-сепараторах любой стороны при любой мощности реактора до величины -1100 мм по уровнемерам со шкалой 400...-1200 мм,
л) повышение уровней в барабан-сепараторах любой стороны до 250 мм по уровнемерам со шкалой 400...-1200 мм.
Технологический регламент также ограничивает расход через ГЦН:
5.8. Производительность ГЦН по условиям кавитации должна быть при расходе питательной воды на каждую сторону:
- менее 500 т/ч - не более 7000 м3/ч,
- в диапазоне 500...1000 т/ч - не более 9000 м3/ч;
- более 1000 т/ч - не более 10300 м3/ч.
1. Начиная с 00.34, уровни в БС неоднократно опускались ниже -600 мм по «большим» уровнемерам. В INSAG-7 утверждается, что имело место нарушение «Регламента переключения ключей и накладок технологических защит и блокировок», предписывавшего перевод аварийной защиты по уровню -600 мм из АЗ-1 в АЗ-5 при снижении мощности до уровня ниже 60 % от номинальной. Аналогичное предписание имелось в «Карте уставок». В то же время защита по уровню -1100 мм оставалась включённой. Надо отметить, что уставка была переведена из АЗ-1 в АЗ-5 25 апреля в 07.20, и когда она была снова изменена - неизвестно. Кроме того, неизвестны требования эксплуатационных документов, описывавших порядок перевода уставки, а в списке аварийных защит в Регламенте АЗ-5 по уровню в -600 мм не перечислена. Порядок перевода уставки, скорее всего, не предполагал перевода сразу после снижения мощности ниже 60 % от номинальной. Это подтверждается следующими обстоятельствами: во-первых, авторы проекта РБМК утверждают, что «автоматический перевод уставок АЗ-1 и AЗ-5 при аварийных отключениях уровня воды в БС недопустим, т.к. при работе любой защиты АЗ-1, АЗ-2, АЗ-3 происходит снижение уровня до уставки -600 мм по прибору 400...-1200 мм, что в свою очередь приведет к срабатыванию АЗ-5 и полному заглушению реактора»; во-вторых, 25 апреля уставка была переведена значительно позже достижения уровня мощности в 60% от номинальной. Таким образом, возможно, это нарушение имело место, хотя без ознакомления с порядком изменения уставки однозначно это утверждать нельзя. Какое влияние это нарушение оказало на масштаб аварии, оценить крайне сложно, ибо действие включённой защиты по уровню в БС могло дать тот же эффект, что и нажатие кнопки АЗ-5 оператором, как в варианте а), так и в варианте б) развития событий.
2. На малых уровнях мощности Регламент ограничивал производительность каждого ГЦН величиной 6500-7000 м3/ч. 26 апреля 1986 г. имели место превышения расходов отдельных ГЦН, что являлось нарушением п. 5.8 ТР. С одной стороны, это не привело к кавитационному срыву насосов, с другой стороны, повышенный расход через ГЦН приводит к снижению недогрева теплоносителя до кипения на входе в активную зону, что могло проявиться в масштабе реактивности, вносимой паровым эффектом. Однако прямой связи этого нарушения с возникновением аварии нет.
3. Существует график привязки показаний «большого» и «малого» уровенемеров БС:
Из него видно, что при уровне ниже -350 мм по «большому» уровнемеру уровень в «малом» уровнемере не достигает регламентных значений из п. 9.23. С другой стороны, показания «малого» уровнемера отсутствуют, а порядок действий персонала при таких отклонениях от регламентных значений не содержится в доступных документах. Невозможно утверждать, были ли персоналом допущены какие-то нарушения, связанные с показаниями малого уровнемера.
* * *
Приведённые выше факты показывают, что на развитие Чернобыльской аварии повлияли и конструктивные недостатки проекта АЭС с реакторами РБМК-1000. В отличие от вопроса о действиях персонала Чернобыльской АЭС, по данному вопросу мною не замечено серьёзных дискуссий, документально опровергающих или ставящих под сомнение приведённые в докладе INSAG-7 несоответствия проекта РБМК-1000 «Правилам ядерной безопасности атомных электростанций» ПБЯ-04-74 и ОПБ-73. Их описание в докладе INSAG-7 занимает двадцать страниц, поэтому я лишь приведу лишь цитаты с выводами, отсылая всех интересующихся к стр. 42-62 упомянутого доклада.
Комиссия отмечает, что кроме отступлений проекта СУЗ РБМК-1000 от требований статей 3.1.6; 3.1.8; 3.2.2; 3.3.1; 3.3.5; 3.3.21; 3.3.26; 3.3.28; 3.3.29 ПБЯ-04-74, проект этой важнейшей для безопасности реактора системы также не соответствовал аналогичным требованиям статей 2.2.5; 2.2.6; 2.2.7; 2.2.8; 2.5.2; 2.5.8 ОПБ-73.
Конструктивные дефекты и нестабильность физических и теплогидравлических характеристик реактора РБМК-1000 были теоретически и экспериментально определены до аварии 26 апреля 1986 г., однако не было предпринято адекватных мер, во-первых, для устранения этих недостатков, во-вторых, для предупреждения персонала о последствиях этих опасных характеристик и соответствующей подготовки его к работе на реакторной установке, характеристики которой не отвечали требованиям НТД по безопасности. Непонимание возможной цены последствий действий персонала по управлению таким реактором привели к тому, что разработчики проекта и типового технологического регламента по эксплуатации РБМК-1000 не довели до сведения персонала действительную опасность проявления ряда характеристик реактора при возможных, в том числе и ошибочных, его (персонала) действиях. Установленные в регламенте пределы и условия безопасной эксплуатации (см. Раздел 1-4 доклада) далеко не всегда были однозначны, обоснованы и понятны персоналу, что могло отразиться на безопасности эксплуатации установки, проектом которой ряд защитных функций был переложен с технических средств на персонал. Технические меры, компенсирующие несоответствие проекта РБМК-1000 Правилам, разработчиками реакторной установки также не были приняты. Можно предположить, что хотя разработчики реактора и знали о недостатках конструкции и особенностях физики реактора, они не смогли количественно оценить возможные последствия этих недостатков и понять, что они могут привести к катастрофе.
В целом, по результатам рассмотрения проектных материалов, Комиссия считает необходимым сделать следующие выводы:
- проект 4 блока ЧАЭС имел существенные отступления от норм и правил по безопасности в атомной энергетике, действовавших на момент согласования и утверждения технического проекта второй очереди Чернобыльской АЭС в составе блоков 3 и 4;
- разработчиками проекта отступления не были выявлены, проанализированы, обоснованы и согласованы в установленном порядке. Не были разработаны технические и организационные меры, компенсирующие отступления от требований норм и правил по безопасности. От срока ввода в действие ОПБ-73 и ПБЯ-04-74 до аварии прошло более 10 лет, в течение которых осуществлялось проектирование, строительство, а затем и эксплуатация 4 блока ЧАЭС, однако, на протяжении всего этого периода Главным конструктором, Генпроектировщиком, Научным руководителем не было предпринято эффективных мер для приведения конструкции РБМК-1000 в соответствие с требованиями норм и правил по безопасности. Столь же бездеятельными в вопросах приведения АЭС с реакторами РБМК-1000 в соответствие требованиям действующих правил по безопасности в атомной энергетике оказались Минсредмаш СССР, Минэнерго СССР и органы Государственного надзора и контроля.
Так, например, расчётные значения парового коэффициента реактивности при большом паросодержании были отрицательными, однако выяснилось, что методика расчёта давала неправильный результат. На приводимом ниже графике показано расчётное значение парового эффекта реактивности (1), реальное значение парового эффекта реактивности на 26 апреля 1986 года (2), реальное значение парового эффекта реактивности после внедрения послеаварийных мероприятий (3). Рядом в таблице показаны измеренные эффекты и коэффициенты реактивности 4 блока ЧАЭС, а также восстановленные Н.В. Карпаном в аналитическом отчёте эффекты и коэффициенты реактивности на 24 апреля 1986 года.
* * *
В этой части я попытался осветить технический аспект произошедшей аварии. Мифы, относящиеся к причинам и ходу развития аварийной ситуации, перечислить и опровергнуть в рамках этого скромного текста технически невозможно - как и любой инцидент большой общественной значимости, Чернобыльская авария породила невероятное количество непроверенных данных, прямой лжи и мифов, в том числе наукообразных. Если читателям этого поста будет любопытно, насколько те или иные имеющиеся у них сведения соответствуют описанной мной картине либо если возникнут любые вопросы к написанному мной, я буду рад дать свои комментарии или ссылки на источники. При подготовке этого поста использовались материалы раздела «Чернобыльская атомная электростанция» на форуме г. Припять, а также дискуссии «Чернобыль» на форуме ixbt.com. Автор благодарит участников дискуссии VIUR, Andi, Konstantin, Green_Doz, mauer, and31, elp за предоставленные документы и пояснения.