Если вы, читая про Чернобыль или Фукусиму удивлялись, как можно так безалаберно относиться к проектированию АЭС – значит, вы просто не видели НАСТОЯЩЕЙ безалаберности. Нынешними системами безопасности современные АЭС обязаны массовой радиофобии (спасибо ЧАЭС и TMI!) и накопившемуся за десятилетия опыту эксплуатации (в том числе и аварийной) мирового мирного и не очень атома. Но ведь были годы, когда такие условности не стояли на пути сумрачных гениев управляемого ядерного распада.
Итак, на дворе конец пятидесятых, Ford Nucleon, Davy Crockett, Тоцкий полигон, Desert Rock – в общем, атомпанк во все поля. Жидорептилоиды тогда ещё не придумали радиофобию, а от малоизученной лучевой болезни массово помирали лишь побеждённые японцы, чьи проблемы белого человека волновали мало. Перспективы рисовались самые блестящие, и по обе стороны железного занавеса атом разной степени мирности пихали везде, куда он мог влезть хотя бы в теории (фанаты Фоллаута одобряют).
Например, в пятьдесят восьмом экспериментальный BWR (кипящий водно-водяной реактор, в переводе на язык родных осин) запустили в Айдахо. Цель эксперимента была вполне в духе пятидесятых – мирный атом в каждый дом. Ну, вернее, не совсем дом. В общем, проект SL-1 подразумевал этакие мини-теплоэлектростанции для военных баз в далёких американских далях, чтобы не возить к черту на кулички дрова и не вставать среди ночи, чтобы подкинуть угля в топку. 200 кВт электро- и 400 кВт тепловой энергии вполне должно было хватить какому-нибудь забытому богом радару на Аляске, берегущему небеса богоспасаемого отечества от кровожадных коммунистических орд.
Сия экспериментальная атомная кочегарка успешно проработала два с лишним года, пока к рождеству шестидесятого её не остановили на ремонт. Специально обученные люди разъехались по домам орать «джингл беллс» в семейном кругу, а при реакторе оставили трёх молодых ремонтников. По причинам, достоверно установить которые не удалось и поныне – в связи с отсутствием ЖИВЫХ свидетелей – 3 января шестьдесят первого, при пуске свежеотремонтированного реактора, центральный управляющий стержень был поднят примерно на 20 дюймов, вместо допустимых четырёх. Благодаря этому, всего за четыре миллисекунды после пуска реактор смог выполнить годовой план по выработке энергии, выдав на-гора 20 ГВт вместо 3МВт, предусмотренных проектом. Мгновенно испарившаяся вода в буквальном смысле сорвала реактору крышку, улетевшую в потолок (а это без малого 12 тонн!), но предварительно выплюнувшую вверх стержни вместе с заглушками. Вслед за ней на волю устремились кипяток с паром.
Прибывшие через девять минут на срабатывание сигналки пожарные обнаружили пустую операторную, недопитый кофе и повышенный радиационный фон. По пути к реактору дозиметр зашкалил, так что пришлось вернуться к машине… за прибором помощней (гвозди бы делать из этих людей, ей-богу!). В зале на полу нашли два заваленных обломками тела, одно из которых ещё подавало признаки жизни (умер в скорой по дороге в больницу). Третье тело нашли не сразу: лишь подняв глаза вверх кто-то увидел труп, насаженный на торчащий из потолка управляющий стержень (честно говоря, я до сих пор думал, что такое только в дешёвых ужастиках бывает). Сам реактор представлял из себя развороченное взрывом месиво.
Не буду подробно описывать процесс уборки и дезактивации всего этого дерьма (ситуацию сильно спасло то, что располагалась вся эта конструкция в далях, в отличии от печально известного TMI), скажу лишь, что после этого случая в головы инженеров-атомщиков наконец закралась вполне очевидная мысль, что реактор, способный лихо взорваться от ОДНОГО неосторожного движения – не особо удачная конструкция. Проект SL-1 закрыли от греха, и на будущее решили закладывать в конструкцию реакторов хоть какие-то предохранительные системы (увы, стопроцентной защиты от дурака не придумали до сих пор, но теперь, по крайней мере нужно более одного дурака для создания аварии).
Кстати, это единственный случай в американской ядерной энергетике, при котором люди погибли непосредственно при аварии. Такие дела…
Автор: Даниил Ли
Комментарии (90)
Mike_St
11.01.2025 11:44безалаберное проектирование АЭС - не относится к Чернобольской АЭС, с проектированием там всё в порядке
mayorovp
11.01.2025 11:44Система защиты, которая в определённых режимах взрывает реактор при срабатывании - это "в порядке"?!
Mike_St
11.01.2025 11:44там не было "определенных" режимов, в которых СЗ взрывает реактор. В том-то и дело, что режим при котором реактор взорвался был вообще неизвестен и заранее не предсказан и не заложен в штатную эксплуатацию. Коллектив смены ЧАЭС в своих экспериментах и действиях вышел за все рамки изученного и предсказанного, и уж если кто и был безалаберными, то только он. Никакой безалаберности в проектировке не было.
mayorovp
11.01.2025 11:44В том-то и дело, что режим при котором реактор взорвался был вообще неизвестен и заранее не предсказан и не заложен в штатную эксплуатацию
Но ведь это и называется "ошибка проектирования"...
Tomasina
11.01.2025 11:44При проведении Чернобыльских испытаний все сигнальные и аварийные системы сработали и орали о недопустимых режимах (т.е спроектированы нормально), но были ПРИНУДИТЕЛЬНО отключены вручную и эксперимент дальше шел по сценарию "а если сделать вот так..."
А когда процесс дошел до критической точки, оператор в панике сделал не то что было нужно, то уже банально не успел исправить свою ошибку.
kalitkinvlad
11.01.2025 11:44все сигнальные и аварийные системы ... были ПРИНУДИТЕЛЬНО отключены вручную
Я бы сказал, что это тоже несовершенство конструкции. Защитные системы в таких делах должны быть неотключаемыми.
TimsTims
11.01.2025 11:44Защитные системы в таких делах должны быть неотключаемыми
Конечно, вы же эксперт, вам с дивана виднее :).
Если серьезно: если сделать всякие штуки не отключаемыми, то как раз они и приведут к аварии, когда цепочка событий приведет к тому, что один датчик за другим не хотели выключаться и в итоге остановить реактор не удалось.
kalitkinvlad
11.01.2025 11:44Нет, просто произойдет остановка реактора. Другими слова, эти системы должны глушить реактор по разному, независимо друг от друга.
Конечно, вы же эксперт, вам с дивана виднее :).
Я инженер-технолог на обычном производстве, и просто совсем немного в курсе вопроса.
Да, забыл добавить про необходимость ложноположительных СисБез-ов для таких объектов.
ClockEnable
11.01.2025 11:44Я бы сказал, что это тоже несовершенство конструкции. Защитные системы в таких делах должны быть неотключаемыми.
В общем-то так и стараются делать. Вводят различный контроль исправности, тестовые сигналы, контроль обрыва, мажоритарное голосование. Но если человек захочет отключить защиту, то он это сделает. В этом плане, слабое место - это связь первичного датчика с контролирующей аппаратурой. Всегда можно как-нибудь этот датчик сымитировать, 'сказать' аппаратуре, что всё в норме.
kalitkinvlad
11.01.2025 11:44Но если человек захочет отключить защиту, то он это сделает
Само собой. Только это должно быть нарушением служебной инструкции по ТБ эксплуатации, после которого его уволят, посадят и
расстреляютвыставят миллионный штраф.В этом плане, слабое место - это связь первичного датчика с контролирующей аппаратурой. Всегда можно как-нибудь этот датчик сымитировать, 'сказать' аппаратуре, что всё в норме
А можно поподробней? Как это сделать легально?
ClockEnable
11.01.2025 11:44Само собой. Только это должно быть нарушением служебной инструкции по ТБ, после которого его уволят, посадят и
расстреляютвыставят миллионный штраф.Человеческий фактор, от него никуда не деться. Кстати, сам наблюдал такую вещь: пульт управления реактором, у оператора стоит отдельный компьютер с выход в интернет и танками. Сделано это для того, чтобы он от скуки не полез реактором управлять. Пусть лучше в танки играет)
А можно поподробней? Как это сделать легально?
Сымитировать датчики? Конечно можно, на испытаниях так и делается. Например для температуры, вместо сигнала от датчика подается ток от тестового источника. А для аппаратуры контроля мощности подаются импульсы от тестового генератора
p.s. Более того, в методике испытаний описывается что и как нужно имитировать, и какие сигналы в каком порядке подавать.
kalitkinvlad
11.01.2025 11:44Человеческий фактор, от него никуда не деться
Ну мы же про аварийные системы защиты говорим? Ну пролил оператор кофе на пульт, какая-то система это распознала и заглушила устройство. Оператору втык, город спит спокойно.
Кстати, сам наблюдал такую вещь: пульт управления реактором, у оператора стоит отдельный компьютер с выход в интернет и танками. Сделано это для того, чтобы он от скуки не полез реактором управлять. Пусть лучше в танки играет)
О, вот это приветствую! Новые подходы в борьбе с психологическим стрессом)
Сымитировать датчики?
Да, в процессе эксплуатации объекта повышенной опасности. В нормальных инструкциях это должно быть запрещено под страхом смерти.
Если же нужны тестовые испытания систем управления уже действующего реактора, то они должны проводиться при полной выгрузке топлива с использованием имитаторов теплового и радиационного воздействия на датчики.
Arioch
11.01.2025 11:44Да, в процессе эксплуатации объекта повышенной опасности.
...да только он по советским законам 1960/1970 таковым не был. Это ж не НПЗ, не химический завод, чему там взрываться-то?
ClockEnable
11.01.2025 11:44Что, как и когда - это конечно же всё описано. В РФ существуют "Правила ядерной безопасности" (ПБЯ). Это официальный документ, отступать от него нельзя (на самом деле можно, но нужны обоснования и подписи ответственных лиц).
Но жизнь то гораздо интересный и многогранней, чем какие-то документы...
Была реальная история на исследовательском реакторе в одной дружественной стране. Сам лично не видел, но участников знаю. По какой-то причине вышел из строя датчик положения одного из компенсирующих стержней (КС). Датчик заменили. Но чтобы новый датчик стал показывать правильное положение, его нужно было 'обучить'. Для этого необходимо прогнать соответствующий КС по всей его рабочей длине - от верхнего концевика до нижнего и обратно. Но реактор был на мощности. А перемещение КС - приводит к изменению реактивности и уменьшению или увеличению мощности реактора (а еще и периода). Для парирования этого изменения нужно одновременно перемещать другой компенсирующий стержень в противоположную сторону. Само-собой, на работающем реакторе никакими правилами такое не разрешается.
Но глушить реактор нельзя. Там утвержденный высоким начальством план работ, сроки, контракты и тому подобное. И вот, один из грамотных инженеров решился на такую операцию. Гонял одновременно два стержня - один вверх, второй вниз. Там еще есть так называемый стержень - авторегулятор. Так от этих действий он летал как сумасшедший! Пытался автоматически мощность регулировать, но не мог, не предназначен он для такого безобразия) И еще нельзя было допустить, чтобы этот авторегулятор сел на нижний концевик. На том реакторе это АЗ. Несколько раз срабатывала предупредительная сигнализация. Но в итоге всё нормально, датчик обучили, АЗ не словили, контракты выполнили
:)
kalitkinvlad
11.01.2025 11:44Спасибо за ужасные подробности)) весьма интересно!
Но опять же, вы уж простите за мое занудство, но здесь именно что недостаток проработки такой ситуации. Датчиков там не так уж и много, и проработать для каждого из них регламент "горячей" замены и юстировки разработчики были просто обязаны.
ClockEnable
11.01.2025 11:44На самом деле там чуть хитрее всё. Система делится условно на две части: управления/защиты, и информационную. Датчик относился к информационной. То есть если он сбойнул, то работать можно - некритичный отказ это. Просто информации о положении рабочего органа нет, что в ручном режиме неудобно.
Проектирование там вообще очень грамотное. ТЗ на сотни страниц - это только на систему управления и защиты (СУЗ). Очень много всего предусмотрено.
p.s. Мне кажется, именно на том реакторы был забавный случай. Когда в какой-то момент вся информационная система из-за сбоя в базе данных отключилась. Все мониторы погасли. И у персонала не было почти никакой информации о реакторе. Но при этом система управления и защиты продолжала нормально работать, без каких-либо сбоев.
Arioch
11.01.2025 11:44из этого, кстати, следует, что "система управления и защиты" на порядки примитивнее, чем все красивые компьютерные модельки. В ней основной принцип "против лома нет приёма" и "тут нечему ломаться", но именно поэтому сложные и хитрые правила в нее в принципе не заложишь
...не говоря про то, что основная "система управления и защиты" - это просто школьная физика. Тепловое расширение материалов и т.д.
AVAF
https://ru-history.livejournal.com/2918125.html
Менее глумливое и намного более детальное описание произошедшего, а также сделанные по итогам выводы.
Vsevo10d
то есть, кат-кат и тут наморосил в статье.