Chernobyl: ch.8. Additions to Report No. 1 (INSAG-1) - INSAG-7 report (October 1993).

Information on the Chernobyl accident and its consequences prepared for the IAEA Report No. 1 (INSAG-1)


C O R E R A N E E
Flash drive
0. Introduction
1. Description of the Chernobyl NPP with RBMK-1000 reactors.
2. Chronology of the development of the accident.
3. Analysis of the process of development of the accident on a mathematical model.
4. Causes of the accident.
5. Preventing the development of an accident and reducing its consequences.
6. Control over radioactive contamination of the environment and public health.
7. Recommendations for improving the safety of nuclear power.





REPORT OF THE INTERNATIONAL ADVISORY GROUP ON NUCLEAR SAFETY

CONTENT

1. INTRODUCTION
2. FEATURES OF THE REACTOR
2.1. Steam reactivity coefficient
2.2. Design of control rods
2.3. Speed ​​of input of emergency rods
2.4. Power regulation
2.5. Instrumentation for measuring the reactivity reserve
2.6. Reactor core dimensions
2.7. The possibility of making changes to the safety, stop and alarm systems at the station
2.8. Underheating of the coolant at the inlet
2.9. Primary coolant circuit
2.10. Protective shell
3. ACCIDENT
4. ANALYSIS OF THE SCENARIO OF FAULTS, CONDUCTED IN THE LAST TIME
4.1. Scenario
4.2. Operational reserve of reactivity
5. VIEWS OF INSAG
5.1. Design
5.2. Staff actions
5.3. System of measures for ensuring security
5.4. The consequences of ignoring the shortcomings
5.5. The importance of a competent safety analysis
5.6. Disadvantages of the regulatory regime
5.7. General comments on the insufficient level of safety culture
5.8. final grade
6. CONCLUSIONS CONCERNING FACTORS AFFECTING THE ACCIDENT DEVELOPMENT
APPENDIX: measures to improve the safety of nuclear power plants with RBMK reactors

APPENDIX I: REPORT OF THE COMMISSION OF THE STATE COMMITTEE OF THE USSR ON SUPERVISION OF SAFE MANAGEMENT OF WORK IN THE INDUSTRY AND ATOMIC ENERGY. 1991.
1-1. Introduction
1-2. Brief Information on the Design of the 4th ChNPP Unit
1-3. About some inconsistencies of the project 4 of the ChNPP unit to the requirements of the rules and norms on safety
1-4. Causes and circumstances of the accident
1-5. Conclusion
References to Annex I
Bibliography to Annex II

ANNEX II: REPORT OF THE WORKING GROUP OF EXPERTS OF THE USSR. 1991.
II-1. Brief description and features of the RBMK-1000 reactor unit of the 4th ChNPP unit
II-2. Modern ideas about the emergence and development of the Chernobyl accident
II-3. Activities to improve the safety of nuclear power plants with RBMK
II-4. Conclusion

MEMBERS OF THE INTERNATIONAL ADVISORY GROUP ON NUCLEAR SAFETY,
MEMBERS OF THE WORKING GROUP AND ASSOCIATED EXPERTS



2. FEATURES OF THE REACTOR

2.1. Steam reactivity coefficient
2.2. Design of control rods
2.3. Speed ​​of input of emergency rods
2.4. Power regulation
2.5. Instrumentation for measuring the reactivity reserve
2.6. Reactor core dimensions
2.7. The possibility of making changes to the safety, stop and alarm systems at the station
2.8. Underheating of the coolant at the inlet
2.9. Primary coolant circuit
2.10. Protective shell


Below are brief summary data on some design (design) 1 features of the RBMK-1000 reactor and associated systems of the 4th block of the Chernobyl nuclear power plant during the accident on April 26, 1986. These design features had a major impact on the course of the accident and its consequences.

2.1. STEAM REACTIVITY COEFFICIENT
In the core of the reactor, cooled by boiling water, contains a certain amount of steam. Vapor bubbles are called voids, and the proportion of the volume of the coolant occupied by voids is called the vapor content of the coolant. When the vapor content changes, the reactivity changes; The ratio of these two changes is called the steam reactivity coefficient, which can be positive or negative depending on the design of the reactor. Changing the power of the reactor can lead to a change in the vapor content and can also cause other effects that alter the reactivity. These changes in reactivity must be compensated by the regulating rods. The ratio of the total change in reactivity achieved in this way to the power change that caused it is called the power factor of reactivity, and this coefficient can also be positive or negative.
The steam reactivity coefficient is the dominant component of the reactivity power factor of RBMK type reactors, reflecting a high degree of dependence of reactivity on the vapor content of the core. The value of this coefficient depends significantly on the choice of the grid step and the composition of the core (the number of CPS rods immersed in the active zone, the number of additional absorbers installed, the enrichment and the burn-up depth of the fuel). Based on studies conducted after the accident, it was reported that the calculated steam reactivity coefficient for the RBMK-1000 reactor varied from -1.3 x 10 ~ 4% -1 (Sk / k) for freshly loaded fuel To + (2.0- 2.5) X 10 ~ 4% ~ l (6k / k) for the steady-state overload condition and that with a total loss of coolant the change in reactivity was -2/3 for freshly loaded fuel 1 This report often uses the concept of "designing" a nuclear power plant. Its significance is defined in the IAEA Nuclear Safety Standards Publication Series (PRNB): the process and result of the development of the concept, detailed drawings, ancillary calculations and technical specifications for the nuclear power plant and its equipment.
And + (4-5) / 3 for a steady-state overload mode (where / 3 is the fraction of delayed neutrons). The design documentation for the RBMK reactor indicated that the steam reactivity coefficient for the initial and steady state is negative (see Appendix II, Section P-3).
Therefore, although the steam reactivity coefficient varied over a wide range from negative to positive values, depending on the composition of the core and the operating conditions of the reactor, the fast power factor in normal operating conditions remained negative. During the accident, both the steam and power reactivity coefficients were positive.

2.2. STRUCTURE CONSTRUCTION CONSTRUCTION
Rods of the RBMK CPS are inserted into the active zone from the top, except for 24 shortened rods that are inserted from below and used to equalize the distribution of energy release. To each end of the absorbing part of each rod, with the exception of 12 rods used for automatic control, a graphite rod, called a "displacer", is attached. The lower propellant prevents water from entering the space released by the extracted rod, thereby improving the compensating ability of the rod. The graphite propellant of each rod of all RBMK reactors was connected to the rod through a "telescope" at the time of the accident, so that the displacer and the absorbing rod separated the distance of 1.25 m filled with water (see Figure 1). The dimensions of the rod and the displacer were such that, with the rod completely removed, the displacer was located in the middle of the part of the core filled with fuel, and above it and below it were columns of water 1.25 m high.
Upon receipt of the emergency stop signal of the reactor causing the drop of the fully extracted rod, the displacement of water from the lower part of the channel when the rod moved down from the upper end caused local injection of positive reactivity into the lower part of the core. The magnitude of this "positive reactivity during emergency stop" effect depended on the spatial distribution of the energy release field and the operating mode of the reactor.

Absorber
Water
Graphite
Displacer
Water
FIG. 1 The extreme upper position of the RCS rod of the RBMK emergency protection system relative to the reactor core (a) before and (b) after improvements made after the Chernobyl accident. Dimensions are in centimeters.


2.3. SPEED OF INTRODUCING EMERGENCY SECURITY RODS
The time required to fully immerse the emergency protection rods (i.e., the rods providing an emergency stop) to the active zone when moving from the upper limit switches was 18 sec. Such a low input speed was mainly the result of a tight fit of the rod in its channel, whereby the cooling water in which the rod was to move was acting like a fluid in a shock absorber or a travel absorber.

2.4. POWER ADJUSTMENT
The RBMK-1000 reactor was equipped with two systems providing power control. The first of them was a system of physical control of the distribution of energy release (SFEC) and had sensors located inside the core. The second was a control and protection system, the sensors of which were located both inside the core and outside it, in the lateral biological protection tank.
In principle, the two systems were designed in such a way as to complement each other. The EFCF was developed to control the relative and absolute distribution of energy release in the range of 10-120% and control of reactor power in the range of 5-120% of the nominal capacity. The reactor control and protection system included a system of local automatic control and local automatic protection (LAR-LAZ). The LAR-LAZ system received signals from intra-zone sensors and regulated at power levels above 10% of the nominal. The control at low power levels was carried out only on the basis of sensors located outside the core, when the reactor was operated at low power with the switched off systems of the SFECC and LAR-LAZ, there were no control and measuring sensors located inside the core. The operator, when making decisions on power regulation and spatial distribution of energy release, had to rely mainly on the readings of sensors located outside the core. However, the sensors located outside the core could not show the distribution of the neutron flux inside it. Moreover, they could not show the average distribution of the flow along the height of the core, since they are all located in height opposite the center of the core.
Therefore, controlling the reactor at low power levels, the operator had to rely mainly on experience and intuition, and not on the readings of the control system instruments. In such conditions, the operator might need to perform up to 1000 control actions per hour.
Nevertheless, the RBMK-1000 power control during start-up, when there are no neutron absorbers in the reactor or when it is not poisoned with xenon-135, differs from, and much easier, control of the energy release field of the unevenly poisoned reactor at low power. In the latter case, which was largely present during the tests that resulted in the destruction of reactor 4 of the Chornobyl NPP unit, there is a risk of large misalignment of the field and high energy unevenness both in height and in the radius of the core. The operators had essentially no experience of power regulation under such conditions.

2.5. MONITORING MEASURING EQUIPMENT FOR REGISTRATION OF REACTIVITY RESERVE
The computer and instrumentation used to determine the reactivity reserve of the RBMK-1000 reactor were located at a distance of 50 m from the control panel. The data collection system received information from approximately 4,000 survey points. The system was used for the periodic calculation of the operational reactivity reserve (ORM), which is an additional reactance that will arise in the case of the extraction of all control rods, and expressed by a multiple of the total reactivity controlled by the standard rod. The cycle of measurements and calculation of ORM in this data collection system was about 10-15 minutes. The system was designed to provide the operator with support for monitoring the distribution of energy release in a stationary mode, and was used for this purpose in conjunction with a system for controlling the spatial distribution of energy release.

2.6. DIMENSIONS OF THE ACTIVE ZONE OF THE REACTOR
In view of the large dimensions of the RBMK-1000 reactor core (7 m in height, 11.8 m in diameter), the chain reaction in one part of the core is very weakly related to the chain reaction in other parts removed from it.
This leads to the need to regulate the spatial distribution of energy release in much the same way as if there were several independent reactors in the core volume. In extreme conditions, this situation can be very unstable, since small spatial redistribution of reactivity can cause significant spatial redistribution of energy release. One of the manifestations of such a disruption in the core is that immediately before the accident chain reactions in the upper and lower parts of the reactor passed almost independently, and this situation was aggravated by deep xenon poisoning in the central part located between them. Under these conditions, with the introduction of CPS rods from the fully extracted position, the previously described effect of introducing positive reactivity during a fast shutdown of the reactor could lead to supercriticality in the lower part of the core and a rapid displacement of the distribution of the neutron flux downward irrespective of how this distribution was directly before the introduction of the rods . Under the conditions of the accident, the mixing of the distribution of energy release due to the introduction of positive reactivity during a fast shutdown of the reactor could be significant.

2.7. POSSIBILITY OF CHANGES IN SAFETY, STOP AND SIGNALING SYSTEMS ON STATION
At Unit 4 of the Chernobyl nuclear power plant, operators were able to manually shut down some safety systems, block automatic emergency shutdown devices of the reactor, and reset or suppress various alarms of the alarm system. This could be done simply by setting jumpers to the terminals that were accessed. In some circumstances, operational regulations allowed such a shutdown.

2.8. HEATING OF THE HEATER AT THE ENTRANCE
RBMK reactors are boiling reactors. The coolant enters the active zone of the reactor from below in the form of water underheated to boiling point, and boiling starts at some distance along the path of flow through the active zone. Analysis and experiments showed that for the stability of the reactor, the degree of underheating of the coolant at the inlet of the boiling reactor is important. If underheating falls almost to zero, the boiling begins almost at the entrance to the active zone and, in view of the steam reactivity coefficient, the reactivity effects become very sensitive to the temperature of the coolant at the inlet.
Moreover, since the temperature of the coolant in the area from the circulation pumps to the entrance to the active zone varies insignificantly, with very little underheating the temperature of the water inside the pumps and at the suction in them is close to the boiling point. In such conditions, the behavior of the pumps can become unstable, and under certain conditions the head can significantly decrease or even become equal to zero (a process called cavitation). This issue is further discussed in Section 2.9.

2.9. PRIMARY COOLANT SYSTEM OF THE PRIMARY HEATER
The RBMK-1000 reactor has two independent loops of the primary coolant circuit, each of which cools the reactor half. Each loop has four main circulation pumps, three of which are used in normal operation; The fourth pump is in standby mode as a reserve for use in the event of the need to disconnect one of the three operating pumps. The capacity of each pump is from 5500 to 12000 m3 / h. A shut-off valve and a non-return valve are also installed on the discharge line of each pump to prevent backflow in the event of a pump failure. Each pump is equipped with shut-off valves, which, if necessary, isolate it.
The heat transfer fluid from each of the three pumps to the coolant loop is sent to a common collector and then to 22 dispensing collectors in each half of the reactor. These collectors distribute the flow through separate tubular channels containing nuclear fuel. A shut-off valve is installed on each channel, used to optimize the radial distribution of cooling through the core. Boiling occurs when the coolant passes through the channels in the part that passes through the active zone of the reactor. A steam-water mixture of different fuel channels is taken by separate pipes in two parallel horizontal drum-separators in each loop. From the top of each separator, steam is directed to two collectors of steam, from where it flows to the turbines. The flow of condensate from the turbine in each loop forms a flow of feedwater, which is connected to the recirculation flow of water from the steam generators, forming the inlet flow of the coolant at pump suction. Thus, the coolant circulation loop closes.
Under normal conditions, the flow rate of each pump is
8000 m3 / h. The normal temperature at the entrance to the core is 270 ° C, and at the outlet from the core 284 ° C at a pressure of 7 MPa (approximately 70 atm). The temperature of the water entering the suction header of the main circulation pump depends on the intensity of vaporization in the reactor, as the steam after condensation passes through the turbine and becomes a cooler component of the feed water of the coolant entering the pump and into the core. When, as a result of the reduction in the reactor power, the flow of this component of the feed water of the coolant decreases, the temperature of the coolant at the pump suction and at the entrance to the active zone, respectively, increases. В ходе операций нормального пуска и останова реактора расход в первичном контуре теплоносителя контролируется с помощью регулирующих клапанов дроссельного типа таким образом, чтобы он снизился от нормального уровня 8000 м3/ч на насос до величины 6000-7000 м3/ч.
В режимах пониженной мощности при пуске и останове реактора используется меньшее число насосов. Эти меры обеспечивают достаточно низкую температуру на входе главного циркуляционного насоса, чтобы предотвратить кавитацию в насосах и сохранить соответствующее распределение парообразования по высоте топливных каналов.
Непосредственно перед чернобыльской аварией и на начальном этапе аварии работали все восемь насосов. Четыре запитывались от работающей турбины, а четыре - от внешнего источника энергопитания.
Использование всех восьми насосов привело к тому, что расход теплоносителя превысил уровень, соответствующий номинальным условиям при полной мощности, уменьшив уже и так низкое паросодержание в активной зоне. Это низкое паросодержание снизило коэффициент трения потока теплоносителя. Кроме того, ввиду пониженного уровня мощности реактора в это время недогрев теплоносителя на входе в активную зону был лишь незначительным и, в зависимости от точных значений расхода питательной воды и потока рециркуляции, а также распределения давления в трубопроводах системы, он мог оказаться вообще нулевым. Эти условия привели к началу кипения в нижней части активной зоны или вблизи нее. В существовавших тогда эксплуатационных условиях паровой коэффициент реактивности был весьма существенно положительным, а активная зона находилась в состоянии повышенной восприимчивости к увеличению положительной обратной связи по паровой реактивности в случае повышения мощности. Более того, при повышенном расходе теплоносителя уменьшился запас до кавитации циркуляционных насосов.
После отключения турбины работа запитанных от нее четырех насосов начала замедляться, поскольку скорость вращения турбины снижалась и падало напряжение связанного с ней генератора. Понижающийся расход через активную зону вызвал повышение паросодержания в активной зоне и обусловил появление первоначальной положительной обратной связи по реактивности, которая по крайней мере отчасти была причиной аварии. По-прежнему не ясно, падала ли в этот период нагнетательная способность насосов, которые обеспечивали циркуляцию смешанной пароводяной смеси, или же даже произошли кавитация и срыв насосов и они вообще прекратили обеспечивать циркуляцию теплоносителя. В докладе комиссии Государственного комитета СССР по надзору за безопасным ведением работ в промышленности и атомной энергетике (Госкоматомнадзора) (Приложение I, Раздел 1-4.5) содержится ссылка на исследования, в результате которых сделано заключение о том, что кавитации насосов не было. По крайней мере, положительный паровой коэффициент реактора РБМК приводит к тому, что его конструкция в обстоятельствах аварии оказывается чрезвычайно восприимчивой к нару шениям работы или срыву насосов.

2.10. ЗАЩИТНАЯ ОБОЛОЧКА
Реакторы РБМК имеют отдельные конструкции для "локализации". Иными словами, отдельные части реактора и контура теплоносителя находятся в индивидуальных герметичных помещениях, каждое из которых имеет целью обеспечить защиту от разрыва трубопроводов первого контура (локализацию) только в данном помещении. В частности, активная зона реактора находится в реакторном пространстве, боковые стенки которого также служат в качестве защиты. Нижняя часть реакторного пространства представляет собой тяжелую плиту, на которой собрана активная зона, а сверху имеется плита с металлоконструкциями весом 2000 тонн. Концевики топливных каналов проходят через нижнюю и верхнюю плиты и приварены к ним. Отдельные герметичные помещения соединяются трубами с расположенной внизу системой "бассейнов-барботеров", которые служат в качестве бассейнов аварийного сброса давления, - конструктивное решение, в некоторой степени похожее на то, которое принято для большинства кипящих реакторов в западных странах.
Так же, как на других реакторах РБМК, имевших такое пространство для локализации над активной зоной реактора, это пространство способно выдерживать номинальное избыточное давление, создаваемое паром при одновременном разрыве двух каналов. Такое ограничение возможности обусловлено размерами труб сброса давления, выходящих в бассейны-барботеры. Одновременный разрыв множества топливных каналов привел бы к возникновению Давления, достаточно высокого для того, чтобы функция локализации нарушилась вследствие подъема верхней плиты, в ходе чего произошли бы разрывы остальных технологических каналов.


3. АВАРИЯ

Последовательность событий, описанная в INSAG-1, была воспроизведена на основе информации, представленной советскими учеными на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле, и в ходе обсуждений между советскими учеными и специалистами МАГАТЭ в последующую неделю. In Table. IINSAG-1 и в сопровождающем ее тексте последовательность событий представлена в том виде, как она понималась в то время на основе использования данных станции и компьютерного моделирования. Со времени Венского совещания был выполнен значительный объем дополнительной работы по анализу событий, что привело к новому пониманию физических характеристик реактора РБМК (изложенных в Разделе 2), а также некоторых подробностей хода аварии 26 апреля 1986 года. Это углубленное понимание вызвало необходимость пересмотреть некоторые детали сценария, представленного в INSAG-1, а также изменить некоторые важные выводы.
Подробная хронологическая последовательность событий в том виде, как она представляется в настоящее время, содержится в подготовленных в СССР докладах комиссии Госпроматомнадзора под председательством Н. А. Штейнберга и рабочей группы экспертов СССР под председательством А. А. Абагяна (Приложения I и II). Более того, часть информации в конце табл. I INSAG-1 в значительной степени основывается на представленных в 1986 году результатах компьютерного моделирования, которая впоследствии была заменена информацией на основе результатов более сложного анализа. В Разделе 3 не обсуждается значимость различий в построениях моделей. Упоминаемые ниже моменты времени, события и их значимость соответствуют данным, приведенным в табл. IINSAG-1.

(1) Отключение системы аварийного охлаждения реактора (14 ч 00 мин 00 с, 25 апреля)

В INSAG-1 указывалось, что блокировка системы аварийного охлаждения реактора (САОР) явилась нарушением регламента. Однако полученная в последнее время из Советского Союза информация подтверждает, что блокировка САОР на Чернобыльской АЭС была фактически допустима, если она разрешалась Главным инженером, и что такое разрешение было дано на время проведения испытаний, приведших к аварии, и даже было утверждено в рабочей программе испытаний. ИНСАГ полагает, что этот момент не повлиял на возникновение и развитие аварии.Однако следует признать, что в течение приблизительно 11 часов до аварии реактор эксплуатировался на половинной мощности с заблокированной САОР.
Это можно было бы не рассматривать как нарушение только в случае, если бы 11-часовой период работы на половинной мощности являлся частью запланированных испытаний, что явно было не так. Отключение САОР на этот период и разрешение эксплуатации в течение продолжительного периода времени с выведенной из работы важнейшей системой безопасности указывают на отсутствие культуры безопасности.

(2) Работа реактора на минимально контролируемом уровне мощности реактора (23 ч 10 мин 00 с, 25 апреля)

Содержащееся в INSAG-1 заявление (стр. 15) о том, что "продолжительная эксплуатация на уровне ниже 700 МВт (тепл.) запрещена нормальными процедурами безопасности ввиду проблем теплогидравлической неустойчивости", основывалось на устных заявлениях, сделанных советскими экспертами в ходе дискуссий сразу же после Венского совещания. Фактически же запрещения продолжительной эксплуатации реактора на уровне мощности ниже 700 МВт(тепл.) не содержалось ни в проектной документации, ни в нормативно-регламентационных ограничениях, ни в инструкциях по эксплуатации. Важность, придаваемая этому заявлению в INSAG-1, не оправдана. После происшедшего ясно, что такое запрещение должно было быть применено.

(3) Переход с локального на общее регулирование мощности (00 ч 28 мин 00 с, 26 апреля)

В докладе INSAG-1 указывается, что резкое снижение мощности до 30 МВт (тепл.) обусловлено ошибкой оператора. В последних докладах предполагается, что ошибки оператора не было как таковой; в докладе комиссии Госпроматомнадзора (Приложение I, Разделы 1-4.6, 1-4.7) содержится ссылка на неизвестную причину и невозможность регулировать мощность, а А. С. Дятлов, бывший заместитель главного инженера по эксплуатации Чернобыльской АЭС, в частной беседе ссылается на неисправности в работе системы.

(4) Блокирован сигнал аварийной зашиты по останову турбогенераторов (01 ч 23 мин 04 с, 26 апреля)

В свете новой информации были изменены как время, так и значение блокировки сигнала аварийной защиты по останову турбогенераторов. Это событие произошло скорее в 00 ч 43 мин 27 с, а не в 01 ч 23 мин 04 с, как указано в INSAG-1. Время отключения второго турбогенератора остается неизменным. Этот сигнал аварийной защиты был выведен в соответствии с технологическими регламентами по эксплуатации и рабочей программой испытаний, и комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.4) не поддерживает обвинения, предъявленные эксплуатационному персоналу.
В свете новой информации, касающейся ввода положительной реактивности при аварийном останове реактора, содержащееся в столбце "Значение" табл. I доклада INSAG-1 утверждение о том, что "эта аварийная система спасла бы реактор", представляется необоснованным.

(5) Не соблюден требуемый оперативный запас реактивности (01 ч 00 мин 00 с, 26 апреля)
Последние доклады подтверждают, что в 01 ч 00 мин 00 с 26 апреля минимальный ОЗР был действительно не соблюден и фактически в них заявляется, что этот минимальный ОЗР не соблюдался даже в течение нескольких часов 25 апреля. В соответствии с зарегистрированными данными, вычислительная система СКАЛА, которая использовалась для расчета ОЗР, в период проведения испытаний стала ненадежной. По мнению ИНСАГ, возможно, что во время критической части испытаний оператор не знал значения ОЗР. Вероятно, он сознавал, что продолжение эксплуатации в условиях повышения ксенонового отравления реактора снижает ОЗР. Операторы привыкли к тому, чтобы рассматривать нижний предел ОЗР как необходимый для контроля пространственного распределения энерговыделения в реакторе, но они не знали, что он важен для безопасности ввиду увеличения положительного парового коэффициента по мере уменьшения ОЗР. Они не ощущали необходимости оставить соответствующее число стержней СУЗ в частично погруженном положении, для того чтобы в случае надобности быстро понизить реактивность. Фактически значение уменьшения ОЗР с точки зрения безопасности оказывается гораздо большим, чем было указано в докладе INSAG-1. Весь этот вопрос подробно обсуждается в Разделе 4 настоящего доклада.

(6) Блокированы сигналы аварийной защиты реактора по уровню воды и давлению пара в барабанах-сепараторах (01 ч 19 мин 00 с, 26 апреля)
Недавно полученная информация позволяет предположить, что защита реактора по уровню воды и давлению пара в барабанах-сепараторах была изменена уже в 00 ч 36 мин 26 апреля, а не в 01 ч 19 мин 00 с, как указано в INSAG-1. Однако в соответствии с Приложением I (Раздел 1-4.7.4) "обвинения в блокировке защиты по давлению пара в БС, предъявленные персоналу в официальных материалах, Комиссия [Госпроматомнадзора] не подтверждает".
Это изменение точки зрения основывается на том факте, что в отношении нижнего уровня воды в барабанах-сепараторах предусмотрены два уровня защиты, один с аварийной уставкой на высоте 600 мм и другой обычно на высоте 1100 мм, в зависимости от уровня мощности. Операторы не восстановили защиту по этому уровню и в техническом отношении нарушили пункт 9 "Регламента переключения ключей и накладок технологических защит и блокировок" (в соответствии с докладом комиссии Госпроматомнадзора (Приложение I, Разделы 1-4.7.4, 1-4.7.8)). Однако защита по нижнему уровню воды в барабанах-сепараторах на протяжении события продолжала действовать.


4. АНАЛИЗЫ СЦЕНАРИЯ ОТКАЗОВ, ПРОВЕДЕННЫЕ В ПОСЛЕДНЕЕ ВРЕМЯ

4.1. Scenario
4.2. Оперативный запас реактивности

4.1. СЦЕНАРИЙ
Проведению аналитической работы в конце 1986 года способствовало получение в Вене данных из СССР. Были предоставлены критические данные о конфигурации регулирующих стержней, уровне мощности и пространственном распределении энерговыделения непосредственно перед аварией, а также информация о превалировавших теплогидравлических условиях. Информация о том, что пространственное распределение энерговыделения характеризовалось двугорбой кривой, по-видимому, вначале обусловило мнение о том, что величина положительного парового коэффициента реактивности была несколько меньшей в связи с меньшим облучением топлива на верхней и нижней границах активной зоны.
Некоторые аналитики обнаружили, что в случае пониженных значений парового коэффициента было трудно согласовать временную последовательность событий при разгоне реактора с теми данными, которые были опубликованы советскими учеными на Венском совещании. Поэтому был начат поиск дополнительного механизма, который мог сыграть в этом свою роль. Именно в этой связи стали открыто постулировать наличие положительного выбега реактивности при вводе стержней СУЗ в режиме аварийного останова реактора, причем сначала в некоторых проведенных на западе анализах.
Подробный анализ показал, что реактивность, внесенная вследствие положительного выбега реактивности при аварийном останове реактора, будучи добавленной к той, которая обеспечивалась за счет парообразования в результате повышенного кипения, была достаточной для того, чтобы образовался мощный вызванный скачком реактивности переходной процесс, сравнимый с тем, который был описан на Венском совещании.
Существование эффекта, связанного с положительным выбегом реактивности при аварийном останове реактора, было впервые подтверждено советскими экспертами на конференции по показателям и безопасности ядерной энергетики в Вене в 1987 году (Nuclear Power Performance and Safety (Proc. Conf. Vienna, 1987) 6 vols, IAEA, Vienna (1988). См. литературу [2] к Приложению I, стр. 134.) В докладе комиссии Госпроматомнадзора указывается, что в момент аварии об этом явлении было известно и что впервые оно было обнаружено на реакторе РБМК Игналинской АЭС в Литовской Республике в 1983 году (Приложение I, Раздел 1-3.8). Хотя главный конструктор реакторов РБМК направил эту информацию на другие станции с реакторами РБМК и заявил, что для компенсации этого эффекта необходимы конструктивные изменения, такие изменения реализованы не были, и организационные меры, рекомендованные им для включения в эксплуатационные инструкции станций, приняты не были. По-видимому, существовало широко распространенное мнение, что условия, в которых эффект положительного выбега реактивности при вводе стержней СУЗ окажется важным, никогда не возникнут. Однако они возникли почти со всеми подробностями в ходе действий, приведших к аварии.
В настоящее время в большинстве аналитических исследований тяжесть аварии связывается с недостатками конструкции стержней СУЗ в сочетании с физическими проектными характеристиками, сделавшими возможным непреднамеренное возникновение больших положительных значений парового коэффициента. Аварийный останов реактора непосредственно перед резким скачком мощности, приведшим к разрушению реактора, безусловно, мог явиться решающим фактором, способствовавшим этому.
С другой стороны, особенности реактора РБМК поставили также и другие ловушки для эксплуатационного персонала. Любая из них могла бы в равной мере вызвать событие, инициирующее такую или почти идентичную аварию. Они включали в себя:
—Срыв насосов, нарушение функции перекачки теплоносителя или кавитацию насосов в сочетании с воздействием положительного парового коэффициента. Любая из этих причин могла бы привести к неожиданному усилению эффекта положительного парового коэффициента.
—Разрушение топливных каналов из циркониевого сплава или сварных швов между ними и трубопроводами из нержавеющей стали, вероятнее всего, вблизи входа в активную зону в нижней части реактора.
Разрушение топливного канала явилось бы причиной резкого локального возрастания паросодержания вследствие превращения в пар теплоносителя; это привело бы к локальному росту реактивности, который вызвал бы появление распространяющегося эффекта реактивности.
Таким образом, возникает вопрос: какие же слабые места в конечном счете вызвали аварию?
Есть и второй вопрос: имеет ли в действительности значение то, какой именно недостаток явился реальной причиной, если любой из них мог потенциально явиться определяющим фактором?

4.2. ОПЕРАТИВНЫЙ ЗАПАС РЕАКТИВНОСТИ
ОЗР выражается через число эффективных стержней СУЗ номинальной реактивности, погруженных в активную зону. Это определение не является точным и, по-видимому, операторы плохо понимали важность этой величины для безопасности станции. Было широко распространено мнение, что важность ОЗР основывалась на необходимости иметь в активной зоне число регулирующих элементов, достаточное для маневрирования таким образом, чтобы поддерживать сбалансированное в целом распределение энерговыделения, особенно в свете тенденции к ксеноновой нестабильности в столь большой и имеющей слабые внутренние связи активной зоне. И все же у оператора не было возможности легко узнавать значение ОЗР, и это значение не было также включено в систему защиты реактора. При обсуждении сценария оказалось, что операторам, по-видимому, не известно о другой причине важности ОЗР, которая заключается в том, что он может сильно влиять на паровой и мощностной коэффициенты.
Один из предусмотренных в проекте подходов в отношении предотвращения недопустимо больших значений паровых коэффициентов заключается в повышении обогащения топлива и в компенсации избыточной реактивности введением поглотителей. При первоначальной загрузке активных зон реакторов РБМК эти поглотители были установлены, закреплены в топливных каналах и отделены от системы управления и защиты реактора. При выгорании топлива проектировщики разрешали удалять эти поглотители и увеличивать облучение топлива. Это значительно смещало величины паровых коэффициентов в сторону положительных значений и, кроме того, делало их чрезвычайно восприимчивыми к степени погружения стержней СУЗ. В условиях аварии паровой коэффициент возрос до такой степени, что он стал преобладать над другими компонентами мощностного коэффициента, и сам мощностной коэффициент сделался положительным.
Существует еще одни аспект важности ОЗР для безопасности, которому в целом уделялось слишком мало внимания. Персонал реактора 4 блока Чернобыльской АЭС, по-видимому, считал, что до тех пор, пока выдерживался минимально допустимый ОЗР (15 эффективных стержней), независимо от того, какой была реальная конфигурация этих стержней, требования безопасности удовлетворялись. Это совершенно неверно.
Схема расположения стержней СУЗ может способствовать обеспечению безопасности в случае переходного процесса мощности только тогда, когда уже при первом введении стержня в активную зону после сигнала аварийной защиты он начинает значительно снижать реактивность. Эта возможность может быть обеспечена только в случае, если поглощающие концы стержней находятся в области, в которой неглубокое погружение приводит к относительно большому снижению реактивности. На периферии активной зоны реактора такой области нет. В ходе испытаний, приведших к разрушению реактора, по-видимому, не применялась методика правильного позиционирования стержней.
В докладе комиссии Госпроматомнадзора (Приложение I, Раздел 1-3.8) сообщается, что после того, как в 1983 году на Игналинской АЭС был обнаружен эффект положительного выбега реактивности, организация Главного конструктора проинформировала другие организации и все атомные электростанции с реакторами РБМК о том, что она намеревается ограничить число полностью извлекаемых из активной зоны стержней СУЗ. Однако такие ограничения в действие введены не были и, по-видимому, об этом вопросе забыли.


5. ВЗГЛЯДЫ ИНСАГ
5.1. Design
5.2. Действия персонала
5.3. Система мероприятий по обеспечению безопасности
5.4. Последствия игнорирования недостатков
5.5. Важность компетентного анализа безопасности
5.6. Недостатки режима регулирования
5.7. Общие замечания о недостаточном уровне культуры безопасности
5.8. Итоговая оценка


В предыдущих разделах подробно изложена и проанализирована информация, полученная после совещания 1986 года по рассмотрению причин и последствий аварии в Чернобыле. Цель Раздела 5 заключается в том, чтобы дать замечания по поднятым вопросам с точки зрения необходимости какого-либо пересмотра INSAG-1 и важности новой информации в контексте аварии. Рассматриваются три взаимосвязанных аспекта: конструктивные особенности, действия персонала и общая структура контроля вопросов безопасности.
Следует отметить, что новая информация надежно обоснована в той степени, насколько это возможно в настоящее время. Однако нельзя исключить изменения этой информации в будущем, равно как и изменения восприятия ее значимости.

5.1. DESIGN
Указывался ряд возможных событий, непосредственно инициировавших аварию, причем все они обусловлены конкретными конструктивными особенностями. Вместо того, чтобы вступать в дискуссию, заведомо имея твердое мнение, что вряд ли может пролить новый свет на данный вопрос, ИНСАГ предпочитает рассмотреть те проблемы конструкции, в связи с которыми возникают основные вопросы.
В INSAG-1 повторяется высказанное советскими представителями мнение о том, что основной причиной аварии явился мощный переходной процесс, вызванный скачком реактивности и ставший возможным благодаря положительному мощностному коэффициенту. Общее замечание в INSAG-1 заключалось в том, что в момент, когда безопасность станции подвергается серьезной угрозе, должны включаться автоматические системы безопасности (стр. 81). Предотвращение аварии, связанной с быстрым мощностным коэффициентом, зависело от быстроты действий эксплуатационного персонала; это недопустимо противоречило вышеуказанному фундаментальному принципу проектирования.
Особенностью конструкции станции, вызвавшей обширные комментарии и не отмеченной в первоначальной советской оценке, была неудовлетворительная система аварийного останова, которая предопределила положительный выбег реактивности. Как сейчас представляется, наиболее вероятным окончательным вызвавшим аварию событием явился ввод стержней СУЗ в критический момент испытаний, который усугубил до разрушительного уровня уже существующие ввиду положительного мощностного коэффициента условия. В этом случае авария явилась бы результатом применения сомнительных регламентов и процедур, которые привели к проявлению и сочетанию двух серьезных проектных дефектов конструкции стержней и положительной обратной связи по реактивности.
Положительный выбег реактивности мог произойти только вследствие особого положения стержней СУЗ, а двугорбая кривая распределения энерговыделения указывает на тот факт, что произошел разрыв связи между верхней и нижней половинами активной зоны реактора. Все эти условия превалировали одновременно.
По-видимому, никогда не удастся узнать наверняка, соответствует ли действительности эта версия возникновения аварии. И вряд ли фактически имеет значение то, явился ли положительный выбег реактивности при аварийном останове последним событием, вызвавшим разрушение реактора. Важно лишь то, что такой недостаток существовал и он мог явиться причиной аварии. Заслуживает порицания тот факт, что этот недостаток был известен столь давно и не был устранен. Безусловно, дан ная в INSAG-1 оценка, была бы иной, если бы на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле стало бы известно о таких особенностях стержней СУЗ.
В проекте предусматривалось и в момент подготовки INSAG-1 было четко признано требование о поддержании такой конфигурации регулирующих стержней, которая обеспечивает, по крайней мере, минимально допустимый ОЗР. Если, как было заявлено впоследствии, в пультовой не было эффективных средств информирования операторов об этом параметре, то опять же особенности конструкции сослужили им дурную службу, и в этом случае необходимо изменение первоначального вывода, содержащегося в INSAG-1. В ходе недавних обсуждений ИНСАГ фактически подвергла сомнению концепцию ОЗР, поскольку его определение (см. Раздел 4.2) не дает полной гарантии того, что такая конфигурация регулирующих стержней полностью обеспечивает достаточную защиту реактора.
С учетом нынешних знаний можно было бы еще в большей степени подчеркнуть общее впечатление, создавшееся в момент подготовки INSAG-1. Конструкция предъявляет к системе управления/останова реактора противоречивые требования. С точки зрения оператора, в обычном режиме эта система обеспечивает средства регулирования мощности реактора и коррекции распределения энерговыделения. Система также влияет на значение парового коэффициента, и необходимо произвести отключение реактора в аварийных условиях. Не понятно, почему в нормальных условиях все эти требования не могут быть удовлетворены. Однако действия операторов, которые подняли до верхних концевиков почти все стержни, противоречили одновременным требованиям сохранения возможности выключения реактора и поддержания соответствующих значений мощностного коэффициента (хотя последнее в то время недооценивалось операторами). Возможность противоречия между этими целями является нежелательной конструктивной особенностью, ввиду которой станция стала в чрезмерной степени зависеть от правильности действий оператора. В первом пункте уроков и рекомендаций INSAG-1 содержится общее замечание о том, что "конструкции АЭС должны быть в наиболее возможной степени невосприимчивы к ошибке оператора и к преднамеренному нарушению регламентов безопасности" (стр. 31).
Что касается конкретных характеристик системы выключения реактора, то ИНСАГ в то время определила, что эта система не обладала достаточным быстродействием, и нет оснований изменять эту точку зрения, несмотря на новые мнения о возможных причинах аварии. Еще одно сформировавшееся тогда общее впечатление сейчас еще более укрепилось.
Регламенты, в соответствии с которыми осуществлялось управление реактором, были недостаточно хорошо обоснованы с точки зрения анализа присущих ему свойств безопасности. Фактически это признается во втором пункте уроков и рекомендаций INSAG-1: "Регламенты, относящиеся к эксплуатации АЭС, должны готовиться тщательным образом с уделением постоянного внимания влиянию на безопасность тех или иных намерений" (стр. 31).

5.2. ДЕЙСТВИЯ ПЕРСОНАЛА

5.2.1. Нарушения регламентов
В INSAG-1 особое развитие получила представленная советскими экспертами точка зрения в отношении действий персонала, и здесь целесообразно воспользоваться информацией, ставшей известной в последнее время. В 1986 году в качестве основных причин аварии были указаны конкретные нарушения регламентов. In particular:
—Заявлялось, что длительная эксплуатация реактора на уровнях мощности ниже 700 МВт(тепл.) запрещена. Это заявление основывалось на неправильной информации. Такое запрещение должно было существовать, однако в тот момент его не было.
—Восемь главных циркуляционных насосов работали на полной мощности и, по-видимому, расход нескольких из них превышал предписанные значения. ИНСАГ высказала мнение, что такой режим эксплуатации был неправильным. Комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.7) в докладе сообщает, что одновременная эксплуатация всех восьми насосов никаким документом, включая рабочую программу испытаний, не запрещалась, хотя превышения расходов, когда они возникали, являлись нарушением технологического регламента. Этот вопрос связан с вопросом о недогреве, изложенном в Разделе 5.2.3.
—В INSAG-1 указывалось, что эксплуатация при слишком низком ОЗР являлась нарушением требований. И сейчас ИНСАГ повторяет, что нарушение имело место, но оно оказалось важным по причинам, отличным от тех, которые были .приняты ранее. Это привело к повышенным значениям парового коэффициента, а также к такому положению стержней СУЗ, в котором они не только потеряли эффективность, но и стали оказывать разрушительное воздействие.
—В INSAG-1 указывалось, что во время испытаний в Чернобыльской АЭС были отключены три компонента защиты реактора. Вопреки тому, что было указано в INSAG-1, имеющаяся в настоящее время информация позволяет предположить следующее:
•Отключение САОР на Чернобыльской АЭС, в принципе, не было запрещено регламентом нормальной эксплуатации. ИНСАГ понимает, что это было требованием графика испытаний, и в соответствии с правилами от Главного инженера было получено специальное разрешение на такое отключение. В любом случае не было необходимости отключать САОР на столь продолжительный период времени. ИНСАГ считает, что отключение не повлияло на возникновение аварии, но явилось свидетельством низкого уровня культуры безопасности.
•Блокировка сигнала аварийного останова реактора по уровню воды и давлению пара в барабанах-сепараторах могла бы быть допустимой, однако этого не произошло; ИНСАГ считает, что это не повлияло бы на возникновение аварии, и к тому же в любом случае существовала другая система защиты.
•Блокировка сигнала аварийной зашиты по останову "двух турбогенераторов" была разрешена≫ и в действительности требовалась регламентами по нормальной эксплуатации на низких уровнях мощности, таких, как уровень мощности при рассматриваемых испытаниях. При любом случае блокировка этого сигнала, безусловно, могла вызвать разрушение реактора скорее во время аварийного останова турбогенератора, а не вскоре после него.

ИНСАГ хотела бы сделать дополнительное замечание о том, что, хотя все это может быть и так, следует отметить довольно легкомысленное отношение к блокировке защиты реактора как технологического регламента по эксплуатации, так и операторов; об этом свидетельствует продолжительность времени, в течение которого была отключена САОР, при работе реактора на половинной мощности.

5.2.2. Отступления от рабочей программы испытаний
Не оспаривается тот факт, что испытания были начаты на уровне мощности (200 МВт(тепл.)), который заведомо ниже предписанного в рабочей программе испытаний. Некоторые из недавних замечаний, адресованных ИНСАГ, сводятся к аргументу, что это было допустимо, поскольку ничто в регламенте по нормальной эксплуатации не запрещало этого. Однако факты таковы, что:
—рабочая программа испытаний была изменена только для этого случая;
—причиной этого явилась неспособность операторов восстановить уровень мощности, на котором должны были проводиться испытания;
—это произошло из-за установившегося состояния реактора ввиду его предшествующей работы на половинной мощности и последующего провала мощности до весьма низких уровней;
—в результате, когда начались испытания, расположение регулирующих стержней, распределение энерговыделения в активной зоне и теплогидравлические условия были такими, что реактор оказался в весьма неустойчивом нерегламентном состоянии.

Когда мощность реактора не удалось восстановить до требуемого уровня 700 МВт(тепл.), эксплуатационный персонал не остановился и не обдумал создавшееся положение, а сразу же изменил условия испытаний таким образом, чтобы они соответствовали их мнению относительно существовавших в тот момент условий.
При проведении испытаний на атомной электростанции весьма важной является хорошо запланированная рабочая программа таких испытаний. Эта программа должна строго выполняться. Если в процессе испытаний оказалось, что исходная программа неудовлетворительна или не может осуществляться как запланировано, то испытания должны быть прекращены, и следует осуществить оценку любых предусматриваемых изменений на основе тщательно запланированного заранее процесса.

5.2.3. Другие недостатки культуры безопасности
Предшествующее обсуждение во многих случаях указывает на недостаточный уровень культуры безопасности. Критика недостаточной культуры безопасности была одной из главных тем INSAG-1, и нынешнее рассмотрение не уменьшает остроты этой проблемы. Стоит подчеркнуть два уже упомянутых примера, поскольку они имеют отношение к особым способностям, требуемым при эксплуатации реактора.
Реактор эксплуатировался в режиме кипения теплоносителя в активной зоне и в то же время с незначительным или нулевым недогревом на всасе насосов и на входе в активную зону. Такой режим работы сам по себе мог привести к разрушительной аварии, подобной той, которая в конце концов и произошла, учитывая характеристики положительной обратной связи по реактивности реактора РБМК. То, что не признавалась необходимость избегать такой ситуации, указывает на недостатки, выразившиеся в эксплуатации атомной электростанции без тщательного и скрупулезного анализа безопасности, в условиях, когда персонал не был ознакомлен с результатами такого анализа безопасности и не проникся духом культуры безопасности.
Это последнее замечание особенно уместно в отношении второго момента, который касается эксплуатации реактора в условиях, когда очти все стержни СУЗ выведены в положения, в которых они оказываются неэффективными с точки зрения быстрого снижения реактивности, если неожиданно потребуется заглушить реактор. Сознание необходимости избегать такой ситуации должно быть второй натурой всех ответственных лиц из числа эксплуатационного персонала и всех проектировщиков, ответственных за разработку инструкций по эксплуатации станции.

5.3. СИСТЕМА МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ
Основное внимание в INSAG-1 было уделено непосредственным вопросам чернобыльской аварии, и в нем содержится мало ссылок на структуру регулирования и общую систему мероприятий по обеспечению безопасности, в рамках которой эксплуатировалась станция. С тех пор прояснился рад вопросов и были вынесены суждения, на основе которых сейчас можно представить более широкие оценки.
Комиссия Госпроматомнадзора (Приложение I, Раздел 1-3) сравнивала проект 4 блока АЭС с действовавшими в момент проектирования требованиями безопасности, заявляя, что 9 проекте имеются существенные отступления от установленных норм. ENSAG отмечает, что некоторые вопросы, поднятые в докладе комиссии Госпроматомнадзора, отражают ее собственную озабоченность.
Этот вопрос дополнительно обсуждается в следующих ниже разделах.

5.4. ПОСЛЕДСТВИЯ ИГНОРИРОВАНИЯ НЕДОСТАТКОВ
В Приложениях I и П указывается, что важные проблемы проекта Чернобыльской АЭС, признанные в настоящее время, фактически признавались еще до аварии. ИНСАГ отмечает наблюдения, сделанные на Игналинской АЭС в 1983 году, когда возможность ввода положительной реактивности при останове реактора стала очевидной, и событие на Ленинградской АЭС в 1975 году, которое в ретроспективе показало, что события, вызываемые локальной обратной связью по реактивности, могут вызвать повреждение реактора. Эти два события указывали на существование недостатков в проекте. Хотя эти события имели сходство с событиями, потенциально приводящими к аварии, их тщательного анализа явно не проводилось. Вызывает большую озабоченность то, что эта важная информация не рассматривалась надлежащим образом, а в случаях, когда она распространялась среди проектировщиков, операторов и лиц, ответственных за регулирование, ее значимость не была полностью осознана и эта информация по существу игнорировалась.

5.5. ВАЖНОСТЬ КОМПЕТЕНТНОГО АНАЛИЗА БЕЗОПАСНОСТИ
Независимое техническое рассмотрение и анализ безопасности являются краеугольным камнем удовлетворительного режима безопасности, и в этой связи ИНСАГ полагает, что проектированию и эксплуатации 4 блока Чернобыльской АЭС, а также других реакторов РБМК должно было уделяться значительно больше внимания. В ходе такого рассмотрения недостатки проекта, безусловно, обнаружились бы. Явившееся результатом такого рассмотрения углубленное понимание процессов в сочетании с режимом, требующим независимого и официального утверждения изменений, связанных с безопасностью аспектов проекта и технологических регламентов по эксплуатации, в значительной мере способствовало бы предотвращению аварии в целом. Даже помимо очевидной присущей ему изначальной ценности, компетентный анализ безопасности помогает создать обстановку внимательного отношения к безопасности как к первостепенной задаче. Этот принцип предопределяет важность эффективной передачи операторам знаний, полученных в результате выполнения анализа безопасности.

5.6. НЕДОСТАТКИ РЕЖИМА РЕГУЛИРОВАНИЯ
5.6.1. Общие недостатки
Обеспечение безопасности вопреки неизбежному давлению в связи с необходимостью выполнять производственные задания требует приверженности эксплуатирующей организации цепям безопасности и прочного и независимого режима регулирования, который надлежащим образом финансируется, имеет поддержку на правительственном уровне и обладает всеми необходимыми полномочиями по контролю за соблюдением требований. В момент аварии такого рода режима в СССР не существовало.
ИНСАГ было сообщено, что регулирующий режим был неэффективен во многих важных областях, таких, как анализ безопасности при проектировании и эксплуатации станций, в отношении требований к подготовке кадров и внедрения культуры безопасности и оказания ей содействия, а также контроля за соблюдением правил. Он не функционировал в качестве независимого компонента в деле обеспечения безопасности.

5.6.2. Доклад комиссии Госпроматомнадзора
В докладе комиссии Госпроматомнадзора (Приложение I) содержится обширная информация, в которой подчеркивается отсутствие эффективного режима ядерного регулирования на протяжении многих лет до аварии. Технический проект реакторной установки РБМК был утвержден, несмотря на несоответствие многим требованиям, предъявляемым к проектированию атомных электростанций в СССР.

5.7. ОБЩИЕ ЗАМЕЧАНИЯ О НЕДОСТАТОЧНОМ УРОВНЕ КУЛЬТУРЫ БЕЗОПАСНОСТИ
В своем докладе о чернобыльской аварии ИНСАГ ввела новый термин "культура безопасности", описывающий режим безопасности, который должен существовать на атомной станции. В последующем докладе, INSAG-4, озаглавленном "Культура безопасности"3, в котором это понятие развивалось, ИНСАГ проследила развитие культуры безопасности от ее изначального закрепления в национальном правовом режиме, связанном с ядерной безопасностью. Это устанавливает надлежащую цепочку ответственности и полномочий для требуемого уровня безопасности. Культура безопасности как в отношении режима эксплуатации, так и регулирования должна прививаться в организациях путем надлежащего отношения к делу и практики руководства. В предыдущем обсуждении неоднократно указывалось, что режим эксплуатации на Чернобыльской АЭС отличался недостаточным уровнем культуры безопасности. В соответствии со взглядами, изложенными в INSAG-4, ИНСАГ в настоящее время подтверждает мнение о том, что в СССР до чернобыльской аварии на АЭС не было надлежащей культуры безопасности. Многие из требований культуры безопасности, по-видимому, существовали в правилах, но не внедрялись на практике. Многих других необходимых характеристик не существовало вообще. В местную практику на атомных станциях, а практика на Чернобыльской АЭС, как можно полагать, не отличалась от других, не входили элементы культуры безопасности.

5.8. ИТОГОВАЯ ОЦЕНКА
Рассматривая информацию, ставшую известной после Совещания по рассмотрению причин и последствий аварии в Чернобыле, ИНСАГ приходит к выводу, что факторы, приведшие к аварии, следует искать в особенностях средств безопасности конструкции (проекта), действиях персонала, общей системе мероприятий по обеспечению безопасности и структуре регулирования. В связи с нынешним восприятием событий существует необходимость сместить акцент таким образом, чтобы он в большей степени касался недостатков средств безопасности конструкции, о которых говорилось в INSAG-1, а также признать проблемы, обусловленные структурой, в рамках которой осуществлялась эксплуатация станции. Однако ИНСАГ по-прежнему придерживается мнения о том, что во многих отношениях действия персонала были неудовлетворительными.


6. ВЫВОДЫ В ОТНОШЕНИИ ФАКТОРОВ, СПОСОБСТВОВАВШИХ РАЗВИТИЮ АВАРИИ

(1) Была рассмотрена информация, ставшая известной в отношении аварии на 4 блоке Чернобыльской АЭС после 1986 года. При рассмотрении применялся весьма осторожный подход с учетом того, что при поступлении новой информации картина может вновь измениться. Однако, представляется, что основные контуры проблем в настоящее время приобретают ясность.

(2) В 1986 году ИНСАГ выпустила свой доклад INSAG-1, в котором обсуждалась чернобыльская авария и ее причины на основе информации, представленной советскими компетентными органами Совещанию по рассмотрению причин и последствий аварии в Чернобыле, состоявшемуся в августе 1986 года. Ставшая сейчас известной новая информация повлияла на взгляды, представленные в INSAG-1, таким образом, что основное внимание сместилось на аспекты, связанные с конкретными особенностями конструкции (проекта), включая конструкцию стержней СУЗ и систем безопасности, а также на то, как важная для безопасности информация доводилась до сведения персонала.
В настоящее время представляется, что авария явилась следствием совпадения следующих основных факторов:
— специфических физических характеристик реактора;
— специфических особенностей конструкции органов управления реактором;
— и того факта, что реактор был выведен в состояние, не оговоренное регламентом и не исследованное независимым органом по вопросам безопасности.
Наиболее важным представляется то, что именно физические характеристики реактора обусловили его неустойчивое поведение.

(3) Две произошедшие ранее аварии на реакторах РБМК, одна на Ленинградской АЭС (1 блок в 1975 году) и повреждение топлива на Чернобыльской АЭС (1 блок в 1982 году), уже выявили серьезные слабости в характеристиках в эксплуатации энергоблоков РБМК. Авария на 1 блоке Ленинградской АЭС даже рассматривается некоторыми как предвестник чернобыльской аварии. Однако уроки, извлеченные из этих аварий, свелись главным образом лишь к весьма ограниченным изменениям конструкции или усовершенствованиям практики эксплуатации. Ввиду отсутствия связи и обмена информацией между различными эксплуатирующими организациями эксплуатационному персоналу Чернобыльской АЭС не было известно о характере и причинах аварии на 1 блоке Ленинградской АЭС.

(4) Достоверно не известно, с чего начался скачок мощности, приведший к разрушению реактора Чернобыльской АЭС. Определенная положительная реактивность, по-видимому, была внесена в результате роста паросодержания при падении расхода теплоносителя. Внесение дополнительной положительной реактивности в результате погружения полностью выведенных стержней СУЗ в ходе испытаний явилось, вероятно, решающим приведшим к аварии фактором. Этот последний эффект был результатом недоработки конструкции стержней, характер которого был обнаружен на Игналинской АЭС в 1983 году. Однако после обнаружения этого дефекта на Игналинской АЭС положение исправлено не было, никаких мер по компенсации принято не было и эксплуатирующим организациям впоследствии никакой информации не направлялось.

(5) Можно сказать, что авария явилась следствием низкой культуры безопасности не только на Чернобыльской АЭС, но и во всех советских проектных, эксплуатирующих и регулирующих организациях атомной энергетики, существовавших в то время. Культура безопасности, детально рассмотренная в INSAG-4 (см. сноску 3), требует полной приверженности делу обеспечения безопасности, которая на атомных электростанциях формируется главным образом отношением к этому руководителей организаций, участвующих в их проектировании и эксплуатации. В этой связи оценка чернобыльской аварии показывает, что недостаточная культура безопасности была присуща не только этапу эксплуатации, но также, и не в меньшей степени, деятельности на других этапах жизненного цикла атомных электростанций (включая проектирование, инженерно-технические разработки, сооружение, изготовление и регулирование).

(6) Тем самым уменьшается значение, которое придавалось в 1986 году в INSAG-1, представленной на Венском совещании точке зрения советских специалистов, почти полностью возложивших вину на действия эксплуатационного персонала. Некоторые действия персонала, которые в INSAG-1 были классифицированы как нарушения правил, фактически не являлись нарушениями. И все же ИНСАГ по-прежнему придерживается мнения о том, что критические действия персонала были в основном ошибочными. Как указывается в INSAG-1, человеческий фактор следует по-прежнему считать основным элементом среди причин аварии. Низкое качество регламентов и инструкций по эксплуатации и их противоречивый характер явились тяжелым бременем для эксплуатационного персонала, включая Главного инженера. Следует также отметить, что тип и количество контрольно-измерительной аппаратуры, а также компоновка пультовой затрудняли обнаружение небезопасных состояний реактора. Тем не менее правила эксплуатации были нарушены, и стержни СУЗ были установлены так, что это поставило бы под угрозу аварийную защиту реактора даже в случае, если бы конструкция стержней не была ошибочной по причине упомянутого выше эффекта положительного выбега реактивности при аварийном останове реактора. Наибольшего осуждения заслуживает то, что неутвержденные изменения в программу испытаний были сразу же преднамеренно внесены на месте, хотя было известно, что установка находится совсем не в том состоянии, в котором она должна была находиться при проведении испытаний.

(7) Настоящим докладом ИНСАГ не отменяет доклад INSAG-1, как и не изменяет выводы того доклада, за исключением ясно указанных здесь случаев. Хотя взгляды ИНСАГ в отношении факторов, способствовавших развитию аварии, изменились, многие другие выводы INSAG-1 остались неизменными.

(8) Подводя итоги, следует отметить, что новая информация выявила ряд более широких проблем, внесших вклад в возникновение аварии.
These include:
— установка фактически не соответствовала действовавшим нормам безопасности во время проектирования и даже имела небезопасные конструктивные особенности;
— недостаточный анализ безопасности;
— недостаточное внимание к независимому рассмотрению безопасности;
— регламенты по эксплуатации надлежащим образом не обоснованы в анализе безопасности;
— недостаточный и неэффективный обмен важной информацией по безопасности как между операторами, так и между операторами и проектировщиками;
— недостаточное понимание персоналом аспектов их станции, связанных с безопасностью;
— неполное соблюдение персоналом формальных требований регламентов по эксплуатации и программы испытаний;
— недостаточно эффективный режим регулирования, оказавшийся не в состоянии противостоять требованиям производственной необходимости;
— общая недостаточность культуры безопасности в ядерных вопросах как на национальном, так и на местном уровне.


ДОПОЛНЕНИЕ: меры по повышению безопасности АЭС с реакторами РБМК.
Сообщается, что сразу же после чернобыльской аварии были разработаны организационные и технические мероприятия по повышению безопасности эксплуатации действующих АЭС с реакторами РБМК. Они включали в себя введение ограничений на остальных АЭС с реакторами РБМК, осуществление изменений, которые ранее рассматривались как необходимые, и другие изменения, которые были явно полезными с точки зрения безопасности.
Во-первых, ИНСАГ было сообщено, что разработаны и внедрены мероприятия, направленные на:
— уменьшение положительного парового (пустотного) коэффициента
реактивности и влияния полного запаривания активной зоны на реактивность;
— повышение скоростной эффективности аварийной защиты;
— внедрение новых программ расчета оперативного запаса реактивности с цифровой индикацией его текущей величины на пульте оператора;
— предотвращение возможности отключения аварийных защит при работе реактора на мощности путем введения требования эксплуатационного предела и внедрения двухкнопочной системы отключения защиты;
— исключение режимов, приводящих к снижению температурного запаса до кипения теплоносителя на входе в реактор (это касается вопроса надлежащего недогрева на входе в активную зону).

ИНСАГ было также сообщено, что снижение парового коэффициента реактивности было обеспечено установкой в активную зону дополнительных фиксированных поглотителей (до 90 штук) и путем перевода всех реакторов РБМК на топливо с обогащением 2,4% по 23SU. На всех реакторах мощностью 1000 МВт(эл.) было добавлено такое количество более высокообогащенного топлива, которое необходимо для компенсации влияния дополнительных фиксированных поглотителей, и планируется завершить переход на использование только более высокообогащенного топлива. В связи с этим ИНСАГ отмечает, что польза от повышения обогащения топлива будет сохранена только в том случае, если не увеличивать глубину выгорания топлива по сравнению с той, которая имела место в прошлом. Если повышенное обогащение топлива использовать для продления срока его службы, то топливо в конце цикла будет содержать меньше 235U и больше 239Ри и это будет способствовать увеличению положительного парового коэффициента.
Заявляется, что ОЗР был таким образом увеличен до уровня 43-48 (в зависимости от реактора) стержней ручного регулирования СУЗ. ИНСАГ было сообщено, что имевшиеся стержни СУЗ были заменены стержнями новой конструкции, исключающими столбы воды в нижней части каналов и имеющими более длинную поглощающую часть.
ИНСАГ было сообщено, что скорость ввода стержней СУЗ была повышена, причем время полного погружения стержней в активную зону уменьшено с 18 до 12 секунд.
ИНСАГ было сообщено, что на всех действующих реакторах внедрена система быстродействующей аварийной защиты (БАЗ). Эта система включает 24 дополнительных стержня аварийной защиты. БАЗ при необходимости обеспечивает ввод отрицательной реактивности более 20 (где 0 —доля запаздывающих нейтронов) за время менее 2,5 секунды. Значение 2/3 было рассчитано на основе консервативных предположений и перекрывает любую дополнительную реактивность, которая может возникнуть в связи с полной потерей теплоносителя в реакторе. ИНСАГ сообщено, что в настоящее время все реакторы РБМК оснащены системой БАЗ.
Мероприятия по снижению парового коэффициента и увеличению скорости снижения реактивности при срабатывании аварийной защиты могли бы также оказаться полезными в связи с неконтролируемым скачком мощности в случае обезвоживания активной зоны.
ИНСАГ было сообщено, что эксплуатационная документация была откорректирована с учетом уроков, извлеченных из чернобыльской аварии, и осуществления мероприятий по повышению безопасности РБМК. В число новых входит положение, согласно которому в настоящее время для эксплуатации реакторов РБМК в стационарном режиме установлен более низкий предел мощности, равный 700 МВт(тепл.).
Было сообщено, что приняты также другие меры в целях более эффективного смягчения последствий аварии. Они изложены в докладе Рабочей группы экспертов СССР (Приложение П).