Тематическое исследование: авария на острове Три мили и ее инженерные уроки

Авария на блоке 2 Три-Майл-Айленд (TMI-2) 28 марта 1979 года остается самым значительным событием в истории коммерческой ядерной энергетики США. Она разворачивалась в течение напряженного 16-часового периода, что привело к частичному расплавлению ядра реактора и заставило коренные изменения в том, как ядерная промышленность приближается к безопасности, операциям и регулированию. Уроки, полученные из TMI-2, выходят далеко за рамки ядерной инженерии, предлагая прочные принципы для любой технологической системы высокого риска. В этом расширенном тематическом исследовании рассматривается хронология аварии & #8217; , коренные причины, технические и человеческие сбои и радикальные реформы, которые она катализировала.

Ядерная энергетика в конце 1970-х годов

В 1979 году в США было эксплуатируется около 70 коммерческих ядерных реакторов, ещё много строится. Промышленность быстро росла с середины 1960-х годов, чему способствовало обещание дешевого, надёжного и чистого электричества. Атомная станция Три-Майл-Айленд, расположенная на реке Сусквеханна близ Харрисбурга, штат Пенсильвания, состояла из двух реакторов на воде под давлением (PWR), спроектированных Babcock & Wilcox. Блок 1 работал с 1974 года; Блок 2 начал коммерческую эксплуатацию в декабре 1978 года, всего за три месяца до аварии.

Преобладающая философия безопасности опиралась на глубину обороны: многочисленные барьеры и избыточные системы для предотвращения или сдерживания радиоактивных выбросов. Однако обучение операторов и инженерия человеческих факторов не поспевали за сложностью этих систем. Авария выявила бы критические пробелы между предположениями о конструкции и реальным оперативным поведением.

Хронология несчастного случая

Оригинальное название: Loss of Feedwater

В 4:00 28 марта 1979 года на вторичной (нерадиоактивной) стороне завода ТМИ-2 началась серия мероприятий. Сопровождение экипажа осуществляло очистку закупорки в системе полировки конденсата, набор фильтров, используемых для очистки воды, возвращающейся из турбинного конденсатора. Влажность вошла в приборную систему воздуха завода’, в результате чего несколько клапанов вышли из строя, в том числе насосы для подачи воды’ основные клапаны управления. В результате насосы для подачи воды автоматически сработали (заглушились).

Потеря подводной воды означала, что парогенераторы больше не могли удалять тепло из теплоносителя реактора. Турбина автоматически сработала, а сам реактор застрял (затормозил) секунды спустя. Контрольные стержни, вставленные в ядро для остановки ядерной цепной реакции, но топливо все еще производило значительное тепло распада & #8212; около 6-7% полной мощности сразу после отключения, постепенно уменьшаясь в течение часов и дней.

Застрявший открытый клапан помощи

Когда реактор потерял нормальное теплоотвод, давление в первичной системе охлаждающей жидкости начало повышаться. Пилотный клапан сброса (PORV) на герметизаторе открылся автоматически для снятия избыточного давления, как это было спроектировано. Однако, когда давление упало до нормального, PORV не удалось закрыть. Он оставался застрявшим открытым, позволяя высокотемпературному хладагенту высокого давления выходить из первичной системы в резервуар для слива охлаждающей жидкости реактора, а затем, когда он переполнился, на пол здания сдерживания.

Показатели диспетчерской давали противоречивые сигналы. Свет на панели показывал, что электрический сигнал для закрытия клапана был отправлен, но прямого указания фактического положения клапана не было. Операторы ошибочно полагали, что клапан закрылся, потому что свет выключился. Отдельный температурный указатель на дренажной линии показал бы повышение температуры от убегающего охлаждающего вещества, но этот индикатор не был заметно отображен и, вероятно, был пропущен во время начального хаоса.

Оператор неправильное толкование и основной ущерб

В последующие минуты система охлаждения реактора продолжала выпускать воду. Уровень герметизатора, который обычно указывает на запасы воды в системе, поднялся до аномально высокого показания. Это произошло потому, что пар образовался в ядре и давил систему, толкая воду в герметизатор. Операторы были обучены поддерживать уровень герметика & #8212; они полагали, что высокий уровень означал слишком много воды, поэтому они уменьшили аварийный поток подачей воды и в конечном итоге отключили насосы высокого давления.

Это была критическая ошибка. Повышение уровня герметизатора было вводящим в заблуждение симптомом; реактор фактически терял массу охлаждающей жидкости. За счет уменьшения потока HPI операторы позволили раскрыть ядро. Без адекватного охлаждения топливные стержни перегрелись, их циркониевая облицовка реагировала паром на получение водорода, а топливные гранулы расплавились. В течение следующих нескольких часов расплавилось около половины ядра реактора и некоторый расплавленный материал, собранный на дне корпуса реактора.

К счастью, сам сосуд остался целым, предотвратив более катастрофический выброс радиоактивного материала.

Измерения, предназначенные для определения температуры ядра, не были доступны операторам в режиме реального времени. Внутренние термопары не были подключены к дисплею дисплея диспетчерской. Анализ безопасности завода и No 8217 не предполагал, что операторы не смогут распознать аварию с небольшим разрывом охлаждения (LOCA).

Водородный пузырь и изолированность

Во время обнаружения и плавления ядра в результате реакции циркония-пара образовался водородный газ. Взрыв водорода произошел внутри здания сдерживания около 2:00 вечера, через четыре часа после первоначального события. Взрыв зарегистрирован на сейсмических инструментах, но не нарушил структуру сдерживания. Позже внутри самого корпуса реактора был обнаружен водородный пузырь, что вызвало опасения возможного взрыва, который может разорвать первичную петлю. Обширный анализ, в том числе экспериментальные испытания на других объектах, в конечном итоге показал, что пузырь содержал недостаточно кислорода, чтобы быть взрывоопасным.

К концу первого дня завод был стабилизирован. Аварийные системы охлаждения ядра в итоге были перезапущены, а ядро взято под контроль. Однако публичный выброс небольших количеств радиоактивных газов вместе с запутанными официальными заявлениями и сообщениями СМИ породили широкую панику. Губернатор Пенсильвании Ричард Торнбург рекомендовал эвакуировать беременных женщин и детей дошкольного возраста в радиусе пяти миль, и около 140 000 человек добровольно покинули район.

Коренные причины: отказ системной инженерии

Дизайн оборудования и надежность

Застрявший PORV был известной проблемой надежности. Babcock & Wilcox испытал аналогичные сбои на других заводах, но промышленность не реализовала корректирующие действия. Режим отказа клапана (застрял открытым) в сочетании с отсутствием индикатора положительного положения был фундаментальным конструктивным недостатком. Показатели температуры на линии водостока вниз по течению, которые могли бы предупредить операторов об открытом клапане, не были эффективно отображены в диспетчерской.

Показатели уровня давителя были разработаны для нормальной работы, а не для диагностики LOCA. Колея уровня была расположена в положении, которое позволяло операторам легко неправильно интерпретировать во время переходного периода. Вся философия приборов и управления отдавала приоритет предотвращению непреднамеренного избыточного давления, а не обнаружению небольших утечек.

Человеческие факторы и недостатки обучения

Обучение операторов на TMI-2 и во всей отрасли в 1979 году было сосредоточено в основном на нормальных операциях и крупноразрывных LOCA. Малоразрывные LOCA считались менее вероятными и получали меньше внимания. Симуляторы не воспроизводили специфическую переходную подпись застрявшего открытого PORV. Операторы не были обучены распознавать симптомы небольших утечек охлаждающей жидкости или понимать, что повышение уровня герметизатора может указывать на потерю массы охлаждающей жидкости (из-за образования пустоты в ядре).

Сама планировка диспетчерской способствовала путанице. Сигналы тревоги заполонили панели; в течение первых 10 минут мероприятия операторы столкнулись с лавиной тревог, многие из которых были неактуальны. Система сигнализации не имела приоритизации, что затрудняло выявление наиболее важной информации. Ключевые показатели, такие как температура водосточных линий, располагались на задней панели диспетчерской, вне обычной линии видимости.

Организационные вопросы и вопросы культуры безопасности

До TMI-2 ядерная промышленность не развивала устойчивую культуру безопасности. Была тенденция предполагать, что системы безопасности будут работать так, как задумано, и что операторы будут правильно следовать процедурам. Анализ первопричин редко проводился на незначительных инцидентах. Регуляторный надзор был фрагментирован, с Комиссией по атомной энергии & #8217; регулирующие функции были переданы новой Комиссии по ядерному регулированию (NRC) в 1975 году, но сдвиг в культуре все еще находился в зачаточном состоянии.

Расследование аварии, проведенное Комиссией президента по аварии на острове Три Мили (Комиссия Кемени) во главе с 8217, пришло к выводу, что фундаментальной проблемой была & #8220; люди, связанные & #8221; а не оборудование. Комиссия заявила: & #8220; Мы убеждены, что авария, подобная Три-Майл-Айленду, в конечном итоге была неизбежной. & #8221;

Инженерные уроки, которые выучили

Увольнение и разнообразие систем безопасности

Хотя в системе TMI-2 были избыточные системы впрыска безопасности, операторы’ решение об их дроссельной заслоне сделало избыточность бессмысленной. Урок заключался в том, что избыточность должна быть сопряжена с четкими процедурами и пониманием оператора. Кроме того, авария продемонстрировала, что необходимы различные средства обнаружения критических параметров— такие как несколько независимых способов измерения запасов охлаждающей жидкости—.

Дизайн человеко-центрированной комнаты управления

После TMI-2 промышленность вложила значительные средства в усовершенствования диспетчерской. Отличительные системы сигнализации с приоритетным объявлением и подавлением несущественных сигналов тревоги стали стандартными. Добавление прямого указания для критических положений клапана (таких как статус PORV) и использование систем отображения параметров безопасности (SPDS) позволило операторам быстро увидеть общее состояние безопасности завода & #8217. NRC поручил подробные обзоры человеческих факторов для всех лицензированных заводов.

Реалистичные тренировки операторов и симуляторы

Наиболее прямым результатом стало создание в 1979 году Института операций в ядерной энергетике (ИНПО), который установил общеотраслевые стандарты обучения. ИНПО разработала аккредитованные учебные программы, в которых используются полноразмерные тренажеры, способные имитировать широкий спектр переходных процессов, включая мелкоразрывные LOCA и отказы приборов. Операторы теперь проходят регулярные переквалификационные экзамены и участвуют в реалистичных аварийных учениях. Введена концепция “ управление ресурсами экипажа” (аналогично авиации), подчеркивающая связь, принятие решений и командную работу в диспетчерской.

Эффективность подтверждения и сдерживания в глубине обороны

TMI-2 подтвердила, что здание, в котором размещались контейнеры, является окончательным барьером. Несмотря на сильный расплав ядра и взрыв водорода, структура, в которой хранились материалы, и подавляющее большинство радиоактивных материалов остались внутри. Анализ безопасности после аварии показал, что давление в здании, в котором размещались контейнеры, не было превышено и что не произошло значительного радиологического выброса за пределами объекта. Это усилило важность целостности контейнеров и привело к повторному изучению характеристик контейнеров для аварий, не связанных с проектированием.

Руководящие принципы управления тяжелыми авариями

До TMI-2 промышленность предполагала, что аварии на расплаве ядер были настолько маловероятны, что не требовались конкретные процедуры. После аварии коммунальные службы разработали строгие руководящие принципы управления несчастными случаями (SAMGs) для решения сценариев, связанных с деградировавшими ядрами, производством водорода и проблемами сдерживания. Эти руководящие принципы теперь необходимы для всех атомных электростанций США.

Регулирование и отраслевой пересмотр

Создание ИНПО

Атомная энергетика, признавая, что общественное доверие требует фундаментальных изменений, учредила ИНПО в 1979 году. ИНПО является некоммерческой организацией, которая устанавливает стандарты эффективности, проводит независимые оценки и делится опытом работы среди коммунальных предприятий-членов. Это не регулирующий орган, но его оценки являются строгими и могут влиять на положение и способность коммунальных услуг и No 8217. Образование ИНПО & No 8217 представляет собой переход от чисто внешнего регулирования к сочетанию внутренних отраслевых программ передового опыта и надзора NRC.

Реформы NRC

СРН действовал быстро после ТМИ-2. Он ввел серию планов действий TMI и 8220 и 8221, охватывающих более 150 пунктов. Ключевые изменения в нормативных актах включали:

Международный эффект

Международное агентство по атомной энергии (МАГАТЭ) укрепило свои стандарты безопасности и создало систему отчетности о происшествиях (IRS), чтобы делиться уроками между странами. Многие страны усилили свои собственные нормативные рамки и потребовали принятия серьезных мер по смягчению последствий несчастных случаев.

Наследие острова Три Мили

Общественное восприятие и ядерная промышленность’s Упадок

Три Майл-Айленд нанесли серьезный удар по общественному доверию к ядерной энергетике в Соединенных Штатах. Хотя никаких смертей или травм не произошло, путаница и противоречивая информация во время чрезвычайной ситуации вызвали сильный страх. Авария фактически остановила рост ядерной промышленности США. После 1978 года не было размещено новых заказов на атомные станции, и многие запланированные заводы были отменены. В информационном бюллетене NRC & #8217 отмечается, что авария положила конец быстрому расширению ядерной энергетики в стране.

Достижения в технологии безопасности

Современные конструкции реакторов, такие как AP1000 и Европейский реактор под давлением, включают в себя уроки TMI-2. Эти конструкции включают пассивные системы безопасности (основанные на гравитации, естественной циркуляции и сжатом газе вместо активных насосов), упрощенные приборы, цифровые системы управления с оптимизацией человеческих факторов и функции сдерживания для обработки водорода, произведенного во время серьезных аварий. Всемирная ядерная ассоциация подчеркивает, что TMI-2 был катализатором этих инноваций.

Новые конструкции реакторов и урок прозрачности

Помимо аппаратного обеспечения, авария научила важности прозрачной, ясной и своевременной связи во время чрезвычайных ситуаций. Первоначальная дезинформация во время инцидента TMI повредила общественное доверие. Сегодня операторы атомных станций должны иметь системы оповещения о чрезвычайных ситуациях и программы общественной информации. NRC поддерживает всеобъемлющую структуру готовности к чрезвычайным ситуациям, которая включает координацию с государственными и местными органами власти.

Вывод: устойчивая актуальность

Сорок пять лет спустя авария на Три-Майл-Айленд продолжает информировать инженерную практику не только в ядерной энергетике, но и во всех отраслях с высокой степенью опасности. Она продемонстрировала, что безопасность не может быть гарантирована только аппаратным обеспечением; организационная культура, обучение операторов и системное мышление одинаково важны. Это событие привело к фундаментальному сдвигу от детерминистского взгляда на безопасность (при условии, что каждый сбой может быть предотвращен) к вероятностному подходу оценки безопасности, который признает возможность серьезных аварий и готовит к ним. Каждая атомная станция сегодня работает в соответствии с более строгими стандартами, лучшей подготовкой и более надежным надзором из-за того, что произошло на TMI-2. Уроки остаются важным чтением для любого инженера или менеджера, ответственного за сложные, критически важные для безопасности системы.

Для дальнейшего чтения, историческое резюме NRC & #8217 и Всемирная ядерная ассоциация & #8217 анализ обеспечивают дополнительную глубину.