Уроки, извлеченные из инцидентов на Виндскейле и Фукусиме для будущего реакторного машиностроения

Пожар в Виндскейле 1957 года и ядерная катастрофа на Фукусиме в 2011 году представляют собой две самые последовательные аварии в истории атомной энергетики. Хотя оба события были разделены более чем пятью десятилетиями, оба события выявили фундаментальные уязвимости в реакторной инженерии и культуре безопасности, которые продолжают формировать отрасль сегодня. Для инженеров, регуляторов и политиков, работающих над ядерными технологиями следующего поколения, эти инциденты предлагают критическое хранилище практических знаний. Понимание того, что потерпело неудачу, почему она потерпела неудачу и как эти неудачи могли быть предотвращены, имеет важное значение для проектирования реакторов, которые не только эффективны, но и действительно устойчивы к экстремальным условиям. В этой статье рассматриваются технические, организационные и экологические факторы, стоящие за обеими авариями, извлекаются из с трудом выигранных уроков, которые они предоставляют, и отображают эти уроки на инженерные проблемы, стоящие перед будущим развитием реактора.

Техническая анатомия ветрового огня

Инцидент с Виндскейлом начался 8 октября 1957 года на ядерном объекте Виндскейла в Камбрии, Англия. Реактором, о котором идет речь, был энергоблок 1 Виндскейл Пайлз, пара реакторов с графитовым охлаждением, предназначенных для производства плутония. Во время плановой операции отжига, предназначенной для высвобождения энергии, хранящейся в графитовом модераторе, путем сжигания накопленной энергии Вигнера, реактор перегрелся и загорелся. Огонь горел в течение трех дней, выпуская в окружающую среду значительные количества радиоактивного йода-131 и других продуктов деления.

На техническом уровне авария может быть прослежена до нескольких взаимодействующих факторов. Сам процесс отжига был по своей сути рискованным: он включал повышение температуры реактора до точки, где энергия Вигнера могла быть выпущена контролируемым образом. Однако у операторов было недостаточно приборов для точного контроля распределения температуры по ядру реактора. Без видимости в реальном времени в локальных горячих точках операция отжига продолжалась без необходимой обратной связи, чтобы предотвратить безудержное нагревание. Конструкция с воздушным охлаждением, в то время как простая, означала, что как только начался пожар, охлаждающий воздушный поток фактически поставлял кислород для поддержания сгорания.

Сам графит стал топливом для огня, а отсутствие структур сдерживания - распространенных в более поздних конструкциях реактора - позволило радиоактивному материалу ускользнуть непосредственно через стек реактора.

Пожар в Виндскейле в конечном итоге контролировался затоплением активной зоны реактора водой, что имело свои собственные риски взрыва пара или генерации водорода. Инженерная группа действовала на ограниченных данных под чрезвычайным давлением, подчеркивая необходимость в надежных приборах и хорошо отрепетированных протоколах аварийных ситуаций. Инцидент привел к выпуску примерно 20 000 кюри йода-131, что привело к запрету на потребление молока на площади более 500 квадратных километров. Никаких прямых смертельных случаев не было связано с радиацией, но событие ознаменовало поворотный момент в практике ядерной безопасности Соединенного Королевства.

Техническая анатомия катастрофы на Фукусиме

Катастрофа на Фукусиме Дайичи развернулась 11 марта 2011 года, после землетрясения магнитудой 9,0 у берегов Японии, за которым последовало цунами, достигшее на площадке станции высот более 14 метров. Землетрясение спровоцировало автоматическое отключение трех действующих реакторов на объекте. Однако последующее цунами перегрузило насосы морской воды и аварийные дизель-генераторы, выбив всю мощность на месте и резервную мощность. Без электричества для привода насосов охлаждающей жидкости реакторы испытали потерю охлаждающей способности, что привело к расплавлению ядра в блоках 1, 2 и 3, сопровождаемому взрывами водорода, которые сильно повредили здания реактора и выпустили радиоактивный материал в окружающую среду.

Инженерные сбои на Фукусиме были обусловлены не одним конструктивным недостатком, а системной недооценкой внешних опасностей. Конструкционная основа установки для высоты цунами была установлена на уровне 5,7 м, что намного ниже фактической высоты волны. Аварийные дизель-генераторы были расположены в подвале турбинных зданий, где они были немедленно затоплены и выведены из строя. Насосы морской воды были расположены на низкой высоте, что делало их уязвимыми для затопления. На станции отсутствовали разнообразные и избыточные методы обеспечения питания систем охлаждения при внепроектных событиях.

Структура водозабора морской воды, которая обеспечивала конечный теплоотвод, также была скомпрометирована. Эти сбои каскадировались: после потери мощности операторы не могли контролировать основные условия, впрыскивать воду или сдерживать вентиляционные отверстия для снижения давления. Результатом стала самая тяжелая ядерная авария со времен Чернобыля, с Международным агентством по атомной энергии (МАГАТЭ) оценивая ее на уровне 7 по Международной шкале ядерных событий.

Катастрофа на Фукусиме вытеснила десятки тысяч жителей, вызвала долговременное загрязнение окружающего региона и потребовала постоянных усилий по выводу из эксплуатации, которые будут длиться десятилетия. Общая экономическая стоимость оценивается в более чем 200 млрд долларов. Авария продемонстрировала, что даже страна со зрелой ядерной нормативной базой может потерпеть катастрофический сбой, когда предположения о внешних опасностях были неполными.

Режимы неудачи в обоих случаях

Взглянув вместе, Виндскейл и Фукусима обнаруживают поразительные общие черты в режимах отказа, несмотря на огромные различия в типе реактора, в эре эксплуатации и в запускающем событии. Обе аварии коренились в неполном понимании потенциальных путей отказа. В Виндскейле физика высвобождения энергии Вигнера и риск неконтролируемого горения графита не были полностью оценены. На Фукусиме вероятностная оценка риска не учитывала цунами за пределами проектной основы, а взаимозависимости между системами охлаждения, электроснабжения и водозабора не были адекватно проанализированы.

Оба события также включали в себя приборные и контрольные зазоры. Операторы виндсверли имели недостаточные датчики температуры в ядре для обнаружения горячих точек во время отжига. Операторы Фукусимы потеряли практически все приборы после отключения станции, оставив их слепыми к условиям ядра. В обоих случаях невозможность получить точные данные в режиме реального времени сильно ограничивала эффективность аварийного реагирования. Урок ясен: избыточность датчиков и живучесть в экстремальных условиях должны быть с самого начала спроектированы в реакторные системы.

Кроме того, обе аварии подчеркнули опасность недостаточной готовности к чрезвычайным ситуациям. В Виндскейле группа реагирования должна была импровизировать стратегию затопления без предварительной репетиции. На Фукусиме план реагирования на чрезвычайные ситуации не предусматривал длительного отключения станции из нескольких подразделений, совпадающего с серьезным внешним ущербом. Обучение и процедуры были ориентированы на события в одном подразделении с ограниченным внешним сбоем. Разрыв между ожидаемыми и фактическими условиями в обоих случаях создал паралич принятия решений и задержки, которые ухудшили результаты.

Эволюция парадигм безопасности

До пожара в Виндскейле концепция ядерной безопасности была еще в зачаточном состоянии. Концепция защиты в глубину - идея о том, что несколько независимых барьеров и функций безопасности должны защищать от несчастных случаев - еще не была официально сформулирована. Виндскейл предоставил яркий ранний пример того, что может произойти, когда один способ защиты не работает и не существует резервного копирования. После этого ядерная промышленность Великобритании приняла более строгие методы оценки безопасности, включая формальный анализ опасности и вероятностные оценки риска. Инцидент в Виндскейле также стимулировал разработку улучшенных конструкций реакторов, таких как передовой реактор с газовым охлаждением, который включал лучшие основные приборы и несколько контуров охлаждения.

Фукусима, возникшая в эпоху, когда глубина обороны уже была устоявшимся принципом, обнажила уязвимость инженерных систем безопасности к отказу в обычном режиме. Землетрясение и цунами отключили не только первичные системы безопасности, но и резервные системы и их резервные копии. Потеря мощности и охлаждение во всех трех операционных блоках одновременно переполнили проектную основу завода. Отраслевой ответ состоял в том, чтобы расширить определение защиты в глубину, чтобы включить строгие руководящие принципы управления несчастными случаями, диверсифицированные источники энергии (включая мобильные генераторы и аккумуляторные банки) и закаленные вентиляционные отверстия. МАГАТЭ и национальные регулирующие органы обязали операторов станции выполнять стресс-тесты для оценки их способности справляться с неконструктивными событиями.

Критическое понимание обоих инцидентов заключается в том, что парадигмы безопасности должны постоянно развиваться. Предположения, лежащие в основе конструкций реакторов и нормативных требований, должны периодически пересматриваться в свете нового опыта эксплуатации, новых данных об опасности и новых аналитических методов. Застой в мышлении о безопасности сам по себе является фактором риска.

Регулятивные и отраслевые реформы

Регуляторный ландшафт после Виндскейла кардинально изменился. В Великобритании авария привела к созданию Инспекции ядерных установок и установлению лицензионных требований к ядерным реакторам. Стандартными стали формальные случаи безопасности, независимая экспертная оценка и систематические протоколы инспекций. Опыт Виндскейла также повлиял на разработку международных стандартов безопасности через МАГАТЭ.

После Фукусимы регулирующие органы во всем мире инициировали всеобъемлющие обзоры безопасности. Комиссия по ядерному регулированию США (NRC) издала приказы, требующие от всех заводов реализации стратегий по борьбе с длительной потерей мощности переменного тока, усиления защиты оборудования от наводнений и сейсмических событий и улучшения возможностей вентиляции сдерживания для реакторов с кипящей водой с помощью сдерживания MARK I. Японская нормативная база была пересмотрена, в результате чего был создан Орган ядерного регулирования, независимый орган с более сильными полномочиями по обеспечению соблюдения. Европейские регуляторы провели скоординированные стресс-тесты, что привело к модернизации установок по всему континенту.

Одной из заметных реформ является требование о множественных, разнообразных и независимых средствах обеспечения энергией и водой ядра реактора в тяжелых аварийных условиях. Это включает в себя развертывание портативных насосов, генераторов и оборудования связи, хранящихся в закаленных местах. Коммунальные службы теперь необходимы для поддержания минимального запаса батарей и топлива на месте, с планами быстрого пополнения запасов в случае длительного отказа сети. Принцип разнообразия - использование различных технологий и источников энергии для резервных функций - стал краеугольным камнем современных требований безопасности.

Человеческие факторы и организационная культура

Ни Windscale, ни Fukushima не могут быть полностью поняты без изучения человеческих и организационных аспектов. На Windscale операционная команда находилась под давлением для поддержания производственных целей и имела ограниченный опыт работы с процессом отжига. Была тенденция оптимистично интерпретировать неоднозначные данные, а проблемы безопасности иногда были подчинены оперативным целям. Расследование инцидента показало, что решение о продолжении операции отжига было принято без тщательной оценки риска и без адекватной коммуникации между инженерным персоналом.

В Фукусиме организационная культура Токийской электроэнергетической компании (TEPCO) и в более широкой японской ядерной промышленности подверглась критике за групповое мышление и уважение к власти. Регуляторный захват был определен как способствующий фактор: регулирующий орган не был достаточно независимым от отрасли, которую он должен был контролировать. Обзоры катастрофы показали, что собственные инженеры TEPCO определили риск цунами, превышающего проектную основу, но не предприняли корректирующих действий. Отсутствие сильной культуры безопасности - где поощряются вопросы и открытые сообщения о проблемах - способствовало неспособности реализовать известные обновления.

Эти модели подчеркивают важный урок для будущей реакторной инженерии: технический дизайн должен быть встроен в устойчивую культуру безопасности. Инженеры и операторы должны иметь подготовку, полномочия и институциональную поддержку, чтобы поднимать проблемы, не опасаясь репрессий. Регулятивная независимость должна поддерживаться, а надзор за безопасностью должен быть устойчивым к политическому или экономическому давлению. Отраслевой акцент на человеческих факторах должен выходить за рамки эргономики и написания процедур, чтобы охватить организационное поведение, принятие решений в условиях неопределенности и кризисного лидерства.

Последствия для усовершенствованных конструкций реакторов

Новые технологии реакторов, которые сейчас разрабатываются, включая небольшие модульные реакторы (SMR), микрореакторы и усовершенствованные конструкции поколения IV, разрабатываются с уделением особого внимания урокам прошлых аварий. Цель состоит в том, чтобы достичь более высокой степени присущей и пассивной безопасности, а это означает, что реактор может безопасно отключать и удалять тепло распада без активных систем или вмешательства оператора.

Например, NuScale Power Module, реактор на воде под давлением SMR, использует естественную циркуляцию для охлаждения, устраняя необходимость в насосах. Реактор предназначен для автоматического отключения и сохранения безопасности в течение длительного периода без внешнего питания или действия оператора. Семейство реакторов на расплавленной соли предлагает другой путь: если топливная смесь превышает безопасную температуру, то замораживание расплавляется, позволяя топливу стекать в пассивно охлаждаемый резервуар. Эти конструкции непосредственно устраняют уязвимость ядра, наблюдаемую на Фукусиме, - потерю мощности, приводящую к потере охлаждения - делая охлаждение зависимым от естественных физических процессов, а не от активных машин.

Высокотемпературные реакторы с газовым охлаждением, такие как китайский HTR-PM, работают при температурах, при которых топливо может выдерживать значительное преходящее нагревание без высвобождения продуктов деления. Их топливо с керамическим покрытием предназначено для удержания радиоактивного материала до 1600 ° C, что намного выше нормальных рабочих температур. Эта концепция топлива, устойчивого к аварии, представляет собой еще одну линию защиты, которая может предотвратить или смягчить последствия потери охлаждения.

Для всех современных реакторов, как Windscale, так и Fukushima, усиливают важность надежного приборостроения, которое остается функциональным в экстремальных условиях. Будущие проекты должны включать датчики, которые могут выдерживать высокие температуры, излучение и погружение в воду. Волоконно-оптические датчики температуры, беспроводная передача данных и автономные датчики являются одними из технологий, которые изучаются. Возможность контролировать основные условия и параметры сдерживания после аварии имеет решающее значение для эффективного реагирования на чрезвычайные ситуации и для предотвращения слепых условий работы, которые преследовали как Windscale, так и Fukushima.

Ключевые инженерные стратегии на будущее

Пассивные системы безопасности как основная опора

Инженеры реакторов должны уделять приоритетное внимание пассивным функциям безопасности, которые зависят от силы тяжести, естественной циркуляции и сжатого газа, а не от насосов, дизель-генераторов и клапанов, которые требуют мощности. Эти системы по своей природе устойчивы к отключению станции, и они устраняют сбои в обычном режиме, связанные с активными компонентами. Будущие нормативные рамки должны рассмотреть вопрос о необходимости минимального уровня пассивного удаления тепла распада для всех новых реакторов.

Планирование за пределами дизайна

Каждая новая конструкция реактора должна включать в себя программу управления серьезными авариями, которая учитывает сценарии, превышающие проектную основу установки. Это включает в себя расширенное отключение станции, потерю конечного теплоотвода, события с несколькими блоками и внешние опасности, выходящие за рамки исторических записей. Инженерия должна обеспечить разнообразные и избыточные способы впрыска воды, сдерживания вентиляционных отверстий и мониторинга условий ядра в этих экстремальных условиях.

Сидячие и внешние опасности

Выбор места должен основываться на тщательной оценке природных опасностей, включая экстремальные погодные условия, сейсмическую активность и потенциал затопления. Следует четко рассмотреть маржу за пределами проектной основы. Для прибрежных участков опасность цунами должна оцениваться с использованием как исторических записей, так и вероятностных моделей, которые учитывают максимально достоверное событие. Закаливание критически важного для безопасности оборудования против внешних событий имеет важное значение.

Культура безопасности и независимый надзор

Технические достижения должны соответствовать организационным и нормативным требованиям. Операторы заводов должны создавать программы, которые способствуют возникновению сомнений, поощряют отчетность о близких промахах и обеспечивают безотлагательное повышение уровня безопасности для лиц, принимающих решения. Регулирующие органы должны быть независимыми, должным образом финансируемыми и уполномоченными обеспечивать соблюдение. Периодические обзоры безопасности должны быть обязательными, включая новые оперативные данные и результаты исследований.

Заключение

Пожар в Виндскейле и катастрофа на Фукусиме Дайичи не являются историческими сносками; они являются активными, соответствующими тематическими исследованиями, которые предлагают важное руководство для следующего поколения ядерных инженеров. Обе аварии демонстрируют, что безопасность - это не статичный атрибут дизайна, а непрерывный процесс обучения, адаптации и совершенствования. Наиболее устойчивые реакторы - это те, которые спроектированы для прогнозирования сбоев, а не только для удовлетворения минимальных нормативных требований. Пассивные функции безопасности, надежные приборы, разнообразные резервные системы и здоровая культура безопасности - не дополнительные дополнения; они являются основополагающими требованиями для устойчивой ядерной промышленности. Поскольку мир ищет ядерную энергию, чтобы помочь выполнить цели декарбонизации, инженерное сообщество имеет как обязательство, так и возможность применить эти с трудом выигранные уроки.

Путь вперед ясен: опирайтесь на ошибки прошлого для проектирования реакторов, которые не только более эффективны, но и действительно безопасны для отказа.