Чернобыль: ч.8. Дополнения к Докладу №1 (INSAG-1) - отчёт INSAG-7 (октябрь 1993г.).

Информация об аварии на Чернобыльской АЭС и её последствиях, подготовленная для МАГАТЭ Доклад №1 (INSAG-1)

С О Д Е Р Ж А Н И Е
Флешка
0. Введение
1. Описание Чернобыльской АЭС с реакторами РБМК-1000.
2. Хронология развития аварии.
3. Анализ процесса развития аварии на математической модели.
4. Причины аварии.
5. Предотвращение развития аварии и уменьшение её последствий.
6. Контроль за радиоактивным загрязнением окружающей среды и здоровьем населения.
7. Рекомендации по повышению безопасности ядерной энергетики.





ДОКЛАД МЕЖДУНАРОДНОЙ КОНСУЛЬТАТИВНОЙ ГРУППЫ ПО ЯДЕРНОЙ БЕЗОПАСНОСТИ

СОДЕРЖАНИЕ

1. ВВЕДЕНИЕ
2. ОСОБЕННОСТИ РЕАКТОРА
2.1. Паровой коэффициент реактивности
2.2. Конструкция стержней СУЗ
2.3. Скорость ввода стержней аварийной защиты
2.4. Регулирование мощности
2.5. Контрольно-измерительная аппаратура регистрации запаса реактивности
2.6. Размеры активной зоны реактора
2.7. Возможность внесения изменений в системы обеспечения безопасности, останова и сигнализации на станции
2.8. Недогрев теплоносителя на входе
2.9. Система контура первичного теплоносителя
2.10. Защитная оболочка
3. АВАРИЯ
4. АНАЛИЗЫ СЦЕНАРИЯ ОТКАЗОВ, ПРОВЕДЕННЫЕ В ПОСЛЕДНЕЕ ВРЕМЯ
4.1. Сценарий
4.2. Оперативный запас реактивности
5. ВЗГЛЯДЫ ИНСАГ
5.1. Конструкция
5.2. Действия персонала
5.3. Система мероприятий по обеспечению безопасности
5.4. Последствия игнорирования недостатков
5.5. Важность компетентного анализа безопасности
5.6. Недостатки режима регулирования
5.7. Общие замечания о недостаточном уровне культуры безопасности
5.8. Итоговая оценка
6. ВЫВОДЫ В ОТНОШЕНИИ ФАКТОРОВ, СПОСОБСТВОВАВШИХ РАЗВИТИЮ АВАРИИ
ДОПОЛНЕНИЕ: меры по повышению безопасности АЭС с реакторами РБМК

ПРИЛОЖЕНИЕ I: ДОКЛАД КОМИССИИ ГОСУДАРСТВЕННОГО КОМИТЕТА СССР ПО НАДЗОРУ ЗА БЕЗОПАСНЫМ ВЕДЕНИЕМ РАБОТ В ПРОМЫШЛЕННОСТИ И АТОМНОЙ ЭНЕРГЕТИКЕ. 1991г.
1-1. Введение
1-2. Краткая справка о проектировании 4 блока ЧАЭС
1-3. О некоторых несоответствиях проекта 4 блока ЧАЭС требованиям правил и норм по безопасности
1-4. Причины и обстоятельства аварии
1-5. Заключение
Литература к Приложению I
Библиография к Приложению I I

ПРИЛОЖЕНИЕ II: ДОКЛАД РАБОЧЕЙ ГРУППЫ ЭКСПЕРТОВ СССР. 1991г.
II-1. Краткое описание и особенности реакторной установки РБМК-1000 4 блока ЧАЭС
II-2. Современные представления о возникновении и развитии аварии на ЧАЭС
II-3. Мероприятия по повышению безопасности АЭС с РБМК
II-4. Заключение

ЧЛЕНЫ МЕЖДУНАРОДНОЙ КОНСУЛЬТАТИВНОЙ ГРУППЫ ПО ЯДЕРНОЙ БЕЗОПАСНОСТИ,
ЧЛЕНЫ РАБОЧЕЙ ГРУППЫ И АССОЦИИРОВАННЫЕ ЭКСПЕРТЫ



2. ОСОБЕННОСТИ РЕАКТОРА

2.1. Паровой коэффициент реактивности
2.2. Конструкция стержней СУЗ
2.3. Скорость ввода стержней аварийной защиты
2.4. Регулирование мощности
2.5. Контрольно-измерительная аппаратура регистрации запаса реактивности
2.6. Размеры активной зоны реактора
2.7. Возможность внесения изменений в системы обеспечения безопасности, останова и сигнализации на станции
2.8. Недогрев теплоносителя на входе
2.9. Система контура первичного теплоносителя
2.10. Защитная оболочка


Ниже следуют краткие сводные данные о некоторых конструктивных (проектных)1 особенностях реактора РБМК-1000 и связанных с ним систем 4 блока Чернобыльской атомной электростанции во время аварии 26 апреля 1986 года. Эти конструктивные особенности оказали основное влияние на ход аварии и ее последствия.

2.1. ПАРОВОЙ КОЭФФИЦИЕНТ РЕАКТИВНОСТИ
В активной зоне реактора, охлаждаемого кипящей водой, содержится определенное количество пара. Пузырьки пара называют пустотами, а долю объема теплоносителя, занимаемого пустотами, называют паросодержанием теплоносителя. При изменении паросодержания изменяется реактивность; отношение двух этих изменений называют паровым коэффициентом реактивности, который может быть положительным или отрицательным в зависимости от конструкции реактора. Изменение мощности реактора может приводить к изменению паросодержания и может также вызывать другие эффекты, изменяющие реактивность. Эти изменения реактивности должны компенсироваться регулирующими стержнями. Отношение суммарного изменения реактивности, достигнутого таким образом, к вызвавшему его изменению мощности называют мощностным коэффициентом реактивности, и этот коэффициент также может быть положительным или отрицательным.
Паровой коэффициент реактивности является доминирующим компонентом мощностного коэффициента реактивности реакторов типа РБМК, отражающим высокую степень зависимости реактивности от паросодержания активной зоны. Значение этого коэффициента существенным образом зависит от выбора шага решетки и состава активной зоны (числа погруженных в активную зону стержней СУЗ, количества установленных дополнительных поглотителей, обогащения и глубины выгорания топлива). На основе исследований, проведенных после аварии, сообщалось, что расчетный паровой коэффициент реактивности для реактора РБМК-1000 изменялся в диапазоне от -1,3 х 10~4 % -1 (Sk/k) для свежезагруженного топлива До +(2,0-2,5) X 10~4 %~l (6k/k) для стационарного режима перегрузки и что при полной потере теплоносителя изменение реактивности составляло —2/3 для свежезагруженного топлива 1 В настоящем докладе часто используется понятие "проектирование" атомной электростанции. Его значение определено в Серии публикаций по нормам ядерной безопасности МАГАТЭ (ПРНБ): процесс и результат разработки концепции, подробных чертежей, вспомогательных расчетов и технических условий для атомной электростанции и ее оборудования.
и +(4—5)/3 для стационарного режима перегрузки (где /3 — доля запаздывающих нейтронов). В проектной документации для реактора РБМК указывалось, что паровой коэффициент реактивности для исходного и установившегося состояний отрицателен (см. Приложение П, Раздел П-3).
Поэтому, хотя паровой коэффициент реактивности изменялся в широком диапазоне от отрицательных до положительных значений в зависимости от состава активной зоны и рабочего режима реактора, быстрый мощностной коэффициент в нормальных эксплуатационных условиях оставался отрицательным. Во время аварии как паровой, так и мощностной коэффициент реактивности оказались положительными.

2.2. КОНСТРУКЦИЯ СТЕРЖНЕЙ СУЗ
Стержни СУЗ реактора РБМК вводятся в активную зону сверху, за исключением 24 укороченных стержней, которые вводятся снизу и которые используются для выравнивания распределения энерговыделения. К каждому концу поглощающей части каждого стержня, за исключением 12 стержней, используемых для автоматического регулирования, прикреплен графитовый стержень, называемый "вытеснителем". Нижний вытеснитель предотвращает поступление воды в пространство, освобождаемое извлекаемым стержнем, тем самым улучшая компенсирующую способность стержня. Графитовый вытеснитель каждого стержня всех реакторов РБМК в момент аварии был соединен со стержнем через "телескоп", так что вытеснитель и поглощающий стержень разделяло расстояние 1,25 м, заполненное водой (см. рис. 1). Размеры стержня и вытеснителя были такими, что при полностью извлеченном стержне вытеснитель располагался в середине заполненной топливом части активной зоны, а выше и ниже него находились столбы воды высотой 1,25 м.
По получении сигнала аварийного останова реактора, вызывающего падение полностью извлеченного стержня, вытеснение воды из нижней части канала при движении стержня вниз с верхнего концевика вызывало локальный ввод положительной реактивности в нижнюю часть активной зоны. Величина этого эффекта "положительной реактивности при аварийном останове" зависела от пространственного распределения поля энерговыделения и режима работы реактора.

Поглотитель
Вода
Графитовый
вытеснитель
Вода
РИС. 1 Крайнее верхнее положение стержня СУЗ системы аварийной защиты РБМК относительно активной зоны реактора (а) до и (Ь) после усовершенствований, внесенных после чернобыльской аварии. Размеры даны в сантиметрах.


2.3. СКОРОСТЬ ВВОДА СТЕРЖНЕЙ АВАРИЙНОЙ ЗАЩИТЫ
Время, необходимое для полного погружения стержней аварийной защиты (т. е. стержней, обеспечивающих аварийный останов) в активную зону при движении от верхних концевых выключателей, составляло 18с. Такая низкая скорость ввода являлась главным образом результатом плотной посадки стержня в его канале, вследствие чего охлаждающая вода, в которой должен был перемещаться стержень, действовала подобно жидкости в амортизаторе или гасителе перемещения.

2.4. РЕГУЛИРОВАНИЕ МОЩНОСТИ
Реактор РБМК-1000 был оборудован двумя системами, обеспечивающими регулирование мощности. Первая из них представляла собой систему физического контроля распределения энерговыделения (СФКРЭ) и имела датчики, расположенные внутри активной зоны. Второй была система управления и защиты, датчики которой были расположены как внутри активной зоны, так и вне ее, в баке боковой биологической защиты.
В принципе, эти две системы были разработаны таким образом, чтобы дополнять друг друга. СФКРЭ была разработана для контроля относительного и абсолютного распределения энерговыделения в диапазоне 10-120% и контроля мощности реактора в диапазоне 5-120% номинальной мощности. Система управления и зашиты реактора включала в себя систему локального автоматического регулирования и локальной автоматической защиты (ЛАР-ЛАЗ). Система ЛАР-ЛАЗ получала сигналы от внутризонных датчиков и осуществляла регулирование на уровнях мощности свыше 10% номинальной. Контроль на малых уровнях мощности осуществлялся только на основе датчиков, расположенных вне активной зоны, когда реактор эксплуатировался на малой мощности при отключенных системах СФКРЭ и ЛАР-ЛАЗ, в распоряжении операторов не имелось контрольно-измерительных датчиков, расположенных внутри активной зоны. Оператор, принимая решения по регулированию мощности и пространственного распределения энерговыделения, должен был полагаться главным образом на показания датчиков, расположенных вне активной зоны. Однако датчики, расположенные вне активной зоны, не могли показывать распределение нейтронного потока внутри нее. Более того, они не могли показывать усредненное распределение потока по высоте активной зоны, поскольку все они расположены по высоте напротив середины активной зоны.
Поэтому, контролируя реактор на низких уровнях мощности, оператор должен был полагаться главным образом на опыт и интуицию, а не на показания приборов системы регулирования. В таких условиях от оператора могло потребоваться выполнение до 1000 управляющих действий в час.
Все же регулирование мощности РБМК-1000 при запуске, когда в реакторе нет поглотителей нейтронов или когда он не отравлен ксеноном-135, отличается от, и гораздо проще, управления полем энерговыделения неравномерно отравленного реактора на малой мощности. В последнем случае, который в значительной мере присутствовал в ходе испытаний, закончившихся разрушением реактора 4 блока Чернобыльской АЭС, существует риск большого перекоса поля и высоких неравномерностей энерговыделения как по высоте, так и по радиусу активной зоны. У операторов по существу не было опыта регулирования мощности в таких условиях.

2.5. КОНТРОЛЬНО-ИЗМЕРИТЕЛЬНАЯ АППАРАТУРА РЕГИСТРАЦИИ ЗАПАСА РЕАКТИВНОСТИ
ЭВМ и контрольно-измерительная аппаратура, используемые для определения запаса реактивности реактора РБМК-1000, были расположены на расстоянии 50 м от пульта управления. В систему сбора данных поступала информация из приблизительно 4000 точек опроса. Система использовалась для периодического расчета оперативного запаса реактивности (ОЗР), представляющего собой дополнительную реактивность, которая возникнет в случае извлечения всех стержней СУЗ, и выраженного величиной, кратной суммарной реактивности, регулируемой стандартным стержнем. Цикл измерений и расчета ОЗР в этой системе сбора данных составлял около 10-15 мин. Система была разработана, чтобы обеспечить оператору поддержку при контроле распределения энерговыделения в стационарном режиме, и использовалась для этой цели в сочетании с системой контроля пространственного распределения энерговыделения.

2.6. РАЗМЕРЫ АКТИВНОЙ ЗОНЫ РЕАКТОРА
Ввиду больших размеров активной зоны реактора РБМК-1000 (высота 7 м, диаметр 11,8м) цепная реакция в одной части активной зоны весьма слабо связана с цепной реакцией в других, удаленных от нее частях.
Это ведет к необходимости регулировать пространственное распределение энерговыделения почти так же, как если бы в объеме активной зоны имелось несколько независимых реакторов. В чрезвычайных условиях такая ситуация может оказаться весьма нестабильной, поскольку малые пространственные перераспределения реактивности могут вызвать значительные пространственные перераспределения энерговыделения. Одним из проявлений такого нарушения связи в активной зоне является то, что непосредственно перед аварией цепные реакции в верхней и нижней частях реактора проходили почти независимо, и это положение усугублялось глубоким ксеноновым отравлением в расположенной между ними центральной части. В этих условиях при вводе стержней СУЗ из полностью извлеченного положения описанный ранее эффект ввода положительной реактивности при быстром останове реактора мог привести к появлению надкритичности в нижней части активной зоны и быстрому смещению распределения нейтронного потока вниз независимо от того, каким было это распределение непосредственно перед вводом стержней. В условиях аварии смешение распределения энерговыделения вследствие ввода положительной реактивности при быстром останове реактора могло оказаться значительным.

2.7. ВОЗМОЖНОСТЬ ВНЕСЕНИЯ ИЗМЕНЕНИЙ В СИСТЕМЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ, ОСТАНОВА И СИГНАЛИЗАЦИИ НА СТАНЦИИ
На 4 блоке Чернобыльской АЭС операторы имели возможность вручную отключать некоторые системы обеспечения безопасности, блокировать устройства автоматического аварийного останова реактора и сбрасывать или подавлять различные аварийные сигналы системы сигнализации. Это можно было делать просто путем установки перемычек на клеммы, к которым имелся доступ. В некоторых обстоятельствах эксплуатационные регламенты допускали такое отключение.

2.8. НЕДОГРЕВ ТЕПЛОНОСИТЕЛЯ НА ВХОДЕ
Реакторы РБМК - это кипящие реакторы. Теплоноситель поступает в активную зону реактора снизу в виде воды, недогретой до температуры кипения, а кипение начинается на некотором расстоянии по пути прохождения потока через активную зону. Анализ и эксперименты показали, что для стабильности реактора важна степень недогрева теплоносителя на входе кипящего реактора. Если недогрев падает почти до нуля, то кипение начинается практически на входе в активную зону и ввиду парового коэффициента реактивности эффекты реактивности становятся весьма чувствительными к температуре теплоносителя на входе.
Более того, поскольку температура теплоносителя на участке от циркуляционных насосов до входа в активную зону изменяется незначительно, при весьма малом недогреве температура воды внутри насосов и на всасе в них близка к точке кипения. В таких условиях поведение насосов может стать нестабильным, и в определенных условиях напор может существенно снизиться или даже стать равным нулю (процесс, называемый кавитацией). Этот вопрос дополнительно обсуждается в Разделе 2.9.

2.9. СИСТЕМА КОНТУРА ПЕРВИЧНОГО ТЕПЛОНОСИТЕЛЯ
Реактор РБМК-1000 имеет две независимых петли контура первичного теплоносителя, каждая из которых охлаждает половину реактора. Каждая петля имеет четыре главных циркуляционных насоса, три из которых используются при нормальной эксплуатации; четвертый насос находится в режиме готовности в качестве резерва для использования в случае необходимости отключения одного из трех работающих насосов. Производительность каждого насоса составляет от 5500 до 12000 м3/ч. На напорном трубопроводе каждого насоса установлены также запорнорегулирующий клапан и обратный клапан для предотвращения обратного потока в случае отказа насоса. Каждый насос оборудован запорными задвижками, позволяющими в случае необходимости изолировать его.
Теплоноситель, поступающий от каждого из трех насосов в петлю теплоносителя, направляется в общий коллектор и затем в 22 раздаточных групповых коллектора в каждой половине реактора. Эти коллекторы распределяют поток по отдельным трубчатым каналам, содержащим ядерное топливо. На каждом канале установлен запорно-регулирующий клапан, используемый для оптимизации радиального распределения охлаждения по активной зоне. Кипение происходит при прохождении теплоносителя по каналам в той части, которая проходит через активную зону реактора. Пароводяная смесь из различных топливных каналов отводится отдельными трубами в два параллельных горизонтальных барабана-сепаратора в каждой петле. От верхней части каждого сепаратора пар направляется к двум коллекторам пара, откуда он поступает к турбинам. Поток конденсата от турбины в каждой петле образует поток питательной воды, который соединяется с рециркуляционным потоком воды от парогенераторов, образуя входной поток теплоносителя на всасах насосов. Таким образом, петля циркуляции теплоносителя замыкается.
В нормальных условиях расход каждого насоса составляет
8000 м3/ч. Нормальная температура на входе в активную зону составляет 270°С, а на выходе из активной зоны 284°С при давлении 7 МПа (приблизительно 70 атм). Температура воды, попадающей во всасывающий коллектор главного циркуляционного насоса, зависит от интенсивности парообразования в реакторе, поскольку пар после прохождения через турбину конденсируется и превращается в более холодный компонент питательной воды теплоносителя, поступающего к насосу и в активную зону. Когда в результате снижения мощности реактора поток этого компонента питательной воды теплоносителя уменьшается, температура теплоносителя на всасе насоса и на входе в активную зону соответственно возрастает. В ходе операций нормального пуска и останова реактора расход в первичном контуре теплоносителя контролируется с помощью регулирующих клапанов дроссельного типа таким образом, чтобы он снизился от нормального уровня 8000 м3/ч на насос до величины 6000-7000 м3/ч.
В режимах пониженной мощности при пуске и останове реактора используется меньшее число насосов. Эти меры обеспечивают достаточно низкую температуру на входе главного циркуляционного насоса, чтобы предотвратить кавитацию в насосах и сохранить соответствующее распределение парообразования по высоте топливных каналов.
Непосредственно перед чернобыльской аварией и на начальном этапе аварии работали все восемь насосов. Четыре запитывались от работающей турбины, а четыре - от внешнего источника энергопитания.
Использование всех восьми насосов привело к тому, что расход теплоносителя превысил уровень, соответствующий номинальным условиям при полной мощности, уменьшив уже и так низкое паросодержание в активной зоне. Это низкое паросодержание снизило коэффициент трения потока теплоносителя. Кроме того, ввиду пониженного уровня мощности реактора в это время недогрев теплоносителя на входе в активную зону был лишь незначительным и, в зависимости от точных значений расхода питательной воды и потока рециркуляции, а также распределения давления в трубопроводах системы, он мог оказаться вообще нулевым. Эти условия привели к началу кипения в нижней части активной зоны или вблизи нее. В существовавших тогда эксплуатационных условиях паровой коэффициент реактивности был весьма существенно положительным, а активная зона находилась в состоянии повышенной восприимчивости к увеличению положительной обратной связи по паровой реактивности в случае повышения мощности. Более того, при повышенном расходе теплоносителя уменьшился запас до кавитации циркуляционных насосов.
После отключения турбины работа запитанных от нее четырех насосов начала замедляться, поскольку скорость вращения турбины снижалась и падало напряжение связанного с ней генератора. Понижающийся расход через активную зону вызвал повышение паросодержания в активной зоне и обусловил появление первоначальной положительной обратной связи по реактивности, которая по крайней мере отчасти была причиной аварии. По-прежнему не ясно, падала ли в этот период нагнетательная способность насосов, которые обеспечивали циркуляцию смешанной пароводяной смеси, или же даже произошли кавитация и срыв насосов и они вообще прекратили обеспечивать циркуляцию теплоносителя. В докладе комиссии Государственного комитета СССР по надзору за безопасным ведением работ в промышленности и атомной энергетике (Госкоматомнадзора) (Приложение I, Раздел 1-4.5) содержится ссылка на исследования, в результате которых сделано заключение о том, что кавитации насосов не было. По крайней мере, положительный паровой коэффициент реактора РБМК приводит к тому, что его конструкция в обстоятельствах аварии оказывается чрезвычайно восприимчивой к нару шениям работы или срыву насосов.

2.10. ЗАЩИТНАЯ ОБОЛОЧКА
Реакторы РБМК имеют отдельные конструкции для "локализации". Иными словами, отдельные части реактора и контура теплоносителя находятся в индивидуальных герметичных помещениях, каждое из которых имеет целью обеспечить защиту от разрыва трубопроводов первого контура (локализацию) только в данном помещении. В частности, активная зона реактора находится в реакторном пространстве, боковые стенки которого также служат в качестве защиты. Нижняя часть реакторного пространства представляет собой тяжелую плиту, на которой собрана активная зона, а сверху имеется плита с металлоконструкциями весом 2000 тонн. Концевики топливных каналов проходят через нижнюю и верхнюю плиты и приварены к ним. Отдельные герметичные помещения соединяются трубами с расположенной внизу системой "бассейнов-барботеров", которые служат в качестве бассейнов аварийного сброса давления, - конструктивное решение, в некоторой степени похожее на то, которое принято для большинства кипящих реакторов в западных странах.
Так же, как на других реакторах РБМК, имевших такое пространство для локализации над активной зоной реактора, это пространство способно выдерживать номинальное избыточное давление, создаваемое паром при одновременном разрыве двух каналов. Такое ограничение возможности обусловлено размерами труб сброса давления, выходящих в бассейны-барботеры. Одновременный разрыв множества топливных каналов привел бы к возникновению Давления, достаточно высокого для того, чтобы функция локализации нарушилась вследствие подъема верхней плиты, в ходе чего произошли бы разрывы остальных технологических каналов.


3. АВАРИЯ

Последовательность событий, описанная в INSAG-1, была воспроизведена на основе информации, представленной советскими учеными на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле, и в ходе обсуждений между советскими учеными и специалистами МАГАТЭ в последующую неделю. В табл. IINSAG-1 и в сопровождающем ее тексте последовательность событий представлена в том виде, как она понималась в то время на основе использования данных станции и компьютерного моделирования. Со времени Венского совещания был выполнен значительный объем дополнительной работы по анализу событий, что привело к новому пониманию физических характеристик реактора РБМК (изложенных в Разделе 2), а также некоторых подробностей хода аварии 26 апреля 1986 года. Это углубленное понимание вызвало необходимость пересмотреть некоторые детали сценария, представленного в INSAG-1, а также изменить некоторые важные выводы.
Подробная хронологическая последовательность событий в том виде, как она представляется в настоящее время, содержится в подготовленных в СССР докладах комиссии Госпроматомнадзора под председательством Н. А. Штейнберга и рабочей группы экспертов СССР под председательством А. А. Абагяна (Приложения I и II). Более того, часть информации в конце табл. I INSAG-1 в значительной степени основывается на представленных в 1986 году результатах компьютерного моделирования, которая впоследствии была заменена информацией на основе результатов более сложного анализа. В Разделе 3 не обсуждается значимость различий в построениях моделей. Упоминаемые ниже моменты времени, события и их значимость соответствуют данным, приведенным в табл. IINSAG-1.

(1) Отключение системы аварийного охлаждения реактора (14 ч 00 мин 00 с, 25 апреля)

В INSAG-1 указывалось, что блокировка системы аварийного охлаждения реактора (САОР) явилась нарушением регламента. Однако полученная в последнее время из Советского Союза информация подтверждает, что блокировка САОР на Чернобыльской АЭС была фактически допустима, если она разрешалась Главным инженером, и что такое разрешение было дано на время проведения испытаний, приведших к аварии, и даже было утверждено в рабочей программе испытаний. ИНСАГ полагает, что этот момент не повлиял на возникновение и развитие аварии.Однако следует признать, что в течение приблизительно 11 часов до аварии реактор эксплуатировался на половинной мощности с заблокированной САОР.
Это можно было бы не рассматривать как нарушение только в случае, если бы 11-часовой период работы на половинной мощности являлся частью запланированных испытаний, что явно было не так. Отключение САОР на этот период и разрешение эксплуатации в течение продолжительного периода времени с выведенной из работы важнейшей системой безопасности указывают на отсутствие культуры безопасности.

(2) Работа реактора на минимально контролируемом уровне мощности реактора (23 ч 10 мин 00 с, 25 апреля)

Содержащееся в INSAG-1 заявление (стр. 15) о том, что "продолжительная эксплуатация на уровне ниже 700 МВт (тепл.) запрещена нормальными процедурами безопасности ввиду проблем теплогидравлической неустойчивости", основывалось на устных заявлениях, сделанных советскими экспертами в ходе дискуссий сразу же после Венского совещания. Фактически же запрещения продолжительной эксплуатации реактора на уровне мощности ниже 700 МВт(тепл.) не содержалось ни в проектной документации, ни в нормативно-регламентационных ограничениях, ни в инструкциях по эксплуатации. Важность, придаваемая этому заявлению в INSAG-1, не оправдана. После происшедшего ясно, что такое запрещение должно было быть применено.

(3) Переход с локального на общее регулирование мощности (00 ч 28 мин 00 с, 26 апреля)

В докладе INSAG-1 указывается, что резкое снижение мощности до 30 МВт (тепл.) обусловлено ошибкой оператора. В последних докладах предполагается, что ошибки оператора не было как таковой; в докладе комиссии Госпроматомнадзора (Приложение I, Разделы 1-4.6, 1-4.7) содержится ссылка на неизвестную причину и невозможность регулировать мощность, а А. С. Дятлов, бывший заместитель главного инженера по эксплуатации Чернобыльской АЭС, в частной беседе ссылается на неисправности в работе системы.

(4) Блокирован сигнал аварийной зашиты по останову турбогенераторов (01 ч 23 мин 04 с, 26 апреля)

В свете новой информации были изменены как время, так и значение блокировки сигнала аварийной защиты по останову турбогенераторов. Это событие произошло скорее в 00 ч 43 мин 27 с, а не в 01 ч 23 мин 04 с, как указано в INSAG-1. Время отключения второго турбогенератора остается неизменным. Этот сигнал аварийной защиты был выведен в соответствии с технологическими регламентами по эксплуатации и рабочей программой испытаний, и комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.4) не поддерживает обвинения, предъявленные эксплуатационному персоналу.
В свете новой информации, касающейся ввода положительной реактивности при аварийном останове реактора, содержащееся в столбце "Значение" табл. I доклада INSAG-1 утверждение о том, что "эта аварийная система спасла бы реактор", представляется необоснованным.

(5) Не соблюден требуемый оперативный запас реактивности (01 ч 00 мин 00 с, 26 апреля)
Последние доклады подтверждают, что в 01 ч 00 мин 00 с 26 апреля минимальный ОЗР был действительно не соблюден и фактически в них заявляется, что этот минимальный ОЗР не соблюдался даже в течение нескольких часов 25 апреля. В соответствии с зарегистрированными данными, вычислительная система СКАЛА, которая использовалась для расчета ОЗР, в период проведения испытаний стала ненадежной. По мнению ИНСАГ, возможно, что во время критической части испытаний оператор не знал значения ОЗР. Вероятно, он сознавал, что продолжение эксплуатации в условиях повышения ксенонового отравления реактора снижает ОЗР. Операторы привыкли к тому, чтобы рассматривать нижний предел ОЗР как необходимый для контроля пространственного распределения энерговыделения в реакторе, но они не знали, что он важен для безопасности ввиду увеличения положительного парового коэффициента по мере уменьшения ОЗР. Они не ощущали необходимости оставить соответствующее число стержней СУЗ в частично погруженном положении, для того чтобы в случае надобности быстро понизить реактивность. Фактически значение уменьшения ОЗР с точки зрения безопасности оказывается гораздо большим, чем было указано в докладе INSAG-1. Весь этот вопрос подробно обсуждается в Разделе 4 настоящего доклада.

(6) Блокированы сигналы аварийной защиты реактора по уровню воды и давлению пара в барабанах-сепараторах (01 ч 19 мин 00 с, 26 апреля)
Недавно полученная информация позволяет предположить, что защита реактора по уровню воды и давлению пара в барабанах-сепараторах была изменена уже в 00 ч 36 мин 26 апреля, а не в 01 ч 19 мин 00 с, как указано в INSAG-1. Однако в соответствии с Приложением I (Раздел 1-4.7.4) "обвинения в блокировке защиты по давлению пара в БС, предъявленные персоналу в официальных материалах, Комиссия [Госпроматомнадзора] не подтверждает".
Это изменение точки зрения основывается на том факте, что в отношении нижнего уровня воды в барабанах-сепараторах предусмотрены два уровня защиты, один с аварийной уставкой на высоте 600 мм и другой обычно на высоте 1100 мм, в зависимости от уровня мощности. Операторы не восстановили защиту по этому уровню и в техническом отношении нарушили пункт 9 "Регламента переключения ключей и накладок технологических защит и блокировок" (в соответствии с докладом комиссии Госпроматомнадзора (Приложение I, Разделы 1-4.7.4, 1-4.7.8)). Однако защита по нижнему уровню воды в барабанах-сепараторах на протяжении события продолжала действовать.


4. АНАЛИЗЫ СЦЕНАРИЯ ОТКАЗОВ, ПРОВЕДЕННЫЕ В ПОСЛЕДНЕЕ ВРЕМЯ

4.1. Сценарий
4.2. Оперативный запас реактивности

4.1. СЦЕНАРИЙ
Проведению аналитической работы в конце 1986 года способствовало получение в Вене данных из СССР. Были предоставлены критические данные о конфигурации регулирующих стержней, уровне мощности и пространственном распределении энерговыделения непосредственно перед аварией, а также информация о превалировавших теплогидравлических условиях. Информация о том, что пространственное распределение энерговыделения характеризовалось двугорбой кривой, по-видимому, вначале обусловило мнение о том, что величина положительного парового коэффициента реактивности была несколько меньшей в связи с меньшим облучением топлива на верхней и нижней границах активной зоны.
Некоторые аналитики обнаружили, что в случае пониженных значений парового коэффициента было трудно согласовать временную последовательность событий при разгоне реактора с теми данными, которые были опубликованы советскими учеными на Венском совещании. Поэтому был начат поиск дополнительного механизма, который мог сыграть в этом свою роль. Именно в этой связи стали открыто постулировать наличие положительного выбега реактивности при вводе стержней СУЗ в режиме аварийного останова реактора, причем сначала в некоторых проведенных на западе анализах.
Подробный анализ показал, что реактивность, внесенная вследствие положительного выбега реактивности при аварийном останове реактора, будучи добавленной к той, которая обеспечивалась за счет парообразования в результате повышенного кипения, была достаточной для того, чтобы образовался мощный вызванный скачком реактивности переходной процесс, сравнимый с тем, который был описан на Венском совещании.
Существование эффекта, связанного с положительным выбегом реактивности при аварийном останове реактора, было впервые подтверждено советскими экспертами на конференции по показателям и безопасности ядерной энергетики в Вене в 1987 году (Nuclear Power Performance and Safety (Proc. Conf. Vienna, 1987) 6 vols, IAEA, Vienna (1988). См. литературу [2] к Приложению I, стр. 134.) В докладе комиссии Госпроматомнадзора указывается, что в момент аварии об этом явлении было известно и что впервые оно было обнаружено на реакторе РБМК Игналинской АЭС в Литовской Республике в 1983 году (Приложение I, Раздел 1-3.8). Хотя главный конструктор реакторов РБМК направил эту информацию на другие станции с реакторами РБМК и заявил, что для компенсации этого эффекта необходимы конструктивные изменения, такие изменения реализованы не были, и организационные меры, рекомендованные им для включения в эксплуатационные инструкции станций, приняты не были. По-видимому, существовало широко распространенное мнение, что условия, в которых эффект положительного выбега реактивности при вводе стержней СУЗ окажется важным, никогда не возникнут. Однако они возникли почти со всеми подробностями в ходе действий, приведших к аварии.
В настоящее время в большинстве аналитических исследований тяжесть аварии связывается с недостатками конструкции стержней СУЗ в сочетании с физическими проектными характеристиками, сделавшими возможным непреднамеренное возникновение больших положительных значений парового коэффициента. Аварийный останов реактора непосредственно перед резким скачком мощности, приведшим к разрушению реактора, безусловно, мог явиться решающим фактором, способствовавшим этому.
С другой стороны, особенности реактора РБМК поставили также и другие ловушки для эксплуатационного персонала. Любая из них могла бы в равной мере вызвать событие, инициирующее такую или почти идентичную аварию. Они включали в себя:
—Срыв насосов, нарушение функции перекачки теплоносителя или кавитацию насосов в сочетании с воздействием положительного парового коэффициента. Любая из этих причин могла бы привести к неожиданному усилению эффекта положительного парового коэффициента.
—Разрушение топливных каналов из циркониевого сплава или сварных швов между ними и трубопроводами из нержавеющей стали, вероятнее всего, вблизи входа в активную зону в нижней части реактора.
Разрушение топливного канала явилось бы причиной резкого локального возрастания паросодержания вследствие превращения в пар теплоносителя; это привело бы к локальному росту реактивности, который вызвал бы появление распространяющегося эффекта реактивности.
Таким образом, возникает вопрос: какие же слабые места в конечном счете вызвали аварию?
Есть и второй вопрос: имеет ли в действительности значение то, какой именно недостаток явился реальной причиной, если любой из них мог потенциально явиться определяющим фактором?

4.2. ОПЕРАТИВНЫЙ ЗАПАС РЕАКТИВНОСТИ
ОЗР выражается через число эффективных стержней СУЗ номинальной реактивности, погруженных в активную зону. Это определение не является точным и, по-видимому, операторы плохо понимали важность этой величины для безопасности станции. Было широко распространено мнение, что важность ОЗР основывалась на необходимости иметь в активной зоне число регулирующих элементов, достаточное для маневрирования таким образом, чтобы поддерживать сбалансированное в целом распределение энерговыделения, особенно в свете тенденции к ксеноновой нестабильности в столь большой и имеющей слабые внутренние связи активной зоне. И все же у оператора не было возможности легко узнавать значение ОЗР, и это значение не было также включено в систему защиты реактора. При обсуждении сценария оказалось, что операторам, по-видимому, не известно о другой причине важности ОЗР, которая заключается в том, что он может сильно влиять на паровой и мощностной коэффициенты.
Один из предусмотренных в проекте подходов в отношении предотвращения недопустимо больших значений паровых коэффициентов заключается в повышении обогащения топлива и в компенсации избыточной реактивности введением поглотителей. При первоначальной загрузке активных зон реакторов РБМК эти поглотители были установлены, закреплены в топливных каналах и отделены от системы управления и защиты реактора. При выгорании топлива проектировщики разрешали удалять эти поглотители и увеличивать облучение топлива. Это значительно смещало величины паровых коэффициентов в сторону положительных значений и, кроме того, делало их чрезвычайно восприимчивыми к степени погружения стержней СУЗ. В условиях аварии паровой коэффициент возрос до такой степени, что он стал преобладать над другими компонентами мощностного коэффициента, и сам мощностной коэффициент сделался положительным.
Существует еще одни аспект важности ОЗР для безопасности, которому в целом уделялось слишком мало внимания. Персонал реактора 4 блока Чернобыльской АЭС, по-видимому, считал, что до тех пор, пока выдерживался минимально допустимый ОЗР (15 эффективных стержней), независимо от того, какой была реальная конфигурация этих стержней, требования безопасности удовлетворялись. Это совершенно неверно.
Схема расположения стержней СУЗ может способствовать обеспечению безопасности в случае переходного процесса мощности только тогда, когда уже при первом введении стержня в активную зону после сигнала аварийной защиты он начинает значительно снижать реактивность. Эта возможность может быть обеспечена только в случае, если поглощающие концы стержней находятся в области, в которой неглубокое погружение приводит к относительно большому снижению реактивности. На периферии активной зоны реактора такой области нет. В ходе испытаний, приведших к разрушению реактора, по-видимому, не применялась методика правильного позиционирования стержней.
В докладе комиссии Госпроматомнадзора (Приложение I, Раздел 1-3.8) сообщается, что после того, как в 1983 году на Игналинской АЭС был обнаружен эффект положительного выбега реактивности, организация Главного конструктора проинформировала другие организации и все атомные электростанции с реакторами РБМК о том, что она намеревается ограничить число полностью извлекаемых из активной зоны стержней СУЗ. Однако такие ограничения в действие введены не были и, по-видимому, об этом вопросе забыли.


5. ВЗГЛЯДЫ ИНСАГ
5.1. Конструкция
5.2. Действия персонала
5.3. Система мероприятий по обеспечению безопасности
5.4. Последствия игнорирования недостатков
5.5. Важность компетентного анализа безопасности
5.6. Недостатки режима регулирования
5.7. Общие замечания о недостаточном уровне культуры безопасности
5.8. Итоговая оценка


В предыдущих разделах подробно изложена и проанализирована информация, полученная после совещания 1986 года по рассмотрению причин и последствий аварии в Чернобыле. Цель Раздела 5 заключается в том, чтобы дать замечания по поднятым вопросам с точки зрения необходимости какого-либо пересмотра INSAG-1 и важности новой информации в контексте аварии. Рассматриваются три взаимосвязанных аспекта: конструктивные особенности, действия персонала и общая структура контроля вопросов безопасности.
Следует отметить, что новая информация надежно обоснована в той степени, насколько это возможно в настоящее время. Однако нельзя исключить изменения этой информации в будущем, равно как и изменения восприятия ее значимости.

5.1. КОНСТРУКЦИЯ
Указывался ряд возможных событий, непосредственно инициировавших аварию, причем все они обусловлены конкретными конструктивными особенностями. Вместо того, чтобы вступать в дискуссию, заведомо имея твердое мнение, что вряд ли может пролить новый свет на данный вопрос, ИНСАГ предпочитает рассмотреть те проблемы конструкции, в связи с которыми возникают основные вопросы.
В INSAG-1 повторяется высказанное советскими представителями мнение о том, что основной причиной аварии явился мощный переходной процесс, вызванный скачком реактивности и ставший возможным благодаря положительному мощностному коэффициенту. Общее замечание в INSAG-1 заключалось в том, что в момент, когда безопасность станции подвергается серьезной угрозе, должны включаться автоматические системы безопасности (стр. 81). Предотвращение аварии, связанной с быстрым мощностным коэффициентом, зависело от быстроты действий эксплуатационного персонала; это недопустимо противоречило вышеуказанному фундаментальному принципу проектирования.
Особенностью конструкции станции, вызвавшей обширные комментарии и не отмеченной в первоначальной советской оценке, была неудовлетворительная система аварийного останова, которая предопределила положительный выбег реактивности. Как сейчас представляется, наиболее вероятным окончательным вызвавшим аварию событием явился ввод стержней СУЗ в критический момент испытаний, который усугубил до разрушительного уровня уже существующие ввиду положительного мощностного коэффициента условия. В этом случае авария явилась бы результатом применения сомнительных регламентов и процедур, которые привели к проявлению и сочетанию двух серьезных проектных дефектов конструкции стержней и положительной обратной связи по реактивности.
Положительный выбег реактивности мог произойти только вследствие особого положения стержней СУЗ, а двугорбая кривая распределения энерговыделения указывает на тот факт, что произошел разрыв связи между верхней и нижней половинами активной зоны реактора. Все эти условия превалировали одновременно.
По-видимому, никогда не удастся узнать наверняка, соответствует ли действительности эта версия возникновения аварии. И вряд ли фактически имеет значение то, явился ли положительный выбег реактивности при аварийном останове последним событием, вызвавшим разрушение реактора. Важно лишь то, что такой недостаток существовал и он мог явиться причиной аварии. Заслуживает порицания тот факт, что этот недостаток был известен столь давно и не был устранен. Безусловно, дан ная в INSAG-1 оценка, была бы иной, если бы на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле стало бы известно о таких особенностях стержней СУЗ.
В проекте предусматривалось и в момент подготовки INSAG-1 было четко признано требование о поддержании такой конфигурации регулирующих стержней, которая обеспечивает, по крайней мере, минимально допустимый ОЗР. Если, как было заявлено впоследствии, в пультовой не было эффективных средств информирования операторов об этом параметре, то опять же особенности конструкции сослужили им дурную службу, и в этом случае необходимо изменение первоначального вывода, содержащегося в INSAG-1. В ходе недавних обсуждений ИНСАГ фактически подвергла сомнению концепцию ОЗР, поскольку его определение (см. Раздел 4.2) не дает полной гарантии того, что такая конфигурация регулирующих стержней полностью обеспечивает достаточную защиту реактора.
С учетом нынешних знаний можно было бы еще в большей степени подчеркнуть общее впечатление, создавшееся в момент подготовки INSAG-1. Конструкция предъявляет к системе управления/останова реактора противоречивые требования. С точки зрения оператора, в обычном режиме эта система обеспечивает средства регулирования мощности реактора и коррекции распределения энерговыделения. Система также влияет на значение парового коэффициента, и необходимо произвести отключение реактора в аварийных условиях. Не понятно, почему в нормальных условиях все эти требования не могут быть удовлетворены. Однако действия операторов, которые подняли до верхних концевиков почти все стержни, противоречили одновременным требованиям сохранения возможности выключения реактора и поддержания соответствующих значений мощностного коэффициента (хотя последнее в то время недооценивалось операторами). Возможность противоречия между этими целями является нежелательной конструктивной особенностью, ввиду которой станция стала в чрезмерной степени зависеть от правильности действий оператора. В первом пункте уроков и рекомендаций INSAG-1 содержится общее замечание о том, что "конструкции АЭС должны быть в наиболее возможной степени невосприимчивы к ошибке оператора и к преднамеренному нарушению регламентов безопасности" (стр. 31).
Что касается конкретных характеристик системы выключения реактора, то ИНСАГ в то время определила, что эта система не обладала достаточным быстродействием, и нет оснований изменять эту точку зрения, несмотря на новые мнения о возможных причинах аварии. Еще одно сформировавшееся тогда общее впечатление сейчас еще более укрепилось.
Регламенты, в соответствии с которыми осуществлялось управление реактором, были недостаточно хорошо обоснованы с точки зрения анализа присущих ему свойств безопасности. Фактически это признается во втором пункте уроков и рекомендаций INSAG-1: "Регламенты, относящиеся к эксплуатации АЭС, должны готовиться тщательным образом с уделением постоянного внимания влиянию на безопасность тех или иных намерений" (стр. 31).

5.2. ДЕЙСТВИЯ ПЕРСОНАЛА

5.2.1. Нарушения регламентов
В INSAG-1 особое развитие получила представленная советскими экспертами точка зрения в отношении действий персонала, и здесь целесообразно воспользоваться информацией, ставшей известной в последнее время. В 1986 году в качестве основных причин аварии были указаны конкретные нарушения регламентов. В частности:
—Заявлялось, что длительная эксплуатация реактора на уровнях мощности ниже 700 МВт(тепл.) запрещена. Это заявление основывалось на неправильной информации. Такое запрещение должно было существовать, однако в тот момент его не было.
—Восемь главных циркуляционных насосов работали на полной мощности и, по-видимому, расход нескольких из них превышал предписанные значения. ИНСАГ высказала мнение, что такой режим эксплуатации был неправильным. Комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.7) в докладе сообщает, что одновременная эксплуатация всех восьми насосов никаким документом, включая рабочую программу испытаний, не запрещалась, хотя превышения расходов, когда они возникали, являлись нарушением технологического регламента. Этот вопрос связан с вопросом о недогреве, изложенном в Разделе 5.2.3.
—В INSAG-1 указывалось, что эксплуатация при слишком низком ОЗР являлась нарушением требований. И сейчас ИНСАГ повторяет, что нарушение имело место, но оно оказалось важным по причинам, отличным от тех, которые были .приняты ранее. Это привело к повышенным значениям парового коэффициента, а также к такому положению стержней СУЗ, в котором они не только потеряли эффективность, но и стали оказывать разрушительное воздействие.
—В INSAG-1 указывалось, что во время испытаний в Чернобыльской АЭС были отключены три компонента защиты реактора. Вопреки тому, что было указано в INSAG-1, имеющаяся в настоящее время информация позволяет предположить следующее:
•Отключение САОР на Чернобыльской АЭС, в принципе, не было запрещено регламентом нормальной эксплуатации. ИНСАГ понимает, что это было требованием графика испытаний, и в соответствии с правилами от Главного инженера было получено специальное разрешение на такое отключение. В любом случае не было необходимости отключать САОР на столь продолжительный период времени. ИНСАГ считает, что отключение не повлияло на возникновение аварии, но явилось свидетельством низкого уровня культуры безопасности.
•Блокировка сигнала аварийного останова реактора по уровню воды и давлению пара в барабанах-сепараторах могла бы быть допустимой, однако этого не произошло; ИНСАГ считает, что это не повлияло бы на возникновение аварии, и к тому же в любом случае существовала другая система защиты.
•Блокировка сигнала аварийной зашиты по останову "двух турбогенераторов" была разрешена≫ и в действительности требовалась регламентами по нормальной эксплуатации на низких уровнях мощности, таких, как уровень мощности при рассматриваемых испытаниях. При любом случае блокировка этого сигнала, безусловно, могла вызвать разрушение реактора скорее во время аварийного останова турбогенератора, а не вскоре после него.

ИНСАГ хотела бы сделать дополнительное замечание о том, что, хотя все это может быть и так, следует отметить довольно легкомысленное отношение к блокировке защиты реактора как технологического регламента по эксплуатации, так и операторов; об этом свидетельствует продолжительность времени, в течение которого была отключена САОР, при работе реактора на половинной мощности.

5.2.2. Отступления от рабочей программы испытаний
Не оспаривается тот факт, что испытания были начаты на уровне мощности (200 МВт(тепл.)), который заведомо ниже предписанного в рабочей программе испытаний. Некоторые из недавних замечаний, адресованных ИНСАГ, сводятся к аргументу, что это было допустимо, поскольку ничто в регламенте по нормальной эксплуатации не запрещало этого. Однако факты таковы, что:
—рабочая программа испытаний была изменена только для этого случая;
—причиной этого явилась неспособность операторов восстановить уровень мощности, на котором должны были проводиться испытания;
—это произошло из-за установившегося состояния реактора ввиду его предшествующей работы на половинной мощности и последующего провала мощности до весьма низких уровней;
—в результате, когда начались испытания, расположение регулирующих стержней, распределение энерговыделения в активной зоне и теплогидравлические условия были такими, что реактор оказался в весьма неустойчивом нерегламентном состоянии.

Когда мощность реактора не удалось восстановить до требуемого уровня 700 МВт(тепл.), эксплуатационный персонал не остановился и не обдумал создавшееся положение, а сразу же изменил условия испытаний таким образом, чтобы они соответствовали их мнению относительно существовавших в тот момент условий.
При проведении испытаний на атомной электростанции весьма важной является хорошо запланированная рабочая программа таких испытаний. Эта программа должна строго выполняться. Если в процессе испытаний оказалось, что исходная программа неудовлетворительна или не может осуществляться как запланировано, то испытания должны быть прекращены, и следует осуществить оценку любых предусматриваемых изменений на основе тщательно запланированного заранее процесса.

5.2.3. Другие недостатки культуры безопасности
Предшествующее обсуждение во многих случаях указывает на недостаточный уровень культуры безопасности. Критика недостаточной культуры безопасности была одной из главных тем INSAG-1, и нынешнее рассмотрение не уменьшает остроты этой проблемы. Стоит подчеркнуть два уже упомянутых примера, поскольку они имеют отношение к особым способностям, требуемым при эксплуатации реактора.
Реактор эксплуатировался в режиме кипения теплоносителя в активной зоне и в то же время с незначительным или нулевым недогревом на всасе насосов и на входе в активную зону. Такой режим работы сам по себе мог привести к разрушительной аварии, подобной той, которая в конце концов и произошла, учитывая характеристики положительной обратной связи по реактивности реактора РБМК. То, что не признавалась необходимость избегать такой ситуации, указывает на недостатки, выразившиеся в эксплуатации атомной электростанции без тщательного и скрупулезного анализа безопасности, в условиях, когда персонал не был ознакомлен с результатами такого анализа безопасности и не проникся духом культуры безопасности.
Это последнее замечание особенно уместно в отношении второго момента, который касается эксплуатации реактора в условиях, когда очти все стержни СУЗ выведены в положения, в которых они оказываются неэффективными с точки зрения быстрого снижения реактивности, если неожиданно потребуется заглушить реактор. Сознание необходимости избегать такой ситуации должно быть второй натурой всех ответственных лиц из числа эксплуатационного персонала и всех проектировщиков, ответственных за разработку инструкций по эксплуатации станции.

5.3. СИСТЕМА МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ
Основное внимание в INSAG-1 было уделено непосредственным вопросам чернобыльской аварии, и в нем содержится мало ссылок на структуру регулирования и общую систему мероприятий по обеспечению безопасности, в рамках которой эксплуатировалась станция. С тех пор прояснился рад вопросов и были вынесены суждения, на основе которых сейчас можно представить более широкие оценки.
Комиссия Госпроматомнадзора (Приложение I, Раздел 1-3) сравнивала проект 4 блока АЭС с действовавшими в момент проектирования требованиями безопасности, заявляя, что 9 проекте имеются существенные отступления от установленных норм. ENSAG отмечает, что некоторые вопросы, поднятые в докладе комиссии Госпроматомнадзора, отражают ее собственную озабоченность.
Этот вопрос дополнительно обсуждается в следующих ниже разделах.

5.4. ПОСЛЕДСТВИЯ ИГНОРИРОВАНИЯ НЕДОСТАТКОВ
В Приложениях I и П указывается, что важные проблемы проекта Чернобыльской АЭС, признанные в настоящее время, фактически признавались еще до аварии. ИНСАГ отмечает наблюдения, сделанные на Игналинской АЭС в 1983 году, когда возможность ввода положительной реактивности при останове реактора стала очевидной, и событие на Ленинградской АЭС в 1975 году, которое в ретроспективе показало, что события, вызываемые локальной обратной связью по реактивности, могут вызвать повреждение реактора. Эти два события указывали на существование недостатков в проекте. Хотя эти события имели сходство с событиями, потенциально приводящими к аварии, их тщательного анализа явно не проводилось. Вызывает большую озабоченность то, что эта важная информация не рассматривалась надлежащим образом, а в случаях, когда она распространялась среди проектировщиков, операторов и лиц, ответственных за регулирование, ее значимость не была полностью осознана и эта информация по существу игнорировалась.

5.5. ВАЖНОСТЬ КОМПЕТЕНТНОГО АНАЛИЗА БЕЗОПАСНОСТИ
Независимое техническое рассмотрение и анализ безопасности являются краеугольным камнем удовлетворительного режима безопасности, и в этой связи ИНСАГ полагает, что проектированию и эксплуатации 4 блока Чернобыльской АЭС, а также других реакторов РБМК должно было уделяться значительно больше внимания. В ходе такого рассмотрения недостатки проекта, безусловно, обнаружились бы. Явившееся результатом такого рассмотрения углубленное понимание процессов в сочетании с режимом, требующим независимого и официального утверждения изменений, связанных с безопасностью аспектов проекта и технологических регламентов по эксплуатации, в значительной мере способствовало бы предотвращению аварии в целом. Даже помимо очевидной присущей ему изначальной ценности, компетентный анализ безопасности помогает создать обстановку внимательного отношения к безопасности как к первостепенной задаче. Этот принцип предопределяет важность эффективной передачи операторам знаний, полученных в результате выполнения анализа безопасности.

5.6. НЕДОСТАТКИ РЕЖИМА РЕГУЛИРОВАНИЯ
5.6.1. Общие недостатки
Обеспечение безопасности вопреки неизбежному давлению в связи с необходимостью выполнять производственные задания требует приверженности эксплуатирующей организации цепям безопасности и прочного и независимого режима регулирования, который надлежащим образом финансируется, имеет поддержку на правительственном уровне и обладает всеми необходимыми полномочиями по контролю за соблюдением требований. В момент аварии такого рода режима в СССР не существовало.
ИНСАГ было сообщено, что регулирующий режим был неэффективен во многих важных областях, таких, как анализ безопасности при проектировании и эксплуатации станций, в отношении требований к подготовке кадров и внедрения культуры безопасности и оказания ей содействия, а также контроля за соблюдением правил. Он не функционировал в качестве независимого компонента в деле обеспечения безопасности.

5.6.2. Доклад комиссии Госпроматомнадзора
В докладе комиссии Госпроматомнадзора (Приложение I) содержится обширная информация, в которой подчеркивается отсутствие эффективного режима ядерного регулирования на протяжении многих лет до аварии. Технический проект реакторной установки РБМК был утвержден, несмотря на несоответствие многим требованиям, предъявляемым к проектированию атомных электростанций в СССР.

5.7. ОБЩИЕ ЗАМЕЧАНИЯ О НЕДОСТАТОЧНОМ УРОВНЕ КУЛЬТУРЫ БЕЗОПАСНОСТИ
В своем докладе о чернобыльской аварии ИНСАГ ввела новый термин "культура безопасности", описывающий режим безопасности, который должен существовать на атомной станции. В последующем докладе, INSAG-4, озаглавленном "Культура безопасности"3, в котором это понятие развивалось, ИНСАГ проследила развитие культуры безопасности от ее изначального закрепления в национальном правовом режиме, связанном с ядерной безопасностью. Это устанавливает надлежащую цепочку ответственности и полномочий для требуемого уровня безопасности. Культура безопасности как в отношении режима эксплуатации, так и регулирования должна прививаться в организациях путем надлежащего отношения к делу и практики руководства. В предыдущем обсуждении неоднократно указывалось, что режим эксплуатации на Чернобыльской АЭС отличался недостаточным уровнем культуры безопасности. В соответствии со взглядами, изложенными в INSAG-4, ИНСАГ в настоящее время подтверждает мнение о том, что в СССР до чернобыльской аварии на АЭС не было надлежащей культуры безопасности. Многие из требований культуры безопасности, по-видимому, существовали в правилах, но не внедрялись на практике. Многих других необходимых характеристик не существовало вообще. В местную практику на атомных станциях, а практика на Чернобыльской АЭС, как можно полагать, не отличалась от других, не входили элементы культуры безопасности.

5.8. ИТОГОВАЯ ОЦЕНКА
Рассматривая информацию, ставшую известной после Совещания по рассмотрению причин и последствий аварии в Чернобыле, ИНСАГ приходит к выводу, что факторы, приведшие к аварии, следует искать в особенностях средств безопасности конструкции (проекта), действиях персонала, общей системе мероприятий по обеспечению безопасности и структуре регулирования. В связи с нынешним восприятием событий существует необходимость сместить акцент таким образом, чтобы он в большей степени касался недостатков средств безопасности конструкции, о которых говорилось в INSAG-1, а также признать проблемы, обусловленные структурой, в рамках которой осуществлялась эксплуатация станции. Однако ИНСАГ по-прежнему придерживается мнения о том, что во многих отношениях действия персонала были неудовлетворительными.


6. ВЫВОДЫ В ОТНОШЕНИИ ФАКТОРОВ, СПОСОБСТВОВАВШИХ РАЗВИТИЮ АВАРИИ

(1) Была рассмотрена информация, ставшая известной в отношении аварии на 4 блоке Чернобыльской АЭС после 1986 года. При рассмотрении применялся весьма осторожный подход с учетом того, что при поступлении новой информации картина может вновь измениться. Однако, представляется, что основные контуры проблем в настоящее время приобретают ясность.

(2) В 1986 году ИНСАГ выпустила свой доклад INSAG-1, в котором обсуждалась чернобыльская авария и ее причины на основе информации, представленной советскими компетентными органами Совещанию по рассмотрению причин и последствий аварии в Чернобыле, состоявшемуся в августе 1986 года. Ставшая сейчас известной новая информация повлияла на взгляды, представленные в INSAG-1, таким образом, что основное внимание сместилось на аспекты, связанные с конкретными особенностями конструкции (проекта), включая конструкцию стержней СУЗ и систем безопасности, а также на то, как важная для безопасности информация доводилась до сведения персонала.
В настоящее время представляется, что авария явилась следствием совпадения следующих основных факторов:
— специфических физических характеристик реактора;
— специфических особенностей конструкции органов управления реактором;
— и того факта, что реактор был выведен в состояние, не оговоренное регламентом и не исследованное независимым органом по вопросам безопасности.
Наиболее важным представляется то, что именно физические характеристики реактора обусловили его неустойчивое поведение.

(3) Две произошедшие ранее аварии на реакторах РБМК, одна на Ленинградской АЭС (1 блок в 1975 году) и повреждение топлива на Чернобыльской АЭС (1 блок в 1982 году), уже выявили серьезные слабости в характеристиках в эксплуатации энергоблоков РБМК. Авария на 1 блоке Ленинградской АЭС даже рассматривается некоторыми как предвестник чернобыльской аварии. Однако уроки, извлеченные из этих аварий, свелись главным образом лишь к весьма ограниченным изменениям конструкции или усовершенствованиям практики эксплуатации. Ввиду отсутствия связи и обмена информацией между различными эксплуатирующими организациями эксплуатационному персоналу Чернобыльской АЭС не было известно о характере и причинах аварии на 1 блоке Ленинградской АЭС.

(4) Достоверно не известно, с чего начался скачок мощности, приведший к разрушению реактора Чернобыльской АЭС. Определенная положительная реактивность, по-видимому, была внесена в результате роста паросодержания при падении расхода теплоносителя. Внесение дополнительной положительной реактивности в результате погружения полностью выведенных стержней СУЗ в ходе испытаний явилось, вероятно, решающим приведшим к аварии фактором. Этот последний эффект был результатом недоработки конструкции стержней, характер которого был обнаружен на Игналинской АЭС в 1983 году. Однако после обнаружения этого дефекта на Игналинской АЭС положение исправлено не было, никаких мер по компенсации принято не было и эксплуатирующим организациям впоследствии никакой информации не направлялось.

(5) Можно сказать, что авария явилась следствием низкой культуры безопасности не только на Чернобыльской АЭС, но и во всех советских проектных, эксплуатирующих и регулирующих организациях атомной энергетики, существовавших в то время. Культура безопасности, детально рассмотренная в INSAG-4 (см. сноску 3), требует полной приверженности делу обеспечения безопасности, которая на атомных электростанциях формируется главным образом отношением к этому руководителей организаций, участвующих в их проектировании и эксплуатации. В этой связи оценка чернобыльской аварии показывает, что недостаточная культура безопасности была присуща не только этапу эксплуатации, но также, и не в меньшей степени, деятельности на других этапах жизненного цикла атомных электростанций (включая проектирование, инженерно-технические разработки, сооружение, изготовление и регулирование).

(6) Тем самым уменьшается значение, которое придавалось в 1986 году в INSAG-1, представленной на Венском совещании точке зрения советских специалистов, почти полностью возложивших вину на действия эксплуатационного персонала. Некоторые действия персонала, которые в INSAG-1 были классифицированы как нарушения правил, фактически не являлись нарушениями. И все же ИНСАГ по-прежнему придерживается мнения о том, что критические действия персонала были в основном ошибочными. Как указывается в INSAG-1, человеческий фактор следует по-прежнему считать основным элементом среди причин аварии. Низкое качество регламентов и инструкций по эксплуатации и их противоречивый характер явились тяжелым бременем для эксплуатационного персонала, включая Главного инженера. Следует также отметить, что тип и количество контрольно-измерительной аппаратуры, а также компоновка пультовой затрудняли обнаружение небезопасных состояний реактора. Тем не менее правила эксплуатации были нарушены, и стержни СУЗ были установлены так, что это поставило бы под угрозу аварийную защиту реактора даже в случае, если бы конструкция стержней не была ошибочной по причине упомянутого выше эффекта положительного выбега реактивности при аварийном останове реактора. Наибольшего осуждения заслуживает то, что неутвержденные изменения в программу испытаний были сразу же преднамеренно внесены на месте, хотя было известно, что установка находится совсем не в том состоянии, в котором она должна была находиться при проведении испытаний.

(7) Настоящим докладом ИНСАГ не отменяет доклад INSAG-1, как и не изменяет выводы того доклада, за исключением ясно указанных здесь случаев. Хотя взгляды ИНСАГ в отношении факторов, способствовавших развитию аварии, изменились, многие другие выводы INSAG-1 остались неизменными.

(8) Подводя итоги, следует отметить, что новая информация выявила ряд более широких проблем, внесших вклад в возникновение аварии.
К ним относятся:
— установка фактически не соответствовала действовавшим нормам безопасности во время проектирования и даже имела небезопасные конструктивные особенности;
— недостаточный анализ безопасности;
— недостаточное внимание к независимому рассмотрению безопасности;
— регламенты по эксплуатации надлежащим образом не обоснованы в анализе безопасности;
— недостаточный и неэффективный обмен важной информацией по безопасности как между операторами, так и между операторами и проектировщиками;
— недостаточное понимание персоналом аспектов их станции, связанных с безопасностью;
— неполное соблюдение персоналом формальных требований регламентов по эксплуатации и программы испытаний;
— недостаточно эффективный режим регулирования, оказавшийся не в состоянии противостоять требованиям производственной необходимости;
— общая недостаточность культуры безопасности в ядерных вопросах как на национальном, так и на местном уровне.


ДОПОЛНЕНИЕ: меры по повышению безопасности АЭС с реакторами РБМК.
Сообщается, что сразу же после чернобыльской аварии были разработаны организационные и технические мероприятия по повышению безопасности эксплуатации действующих АЭС с реакторами РБМК. Они включали в себя введение ограничений на остальных АЭС с реакторами РБМК, осуществление изменений, которые ранее рассматривались как необходимые, и другие изменения, которые были явно полезными с точки зрения безопасности.
Во-первых, ИНСАГ было сообщено, что разработаны и внедрены мероприятия, направленные на:
— уменьшение положительного парового (пустотного) коэффициента
реактивности и влияния полного запаривания активной зоны на реактивность;
— повышение скоростной эффективности аварийной защиты;
— внедрение новых программ расчета оперативного запаса реактивности с цифровой индикацией его текущей величины на пульте оператора;
— предотвращение возможности отключения аварийных защит при работе реактора на мощности путем введения требования эксплуатационного предела и внедрения двухкнопочной системы отключения защиты;
— исключение режимов, приводящих к снижению температурного запаса до кипения теплоносителя на входе в реактор (это касается вопроса надлежащего недогрева на входе в активную зону).

ИНСАГ было также сообщено, что снижение парового коэффициента реактивности было обеспечено установкой в активную зону дополнительных фиксированных поглотителей (до 90 штук) и путем перевода всех реакторов РБМК на топливо с обогащением 2,4% по 23SU. На всех реакторах мощностью 1000 МВт(эл.) было добавлено такое количество более высокообогащенного топлива, которое необходимо для компенсации влияния дополнительных фиксированных поглотителей, и планируется завершить переход на использование только более высокообогащенного топлива. В связи с этим ИНСАГ отмечает, что польза от повышения обогащения топлива будет сохранена только в том случае, если не увеличивать глубину выгорания топлива по сравнению с той, которая имела место в прошлом. Если повышенное обогащение топлива использовать для продления срока его службы, то топливо в конце цикла будет содержать меньше 235U и больше 239Ри и это будет способствовать увеличению положительного парового коэффициента.
Заявляется, что ОЗР был таким образом увеличен до уровня 43-48 (в зависимости от реактора) стержней ручного регулирования СУЗ. ИНСАГ было сообщено, что имевшиеся стержни СУЗ были заменены стержнями новой конструкции, исключающими столбы воды в нижней части каналов и имеющими более длинную поглощающую часть.
ИНСАГ было сообщено, что скорость ввода стержней СУЗ была повышена, причем время полного погружения стержней в активную зону уменьшено с 18 до 12 секунд.
ИНСАГ было сообщено, что на всех действующих реакторах внедрена система быстродействующей аварийной защиты (БАЗ). Эта система включает 24 дополнительных стержня аварийной защиты. БАЗ при необходимости обеспечивает ввод отрицательной реактивности более 20 (где 0 —доля запаздывающих нейтронов) за время менее 2,5 секунды. Значение 2/3 было рассчитано на основе консервативных предположений и перекрывает любую дополнительную реактивность, которая может возникнуть в связи с полной потерей теплоносителя в реакторе. ИНСАГ сообщено, что в настоящее время все реакторы РБМК оснащены системой БАЗ.
Мероприятия по снижению парового коэффициента и увеличению скорости снижения реактивности при срабатывании аварийной защиты могли бы также оказаться полезными в связи с неконтролируемым скачком мощности в случае обезвоживания активной зоны.
ИНСАГ было сообщено, что эксплуатационная документация была откорректирована с учетом уроков, извлеченных из чернобыльской аварии, и осуществления мероприятий по повышению безопасности РБМК. В число новых входит положение, согласно которому в настоящее время для эксплуатации реакторов РБМК в стационарном режиме установлен более низкий предел мощности, равный 700 МВт(тепл.).
Было сообщено, что приняты также другие меры в целях более эффективного смягчения последствий аварии. Они изложены в докладе Рабочей группы экспертов СССР (Приложение П).