Tchernobyl: ch.8. Les ajouts au rapport №1 (INSAG-1) - rapport INSAG-7 (Octobre 1993) ..

Informations sur l'accident de Tchernobyl et ses conséquences pour le rapport de l'AIEA a préparé №1 (INSAG-1)


C O D E F G H A & E
Carte Flash
0. introduction
1. Description de la centrale nucléaire de Tchernobyl avec des réacteurs RBMK-1000.
2. Chronologie de l'accident.
3. L' analyse du processus de développement de l'accident sur un modèle mathématique.
4. Les raisons de l'accident.
5. Prévention des accidents et de réduire ses conséquences.
6. Suivi de la contamination radioactive de l'environnement et la santé publique.
7. Recommandations pour l' amélioration de la sécurité des centrales nucléaires.





RAPPORT DU GROUPE CONSULTATIF INTERNATIONAL SUR LA SÛRETÉ NUCLÉAIRE

SOMMAIRE

1. INTRODUCTION
2. CARACTERISTIQUES DU REACTEUR
2.1. coefficient de réactivité Void
2.2. La conception des barres de commande
2.3. tiges de protection Vitesse d'urgence d'entrée
2.4. régulation de puissance
2.5. Matériel d'essai marge enregistrement de réactivité
2.6. Les dimensions du coeur du réacteur,
2.7. La capacité à apporter des modifications au système de sécurité, d'alarme et descendre à la station
2.8. entrée de réfrigérant chauffage insuffisant
2.9. Système de boucle de refroidissement primaire
2.10. coque de protection
3. TROUBLE
4. Analyse des scénarios de défaillance, effectuée récemment
4.1. scénario
4.2. marge de réactivité opérationnelle
5. VUES DE INSAG
5.1. conception
5.2. personnel Actions
5.3. des mesures visant à assurer que le système de sécurité
5.4. Les conséquences d'ignorer les lacunes
5.5. L'importance d'une analyse compétente de la sécurité
5.6. régime Lacks
5.7. Observations générales sur l'absence d'une culture de la sécurité
5.8. évaluation finale
6. CONCLUSIONS SUR LES FACTEURS, contribuent à la ACCIDENT de développement
ANNEXE: mesures visant à améliorer la sécurité des RBMK centrales nucléaires

ANNEXE I: RAPPORT DU COMITÉ D'ÉTAT URSS CONSEIL DE supervision des travaux conducteurs de sécurité dans une industrie et l'énergie nucléaire. 1991.
1-1. introduction
1-2. Brève information sur la conception unité 4 de Tchernobyl
1-3. Certains écarts projettent de Tchernobyl Unité 4 exigences des règles et normes de sécurité
1-4. Les causes et les circonstances de l'accident
1-5. conclusion
Références à l'annexe I
Références à l'annexe II

ANNEXE II: RAPPORT DU GROUPE DE TRAVAIL D'EXPERTS URSS. 1991.
II-1. Brève description et caractéristiques de l'installation du réacteur de l'unité RBMK-1000 de Tchernobyl 4
II-2. Les idées modernes sur l'origine et le développement de l'accident de Tchernobyl
II-3. Mesures visant à améliorer la sécurité des centrales nucléaires avec RBMK
II-4. conclusion

Les membres du Groupe consultatif international sur la sécurité nucléaire
Les membres du groupe de travail et d'experts associés



2. CARACTERISTIQUES DU REACTEUR

2.1. coefficient de réactivité Void
2.2. La conception des barres de commande
2.3. tiges de protection Vitesse d'urgence d'entrée
2.4. régulation de puissance
2.5. Matériel d'essai marge enregistrement de réactivité
2.6. Les dimensions du coeur du réacteur,
2.7. La capacité à apporter des modifications au système de sécurité, d'alarme et descendre à la station
2.8. entrée de réfrigérant chauffage insuffisant
2.9. Système de boucle de refroidissement primaire
2.10. coque de protection


Ce qui suit est un bref résumé de quelques-uns de la conception (design) dispose d'1 systèmes de réacteurs et connexes RBMK-1000 4 de l'unité de la centrale nucléaire de Tchernobyl au moment de l'accident 26 Avril 1986. Ces caractéristiques ont un impact majeur sur le déroulement de l'accident et de ses conséquences.

2.1. coefficient de VAPEUR de réactivité
Dans un coeur de réacteur refroidi par de l'eau bouillante contenant une certaine quantité de vapeur d'eau. des bulles de vapeur dits vides, ainsi que la part du volume du liquide de refroidissement occupé par des vides, appelés teneur en vapeur du fluide de refroidissement. Si vous modifiez le contenu de vapeur changement de réactivité; rapport de ces deux changements est appelé coefficient de vide de la réactivité, ce qui peut être positif ou négatif en fonction de la conception du réacteur. Modification de la puissance du réacteur peut conduire à une modification de la concentration de vapeur, et peut également provoquer d'autres effets qui changent la réactivité. Ces changements doivent être compensées par les barres de contrôle de la réactivité. Le rapport de la variation totale de la réactivité atteint ainsi l'a fait changer la puissance appelée coefficient de puissance de réactivité, et ce facteur peut être positif ou négatif.
coefficient de vapeur de réactivité est l'élément dominant du coefficient de puissance des réacteurs RBMK réactivité, ce qui reflète le haut degré de dépendance de la réactivité du coeur du réacteur fraction de vide. La valeur de ce facteur dépend essentiellement du choix de l'espacement de réseau et la composition du noyau (le nombre de incorporé dans le noyau des barres de commande, le nombre d'amortisseurs supplémentaires sont installés, d'enrichissement et de taux de combustion). Sur la base des recherches effectuées après l'accident, il a été signalé que le coefficient de réactivité de vapeur calculée pour les gammes RBMK-1000 de -1.3 x 10 ~ 4% -1 (Sk / k) pour le carburant svezhezagruzhennogo à + (2,0 2,5) X 10 ~ 4% ~ l (6k / k) pour l'état d'équilibre de surcharge que la perte complète de changement de liquide de refroidissement réactivité était -2/3 pour le carburant svezhezagruzhennogo 1 ce rapport utilise souvent le terme «design» une centrale nucléaire. Sa valeur est définie dans la série de publications sur les normes de sûreté nucléaire de l'AIEA (NUSS): processus et le résultat de l'évolution du concept, des dessins détaillés, calculs à l'appui et les spécifications pour une centrale nucléaire et de son équipement.
et + (4-5) / 3 pour le mode de surcharge stationnaire (où / 3 - la proportion de neutrons retardés). La documentation du projet pour le réacteur RBMK a indiqué que le coefficient de vide de réactivité pour le démarrage et l'état d'équilibre est négatif (voir. Annexe A, Section II-3).
Par conséquent, bien que le taux de vide de la réactivité varier sur une large gamme de négative à des valeurs positives, en fonction de la composition du noyau et le mode de fonctionnement du réacteur, le facteur de puissance rapide dans des conditions normales de fonctionnement sont restées négatives. Lors de l'accident, le coefficient de réactivité vapeur et d'énergie ont été positifs.

2.2. barres de contrôle CONSTRUCTION
Les barres de commande du réacteur RBMK introduit dans le noyau par le haut, à l'exception de courtes tiges 24 qui sont introduits à partir du bas et qui sont utilisées pour aligner la distribution d'énergie. Chaque extrémité de chaque barre d'absorption 12 à l'exception des tiges utilisées pour la régulation automatique de la tige attachée de graphite, appelés «déplaceur». Déplaceur inférieur empêche la pénétration d'eau dans l'espace laissé vacant tige extractibles, ce qui améliore la capacité de la tige de compensation. Graphite chaque RBMK des barres de déplacement tout moment de l'échec a été relié à l'arbre à travers un "télescope", de sorte que le déplacement de la tige absorbante et séparée d'une distance de 1,25 m, rempli d'eau (voir. Fig. 1). Les dimensions de la tige et le plongeur sont telles que lorsqu'elle est complètement extraite barre de déplacement située dans la partie médiane du coeur rempli de carburant, et au-dessus et au-dessous des colonnes d'eau de 1,25 m de hauteur.
À la réception du signal d'arrêt d'urgence du réacteur, ce qui provoque la chute d'une barre complètement rétablie, le déplacement de l'eau à partir du canal à la partie inférieure du mouvement de la tige vers le bas avec le commutateur de limite supérieure provoque une entrée réactivité positive locale dans la partie inférieure du noyau. L'ampleur de cet effet de «réactivité positive en arrêt d'urgence" dépendait de la distribution spatiale du champ de l'énergie et le mode de fonctionnement du réacteur.

absorbeur
eau
graphite
déplaceur
eau
Fig. 1 position la plus haute du système de protection des barres de commande d'urgence par rapport au coeur du réacteur RBMK (a) avant et (b) après les améliorations apportées après l'accident de Tchernobyl. Les dimensions sont en pouces.


2.3. VITESSE D'ENTRÉE TIGES protection d'urgence
Le temps nécessaire pour la pleine immersion des tiges de protection d'urgence (ie. E. Cores qui fournissent arrêt d'urgence) dans le noyau pendant le mouvement de l'interrupteur de limite supérieure, était 18c. Ce taux d'alimentation faible est principalement le résultat d'un ajustement serré de la tige dans son canal, de sorte que l'eau de refroidissement, ce qui ferait passer la tige agissant comme un liquide dans l'amortisseur ou amortisseur de déplacement.

2.4. RÈGLEMENT DU POUVOIR
RBMK-1000 réacteur a été équipé de deux systèmes assurant la commande de puissance. Le premier d'entre eux était un système de distribution d'énergie de contrôle physique (SFKRE) et avait des capteurs situés à l'intérieur du noyau. Le second était un système de contrôle et de protection dont les capteurs sont situés à l'intérieur du noyau, et à l'extérieur, sur le côté du réservoir de protection biologique.
En principe, ces deux systèmes ont été développés de manière à se compléter mutuellement. SFKRE a été développé pour surveiller la distribution de puissance relative et absolue dans la plage de 10-120% et de contrôler la puissance du réacteur dans la plage de 5-120% de la puissance nominale. Contrôle et protection du réacteur comprennent un système de contrôle automatique local et protection automatique local (LAR-LAZ). système LAR-LAZ reçoit des signaux provenant des capteurs et intrabande charge de la régulation des niveaux de puissance supérieurs à 10% de la valeur nominale. Contrôle à des niveaux de faible puissance a été effectuée que sur la base de capteurs situés à l'extérieur du noyau lorsque le réacteur est exploité à faible puissance lorsque le système est éteint SFKRE et LAR-LAZ, à la disposition des opérateurs n'a pas eu de contrôle et de capteurs de mesure situés à l'intérieur du noyau. L'opérateur de prendre des décisions sur la régulation de la puissance et la distribution spatiale de l'énergie, a dû compter principalement sur les lectures des capteurs, situés à l'extérieur du noyau. Cependant, les capteurs situés en dehors de la zone active, ne pouvait montrer la répartition du flux neutronique dans celui-ci. En outre, ils ne pouvaient pas montrer la répartition moyenne du débit sur toute la hauteur du noyau, étant donné qu'ils se trouvent en face de la mi-hauteur du noyau.
Par conséquent, le contrôle du réacteur est à des niveaux de faible puissance, l'opérateur a dû compter principalement sur les expériences et l'intuition, et aucune preuve pour les appareils du système de régulation. Dans de telles circonstances, l'opérateur peut avoir besoin d'effectuer des actions de contrôle à 1000 par heure.
Pourtant, le contrôle de la puissance de l'RBMK-1000 au démarrage, lorsque le réacteur est non absorbeurs de neutrons ou lorsqu'il n'a pas été empoisonné par le xénon-135 est différent et beaucoup plus facile à contrôler le champ d'énergie inégale réacteur empoisonné à faible puissance. Dans ce dernier cas, ce qui est largement présent dans les tests mis fin à la destruction du réacteur 4 de l'unité de Tchernobyl centrale nucléaire, il existe un risque de grands champs d'inclinaison et à haute énergie non-uniformité de la hauteur et le rayon de l'âme. Les opérateurs pratiquement aucune expérience de commande de puissance est dans ces conditions.

2.5. Equipement de test de réactivité marge ENREGISTREMENT
Matériel informatique et test utilisé pour déterminer la marge de réactivité réacteur RBMK-1000, était situé à une distance de 50 m de la télécommande. Le système d'acquisition de données a reçu des informations à partir d'environ 4000 points de l'enquête. Le système a été utilisé pour le calcul périodique de la marge de réactivité opérationnelle (ORM), ce qui représente une réactivité supplémentaire, ce qui se produit dans le cas de l'extraction de barres de commande, et exprimée en multiple de la réactivité totale, tige réglable standard. Cycle de mesure et de calcul de l'ISP dans le système de collecte des données était d'environ 10-15 minutes. Le système a été conçu pour apporter un soutien à l'opérateur dans le contrôle de la distribution d'énergie à l'état stable, et a été utilisé à cet effet, en liaison avec le système de la distribution spatiale de l'énergie de contrôle.

2.6. DIMENSIONS cœur du réacteur
Du fait de la grande taille du coeur du réacteur RBMK-1000 (la hauteur de 7 m de diamètre 11,8m), la réaction en chaîne dans une partie du noyau très faiblement couplée à une réaction en chaîne dans les autres régions éloignées de lui.
Ceci conduit à la nécessité de réguler la distribution spatiale de l'énergie dans sensiblement la même que si le volume dans le noyau, il y a plusieurs réacteurs indépendants. Dans des circonstances extrêmes, cette situation peut être très instable, car petite redistribution spatiale de la réactivité peut provoquer une redistribution spatiale considérable d'énergie. Une manifestation de cet échec de la communication dans le noyau est que juste avant que la réaction en chaîne par accident dans les parties supérieure et inférieure du réacteur est presque indépendante, et est mélangée dans un empoisonnement au xénon profond situé entre la partie centrale. Dans ces conditions, lors de la saisie des barres de contrôle de la réactivité positive extraction totale d'entrée de l'effet de la position décrite précédemment avec un arrêt rapide du réacteur peut conduire à un paramètre critique dans la partie inférieure du coeur et de la répartition de déplacement rapide du flux de neutrons vers le bas, indépendamment de la façon dont a été cette allocation immédiatement avant la saisie des tiges . Dans des conditions d'accident de mélange distribution d'énergie en raison de l'entrée de la réactivité positive avec l'arrêt rapide du réacteur pourrait être significatif.

2.7. Les changements possibles dans le système de sécurité, STOP ET ALARME STATION
Dans 4 des opérateurs de l'unité de la centrale nucléaire de Tchernobyl ont pu désactiver manuellement certains systèmes de sécurité, des dispositifs de blocs d'arrêt d'urgence automatique du réacteur et réinitialiser ou supprimer différents systèmes d'alarme des alarmes. Cela peut être fait simplement en réglant les cavaliers sur le terminal, qui a eu accès. Dans certaines circonstances, les procédures d'exploitation permettent un tel voyage.

2.8. COOLANT INLET chauffage insuffisant
réacteurs RBMK - un réacteurs à eau bouillante. les flux réfrigérant dans le coeur du réacteur à partir du fond sous la forme d'eau bouillante sous-refroidie jusqu'à la température d'ébullition, et commence à une certaine distance le long du trajet d'écoulement à travers le noyau. L'analyse et des expériences ont montré que la stabilité du réacteur est important degré de sous-refroidissement d'entrée de réfrigérant réacteur à eau bouillante. Si le sous-refroidissement tombe presque à zéro, le point d'ébullition commence à peu près à l'entrée du coeur, et compte tenu du coefficient de réactivité à la vapeur de la réactivité des effets deviennent très sensibles à la température du fluide caloporteur à l'entrée.
En outre, étant donné que la température du liquide de refroidissement au niveau du site d'entrée de la pompe de circulation dans le noyau ne varie que légèrement, à très basse température de l'eau dans le sous-refroidissement et d'aspiration des pompes sont proches du point d'ébullition. Dans de telles conditions, le comportement des pompes peut devenir instable, et dans certaines conditions, la pression peut être réduite de manière significative ou même devenir zéro (un processus appelé cavitation). Cette question est abordée à la section 2.9.

2.9. SYSTÈME CIRCUIT réfrigérant primaire
RBMK-1000 possède deux boucles indépendantes primaire de refroidissement en boucle, dont chacun refroidit la moitié du réacteur. Chaque boucle comporte quatre pompe de circulation principale, dont trois sont utilisés en fonctionnement normal; une quatrième pompe est en attente comme une réserve pour une utilisation en cas d'avoir à arrêter l'un des trois pompes en fonctionnement. La performance de chaque pompe est de 5500 à 12.000 m3 / h. Sur la ligne de refoulement de chaque pompe installée en tant que soupape de protection et de verrouillage clapet anti-retour pour empêcher le retour en cas de défaillance de la pompe. Chaque pompe est équipée de vannes d'arrêt qui permettent, le cas échéant, de l'isoler.
Le fluide de refroidissement fourni à partir de chacune des trois pompes dans la boucle de refroidissement est dirigé vers un collecteur commun 22 et distribuer ensuite le groupe de collecteur dans chaque moitié du réacteur. Ces collecteurs sont répartis sur des canaux d'écoulement tubulaires séparés contenant du combustible nucléaire. Chaque soupape de commande d'arrêt de canal réglé est utilisé pour optimiser la distribution radiale de refroidissement à coeur. Point d'ébullition se produit pendant le passage du réfrigérant à travers les canaux dans la partie qui traverse le coeur du réacteur. le mélange de vapeur de différents canaux de combustible associé à deux tubes individuels parallèles séparateur à tambour horizontal dans chaque boucle. Du haut de chaque séparateur de vapeur est envoyé aux deux collecteurs de vapeur où il va vers les turbines. Le courant de condensat provenant de la turbine dans chaque boucle forme un courant d'eau d'alimentation qui est reliée au courant de recyclage de l'eau du générateur de vapeur pour former le courant d'entrée à l'aspiration de la pompe de fluide de refroidissement. Ainsi, la boucle de circulation d'agent de refroidissement est fermée.
Dans des circonstances normales, chaque débit de la pompe
8000 m3 / h. la température normale à l'entrée du noyau est de 270 ° C et à la sortie du coeur 284 ° C sous une pression de 7 MPa (environ 70 atm). La température de l'eau qui tombe dans le collecteur d'admission de la pompe de circulation principale dépend de l'intensité de l'évaporation dans le réacteur, étant donné que la vapeur d'eau, après passage à travers la turbine est condensée et se transforme en un fluide de refroidissement du composant d'alimentation en eau froide fournie à la pompe et le noyau. À la suite de la réduction de la puissance du flux de fluide de refroidissement diminue de composant réacteur à eau d'alimentation, la température du liquide de refroidissement à l'entrée de la pompe d'aspiration et dans le noyau est augmentée en conséquence. В ходе операций нормального пуска и останова реактора расход в первичном контуре теплоносителя контролируется с помощью регулирующих клапанов дроссельного типа таким образом, чтобы он снизился от нормального уровня 8000 м3/ч на насос до величины 6000-7000 м3/ч.
В режимах пониженной мощности при пуске и останове реактора используется меньшее число насосов. Эти меры обеспечивают достаточно низкую температуру на входе главного циркуляционного насоса, чтобы предотвратить кавитацию в насосах и сохранить соответствующее распределение парообразования по высоте топливных каналов.
Непосредственно перед чернобыльской аварией и на начальном этапе аварии работали все восемь насосов. Четыре запитывались от работающей турбины, а четыре - от внешнего источника энергопитания.
Использование всех восьми насосов привело к тому, что расход теплоносителя превысил уровень, соответствующий номинальным условиям при полной мощности, уменьшив уже и так низкое паросодержание в активной зоне. Это низкое паросодержание снизило коэффициент трения потока теплоносителя. Кроме того, ввиду пониженного уровня мощности реактора в это время недогрев теплоносителя на входе в активную зону был лишь незначительным и, в зависимости от точных значений расхода питательной воды и потока рециркуляции, а также распределения давления в трубопроводах системы, он мог оказаться вообще нулевым. Эти условия привели к началу кипения в нижней части активной зоны или вблизи нее. В существовавших тогда эксплуатационных условиях паровой коэффициент реактивности был весьма существенно положительным, а активная зона находилась в состоянии повышенной восприимчивости к увеличению положительной обратной связи по паровой реактивности в случае повышения мощности. Более того, при повышенном расходе теплоносителя уменьшился запас до кавитации циркуляционных насосов.
После отключения турбины работа запитанных от нее четырех насосов начала замедляться, поскольку скорость вращения турбины снижалась и падало напряжение связанного с ней генератора. Понижающийся расход через активную зону вызвал повышение паросодержания в активной зоне и обусловил появление первоначальной положительной обратной связи по реактивности, которая по крайней мере отчасти была причиной аварии. По-прежнему не ясно, падала ли в этот период нагнетательная способность насосов, которые обеспечивали циркуляцию смешанной пароводяной смеси, или же даже произошли кавитация и срыв насосов и они вообще прекратили обеспечивать циркуляцию теплоносителя. В докладе комиссии Государственного комитета СССР по надзору за безопасным ведением работ в промышленности и атомной энергетике (Госкоматомнадзора) (Приложение I, Раздел 1-4.5) содержится ссылка на исследования, в результате которых сделано заключение о том, что кавитации насосов не было. По крайней мере, положительный паровой коэффициент реактора РБМК приводит к тому, что его конструкция в обстоятельствах аварии оказывается чрезвычайно восприимчивой к нару шениям работы или срыву насосов.

2.10. ЗАЩИТНАЯ ОБОЛОЧКА
Реакторы РБМК имеют отдельные конструкции для "локализации". Иными словами, отдельные части реактора и контура теплоносителя находятся в индивидуальных герметичных помещениях, каждое из которых имеет целью обеспечить защиту от разрыва трубопроводов первого контура (локализацию) только в данном помещении. В частности, активная зона реактора находится в реакторном пространстве, боковые стенки которого также служат в качестве защиты. Нижняя часть реакторного пространства представляет собой тяжелую плиту, на которой собрана активная зона, а сверху имеется плита с металлоконструкциями весом 2000 тонн. Концевики топливных каналов проходят через нижнюю и верхнюю плиты и приварены к ним. Отдельные герметичные помещения соединяются трубами с расположенной внизу системой "бассейнов-барботеров", которые служат в качестве бассейнов аварийного сброса давления, - конструктивное решение, в некоторой степени похожее на то, которое принято для большинства кипящих реакторов в западных странах.
Так же, как на других реакторах РБМК, имевших такое пространство для локализации над активной зоной реактора, это пространство способно выдерживать номинальное избыточное давление, создаваемое паром при одновременном разрыве двух каналов. Такое ограничение возможности обусловлено размерами труб сброса давления, выходящих в бассейны-барботеры. Одновременный разрыв множества топливных каналов привел бы к возникновению Давления, достаточно высокого для того, чтобы функция локализации нарушилась вследствие подъема верхней плиты, в ходе чего произошли бы разрывы остальных технологических каналов.


3. АВАРИЯ

Последовательность событий, описанная в INSAG-1, была воспроизведена на основе информации, представленной советскими учеными на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле, и в ходе обсуждений между советскими учеными и специалистами МАГАТЭ в последующую неделю. Tableau. IINSAG-1 и в сопровождающем ее тексте последовательность событий представлена в том виде, как она понималась в то время на основе использования данных станции и компьютерного моделирования. Со времени Венского совещания был выполнен значительный объем дополнительной работы по анализу событий, что привело к новому пониманию физических характеристик реактора РБМК (изложенных в Разделе 2), а также некоторых подробностей хода аварии 26 апреля 1986 года. Это углубленное понимание вызвало необходимость пересмотреть некоторые детали сценария, представленного в INSAG-1, а также изменить некоторые важные выводы.
Подробная хронологическая последовательность событий в том виде, как она представляется в настоящее время, содержится в подготовленных в СССР докладах комиссии Госпроматомнадзора под председательством Н. А. Штейнберга и рабочей группы экспертов СССР под председательством А. А. Абагяна (Приложения I и II). Более того, часть информации в конце табл. I INSAG-1 в значительной степени основывается на представленных в 1986 году результатах компьютерного моделирования, которая впоследствии была заменена информацией на основе результатов более сложного анализа. В Разделе 3 не обсуждается значимость различий в построениях моделей. Упоминаемые ниже моменты времени, события и их значимость соответствуют данным, приведенным в табл. IINSAG-1.

(1) Отключение системы аварийного охлаждения реактора (14 ч 00 мин 00 с, 25 апреля)

В INSAG-1 указывалось, что блокировка системы аварийного охлаждения реактора (САОР) явилась нарушением регламента. Однако полученная в последнее время из Советского Союза информация подтверждает, что блокировка САОР на Чернобыльской АЭС была фактически допустима, если она разрешалась Главным инженером, и что такое разрешение было дано на время проведения испытаний, приведших к аварии, и даже было утверждено в рабочей программе испытаний. ИНСАГ полагает, что этот момент не повлиял на возникновение и развитие аварии.Однако следует признать, что в течение приблизительно 11 часов до аварии реактор эксплуатировался на половинной мощности с заблокированной САОР.
Это можно было бы не рассматривать как нарушение только в случае, если бы 11-часовой период работы на половинной мощности являлся частью запланированных испытаний, что явно было не так. Отключение САОР на этот период и разрешение эксплуатации в течение продолжительного периода времени с выведенной из работы важнейшей системой безопасности указывают на отсутствие культуры безопасности.

(2) Работа реактора на минимально контролируемом уровне мощности реактора (23 ч 10 мин 00 с, 25 апреля)

Содержащееся в INSAG-1 заявление (стр. 15) о том, что "продолжительная эксплуатация на уровне ниже 700 МВт (тепл.) запрещена нормальными процедурами безопасности ввиду проблем теплогидравлической неустойчивости", основывалось на устных заявлениях, сделанных советскими экспертами в ходе дискуссий сразу же после Венского совещания. Фактически же запрещения продолжительной эксплуатации реактора на уровне мощности ниже 700 МВт(тепл.) не содержалось ни в проектной документации, ни в нормативно-регламентационных ограничениях, ни в инструкциях по эксплуатации. Важность, придаваемая этому заявлению в INSAG-1, не оправдана. После происшедшего ясно, что такое запрещение должно было быть применено.

(3) Переход с локального на общее регулирование мощности (00 ч 28 мин 00 с, 26 апреля)

В докладе INSAG-1 указывается, что резкое снижение мощности до 30 МВт (тепл.) обусловлено ошибкой оператора. В последних докладах предполагается, что ошибки оператора не было как таковой; в докладе комиссии Госпроматомнадзора (Приложение I, Разделы 1-4.6, 1-4.7) содержится ссылка на неизвестную причину и невозможность регулировать мощность, а А. С. Дятлов, бывший заместитель главного инженера по эксплуатации Чернобыльской АЭС, в частной беседе ссылается на неисправности в работе системы.

(4) Блокирован сигнал аварийной зашиты по останову турбогенераторов (01 ч 23 мин 04 с, 26 апреля)

В свете новой информации были изменены как время, так и значение блокировки сигнала аварийной защиты по останову турбогенераторов. Это событие произошло скорее в 00 ч 43 мин 27 с, а не в 01 ч 23 мин 04 с, как указано в INSAG-1. Время отключения второго турбогенератора остается неизменным. Этот сигнал аварийной защиты был выведен в соответствии с технологическими регламентами по эксплуатации и рабочей программой испытаний, и комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.4) не поддерживает обвинения, предъявленные эксплуатационному персоналу.
В свете новой информации, касающейся ввода положительной реактивности при аварийном останове реактора, содержащееся в столбце "Значение" табл. I доклада INSAG-1 утверждение о том, что "эта аварийная система спасла бы реактор", представляется необоснованным.

(5) Не соблюден требуемый оперативный запас реактивности (01 ч 00 мин 00 с, 26 апреля)
Последние доклады подтверждают, что в 01 ч 00 мин 00 с 26 апреля минимальный ОЗР был действительно не соблюден и фактически в них заявляется, что этот минимальный ОЗР не соблюдался даже в течение нескольких часов 25 апреля. В соответствии с зарегистрированными данными, вычислительная система СКАЛА, которая использовалась для расчета ОЗР, в период проведения испытаний стала ненадежной. По мнению ИНСАГ, возможно, что во время критической части испытаний оператор не знал значения ОЗР. Вероятно, он сознавал, что продолжение эксплуатации в условиях повышения ксенонового отравления реактора снижает ОЗР. Операторы привыкли к тому, чтобы рассматривать нижний предел ОЗР как необходимый для контроля пространственного распределения энерговыделения в реакторе, но они не знали, что он важен для безопасности ввиду увеличения положительного парового коэффициента по мере уменьшения ОЗР. Они не ощущали необходимости оставить соответствующее число стержней СУЗ в частично погруженном положении, для того чтобы в случае надобности быстро понизить реактивность. Фактически значение уменьшения ОЗР с точки зрения безопасности оказывается гораздо большим, чем было указано в докладе INSAG-1. Весь этот вопрос подробно обсуждается в Разделе 4 настоящего доклада.

(6) Блокированы сигналы аварийной защиты реактора по уровню воды и давлению пара в барабанах-сепараторах (01 ч 19 мин 00 с, 26 апреля)
Недавно полученная информация позволяет предположить, что защита реактора по уровню воды и давлению пара в барабанах-сепараторах была изменена уже в 00 ч 36 мин 26 апреля, а не в 01 ч 19 мин 00 с, как указано в INSAG-1. Однако в соответствии с Приложением I (Раздел 1-4.7.4) "обвинения в блокировке защиты по давлению пара в БС, предъявленные персоналу в официальных материалах, Комиссия [Госпроматомнадзора] не подтверждает".
Это изменение точки зрения основывается на том факте, что в отношении нижнего уровня воды в барабанах-сепараторах предусмотрены два уровня защиты, один с аварийной уставкой на высоте 600 мм и другой обычно на высоте 1100 мм, в зависимости от уровня мощности. Операторы не восстановили защиту по этому уровню и в техническом отношении нарушили пункт 9 "Регламента переключения ключей и накладок технологических защит и блокировок" (в соответствии с докладом комиссии Госпроматомнадзора (Приложение I, Разделы 1-4.7.4, 1-4.7.8)). Однако защита по нижнему уровню воды в барабанах-сепараторах на протяжении события продолжала действовать.


4. АНАЛИЗЫ СЦЕНАРИЯ ОТКАЗОВ, ПРОВЕДЕННЫЕ В ПОСЛЕДНЕЕ ВРЕМЯ

4.1. scénario
4.2. Оперативный запас реактивности

4.1. СЦЕНАРИЙ
Проведению аналитической работы в конце 1986 года способствовало получение в Вене данных из СССР. Были предоставлены критические данные о конфигурации регулирующих стержней, уровне мощности и пространственном распределении энерговыделения непосредственно перед аварией, а также информация о превалировавших теплогидравлических условиях. Информация о том, что пространственное распределение энерговыделения характеризовалось двугорбой кривой, по-видимому, вначале обусловило мнение о том, что величина положительного парового коэффициента реактивности была несколько меньшей в связи с меньшим облучением топлива на верхней и нижней границах активной зоны.
Некоторые аналитики обнаружили, что в случае пониженных значений парового коэффициента было трудно согласовать временную последовательность событий при разгоне реактора с теми данными, которые были опубликованы советскими учеными на Венском совещании. Поэтому был начат поиск дополнительного механизма, который мог сыграть в этом свою роль. Именно в этой связи стали открыто постулировать наличие положительного выбега реактивности при вводе стержней СУЗ в режиме аварийного останова реактора, причем сначала в некоторых проведенных на западе анализах.
Подробный анализ показал, что реактивность, внесенная вследствие положительного выбега реактивности при аварийном останове реактора, будучи добавленной к той, которая обеспечивалась за счет парообразования в результате повышенного кипения, была достаточной для того, чтобы образовался мощный вызванный скачком реактивности переходной процесс, сравнимый с тем, который был описан на Венском совещании.
Существование эффекта, связанного с положительным выбегом реактивности при аварийном останове реактора, было впервые подтверждено советскими экспертами на конференции по показателям и безопасности ядерной энергетики в Вене в 1987 году (Nuclear Power Performance and Safety (Proc. Conf. Vienna, 1987) 6 vols, IAEA, Vienna (1988). См. литературу [2] к Приложению I, стр. 134.) В докладе комиссии Госпроматомнадзора указывается, что в момент аварии об этом явлении было известно и что впервые оно было обнаружено на реакторе РБМК Игналинской АЭС в Литовской Республике в 1983 году (Приложение I, Раздел 1-3.8). Хотя главный конструктор реакторов РБМК направил эту информацию на другие станции с реакторами РБМК и заявил, что для компенсации этого эффекта необходимы конструктивные изменения, такие изменения реализованы не были, и организационные меры, рекомендованные им для включения в эксплуатационные инструкции станций, приняты не были. По-видимому, существовало широко распространенное мнение, что условия, в которых эффект положительного выбега реактивности при вводе стержней СУЗ окажется важным, никогда не возникнут. Однако они возникли почти со всеми подробностями в ходе действий, приведших к аварии.
В настоящее время в большинстве аналитических исследований тяжесть аварии связывается с недостатками конструкции стержней СУЗ в сочетании с физическими проектными характеристиками, сделавшими возможным непреднамеренное возникновение больших положительных значений парового коэффициента. Аварийный останов реактора непосредственно перед резким скачком мощности, приведшим к разрушению реактора, безусловно, мог явиться решающим фактором, способствовавшим этому.
С другой стороны, особенности реактора РБМК поставили также и другие ловушки для эксплуатационного персонала. Любая из них могла бы в равной мере вызвать событие, инициирующее такую или почти идентичную аварию. Они включали в себя:
—Срыв насосов, нарушение функции перекачки теплоносителя или кавитацию насосов в сочетании с воздействием положительного парового коэффициента. Любая из этих причин могла бы привести к неожиданному усилению эффекта положительного парового коэффициента.
—Разрушение топливных каналов из циркониевого сплава или сварных швов между ними и трубопроводами из нержавеющей стали, вероятнее всего, вблизи входа в активную зону в нижней части реактора.
Разрушение топливного канала явилось бы причиной резкого локального возрастания паросодержания вследствие превращения в пар теплоносителя; это привело бы к локальному росту реактивности, который вызвал бы появление распространяющегося эффекта реактивности.
Таким образом, возникает вопрос: какие же слабые места в конечном счете вызвали аварию?
Есть и второй вопрос: имеет ли в действительности значение то, какой именно недостаток явился реальной причиной, если любой из них мог потенциально явиться определяющим фактором?

4.2. ОПЕРАТИВНЫЙ ЗАПАС РЕАКТИВНОСТИ
ОЗР выражается через число эффективных стержней СУЗ номинальной реактивности, погруженных в активную зону. Это определение не является точным и, по-видимому, операторы плохо понимали важность этой величины для безопасности станции. Было широко распространено мнение, что важность ОЗР основывалась на необходимости иметь в активной зоне число регулирующих элементов, достаточное для маневрирования таким образом, чтобы поддерживать сбалансированное в целом распределение энерговыделения, особенно в свете тенденции к ксеноновой нестабильности в столь большой и имеющей слабые внутренние связи активной зоне. И все же у оператора не было возможности легко узнавать значение ОЗР, и это значение не было также включено в систему защиты реактора. При обсуждении сценария оказалось, что операторам, по-видимому, не известно о другой причине важности ОЗР, которая заключается в том, что он может сильно влиять на паровой и мощностной коэффициенты.
Один из предусмотренных в проекте подходов в отношении предотвращения недопустимо больших значений паровых коэффициентов заключается в повышении обогащения топлива и в компенсации избыточной реактивности введением поглотителей. При первоначальной загрузке активных зон реакторов РБМК эти поглотители были установлены, закреплены в топливных каналах и отделены от системы управления и защиты реактора. При выгорании топлива проектировщики разрешали удалять эти поглотители и увеличивать облучение топлива. Это значительно смещало величины паровых коэффициентов в сторону положительных значений и, кроме того, делало их чрезвычайно восприимчивыми к степени погружения стержней СУЗ. В условиях аварии паровой коэффициент возрос до такой степени, что он стал преобладать над другими компонентами мощностного коэффициента, и сам мощностной коэффициент сделался положительным.
Существует еще одни аспект важности ОЗР для безопасности, которому в целом уделялось слишком мало внимания. Персонал реактора 4 блока Чернобыльской АЭС, по-видимому, считал, что до тех пор, пока выдерживался минимально допустимый ОЗР (15 эффективных стержней), независимо от того, какой была реальная конфигурация этих стержней, требования безопасности удовлетворялись. Это совершенно неверно.
Схема расположения стержней СУЗ может способствовать обеспечению безопасности в случае переходного процесса мощности только тогда, когда уже при первом введении стержня в активную зону после сигнала аварийной защиты он начинает значительно снижать реактивность. Эта возможность может быть обеспечена только в случае, если поглощающие концы стержней находятся в области, в которой неглубокое погружение приводит к относительно большому снижению реактивности. На периферии активной зоны реактора такой области нет. В ходе испытаний, приведших к разрушению реактора, по-видимому, не применялась методика правильного позиционирования стержней.
В докладе комиссии Госпроматомнадзора (Приложение I, Раздел 1-3.8) сообщается, что после того, как в 1983 году на Игналинской АЭС был обнаружен эффект положительного выбега реактивности, организация Главного конструктора проинформировала другие организации и все атомные электростанции с реакторами РБМК о том, что она намеревается ограничить число полностью извлекаемых из активной зоны стержней СУЗ. Однако такие ограничения в действие введены не были и, по-видимому, об этом вопросе забыли.


5. ВЗГЛЯДЫ ИНСАГ
5.1. conception
5.2. Действия персонала
5.3. Система мероприятий по обеспечению безопасности
5.4. Последствия игнорирования недостатков
5.5. Важность компетентного анализа безопасности
5.6. Недостатки режима регулирования
5.7. Общие замечания о недостаточном уровне культуры безопасности
5.8. Итоговая оценка


В предыдущих разделах подробно изложена и проанализирована информация, полученная после совещания 1986 года по рассмотрению причин и последствий аварии в Чернобыле. Цель Раздела 5 заключается в том, чтобы дать замечания по поднятым вопросам с точки зрения необходимости какого-либо пересмотра INSAG-1 и важности новой информации в контексте аварии. Рассматриваются три взаимосвязанных аспекта: конструктивные особенности, действия персонала и общая структура контроля вопросов безопасности.
Следует отметить, что новая информация надежно обоснована в той степени, насколько это возможно в настоящее время. Однако нельзя исключить изменения этой информации в будущем, равно как и изменения восприятия ее значимости.

5.1. КОНСТРУКЦИЯ
Указывался ряд возможных событий, непосредственно инициировавших аварию, причем все они обусловлены конкретными конструктивными особенностями. Вместо того, чтобы вступать в дискуссию, заведомо имея твердое мнение, что вряд ли может пролить новый свет на данный вопрос, ИНСАГ предпочитает рассмотреть те проблемы конструкции, в связи с которыми возникают основные вопросы.
В INSAG-1 повторяется высказанное советскими представителями мнение о том, что основной причиной аварии явился мощный переходной процесс, вызванный скачком реактивности и ставший возможным благодаря положительному мощностному коэффициенту. Общее замечание в INSAG-1 заключалось в том, что в момент, когда безопасность станции подвергается серьезной угрозе, должны включаться автоматические системы безопасности (стр. 81). Предотвращение аварии, связанной с быстрым мощностным коэффициентом, зависело от быстроты действий эксплуатационного персонала; это недопустимо противоречило вышеуказанному фундаментальному принципу проектирования.
Особенностью конструкции станции, вызвавшей обширные комментарии и не отмеченной в первоначальной советской оценке, была неудовлетворительная система аварийного останова, которая предопределила положительный выбег реактивности. Как сейчас представляется, наиболее вероятным окончательным вызвавшим аварию событием явился ввод стержней СУЗ в критический момент испытаний, который усугубил до разрушительного уровня уже существующие ввиду положительного мощностного коэффициента условия. В этом случае авария явилась бы результатом применения сомнительных регламентов и процедур, которые привели к проявлению и сочетанию двух серьезных проектных дефектов конструкции стержней и положительной обратной связи по реактивности.
Положительный выбег реактивности мог произойти только вследствие особого положения стержней СУЗ, а двугорбая кривая распределения энерговыделения указывает на тот факт, что произошел разрыв связи между верхней и нижней половинами активной зоны реактора. Все эти условия превалировали одновременно.
По-видимому, никогда не удастся узнать наверняка, соответствует ли действительности эта версия возникновения аварии. И вряд ли фактически имеет значение то, явился ли положительный выбег реактивности при аварийном останове последним событием, вызвавшим разрушение реактора. Важно лишь то, что такой недостаток существовал и он мог явиться причиной аварии. Заслуживает порицания тот факт, что этот недостаток был известен столь давно и не был устранен. Безусловно, дан ная в INSAG-1 оценка, была бы иной, если бы на Совещании 1986 года по рассмотрению причин и последствий аварии в Чернобыле стало бы известно о таких особенностях стержней СУЗ.
В проекте предусматривалось и в момент подготовки INSAG-1 было четко признано требование о поддержании такой конфигурации регулирующих стержней, которая обеспечивает, по крайней мере, минимально допустимый ОЗР. Если, как было заявлено впоследствии, в пультовой не было эффективных средств информирования операторов об этом параметре, то опять же особенности конструкции сослужили им дурную службу, и в этом случае необходимо изменение первоначального вывода, содержащегося в INSAG-1. В ходе недавних обсуждений ИНСАГ фактически подвергла сомнению концепцию ОЗР, поскольку его определение (см. Раздел 4.2) не дает полной гарантии того, что такая конфигурация регулирующих стержней полностью обеспечивает достаточную защиту реактора.
С учетом нынешних знаний можно было бы еще в большей степени подчеркнуть общее впечатление, создавшееся в момент подготовки INSAG-1. Конструкция предъявляет к системе управления/останова реактора противоречивые требования. С точки зрения оператора, в обычном режиме эта система обеспечивает средства регулирования мощности реактора и коррекции распределения энерговыделения. Система также влияет на значение парового коэффициента, и необходимо произвести отключение реактора в аварийных условиях. Не понятно, почему в нормальных условиях все эти требования не могут быть удовлетворены. Однако действия операторов, которые подняли до верхних концевиков почти все стержни, противоречили одновременным требованиям сохранения возможности выключения реактора и поддержания соответствующих значений мощностного коэффициента (хотя последнее в то время недооценивалось операторами). Возможность противоречия между этими целями является нежелательной конструктивной особенностью, ввиду которой станция стала в чрезмерной степени зависеть от правильности действий оператора. В первом пункте уроков и рекомендаций INSAG-1 содержится общее замечание о том, что "конструкции АЭС должны быть в наиболее возможной степени невосприимчивы к ошибке оператора и к преднамеренному нарушению регламентов безопасности" (стр. 31).
Что касается конкретных характеристик системы выключения реактора, то ИНСАГ в то время определила, что эта система не обладала достаточным быстродействием, и нет оснований изменять эту точку зрения, несмотря на новые мнения о возможных причинах аварии. Еще одно сформировавшееся тогда общее впечатление сейчас еще более укрепилось.
Регламенты, в соответствии с которыми осуществлялось управление реактором, были недостаточно хорошо обоснованы с точки зрения анализа присущих ему свойств безопасности. Фактически это признается во втором пункте уроков и рекомендаций INSAG-1: "Регламенты, относящиеся к эксплуатации АЭС, должны готовиться тщательным образом с уделением постоянного внимания влиянию на безопасность тех или иных намерений" (стр. 31).

5.2. ДЕЙСТВИЯ ПЕРСОНАЛА

5.2.1. Нарушения регламентов
В INSAG-1 особое развитие получила представленная советскими экспертами точка зрения в отношении действий персонала, и здесь целесообразно воспользоваться информацией, ставшей известной в последнее время. В 1986 году в качестве основных причин аварии были указаны конкретные нарушения регламентов. En particulier:
—Заявлялось, что длительная эксплуатация реактора на уровнях мощности ниже 700 МВт(тепл.) запрещена. Это заявление основывалось на неправильной информации. Такое запрещение должно было существовать, однако в тот момент его не было.
—Восемь главных циркуляционных насосов работали на полной мощности и, по-видимому, расход нескольких из них превышал предписанные значения. ИНСАГ высказала мнение, что такой режим эксплуатации был неправильным. Комиссия Госпроматомнадзора (Приложение I, Раздел 1-4.7.7) в докладе сообщает, что одновременная эксплуатация всех восьми насосов никаким документом, включая рабочую программу испытаний, не запрещалась, хотя превышения расходов, когда они возникали, являлись нарушением технологического регламента. Этот вопрос связан с вопросом о недогреве, изложенном в Разделе 5.2.3.
—В INSAG-1 указывалось, что эксплуатация при слишком низком ОЗР являлась нарушением требований. И сейчас ИНСАГ повторяет, что нарушение имело место, но оно оказалось важным по причинам, отличным от тех, которые были .приняты ранее. Это привело к повышенным значениям парового коэффициента, а также к такому положению стержней СУЗ, в котором они не только потеряли эффективность, но и стали оказывать разрушительное воздействие.
—В INSAG-1 указывалось, что во время испытаний в Чернобыльской АЭС были отключены три компонента защиты реактора. Вопреки тому, что было указано в INSAG-1, имеющаяся в настоящее время информация позволяет предположить следующее:
•Отключение САОР на Чернобыльской АЭС, в принципе, не было запрещено регламентом нормальной эксплуатации. ИНСАГ понимает, что это было требованием графика испытаний, и в соответствии с правилами от Главного инженера было получено специальное разрешение на такое отключение. В любом случае не было необходимости отключать САОР на столь продолжительный период времени. ИНСАГ считает, что отключение не повлияло на возникновение аварии, но явилось свидетельством низкого уровня культуры безопасности.
•Блокировка сигнала аварийного останова реактора по уровню воды и давлению пара в барабанах-сепараторах могла бы быть допустимой, однако этого не произошло; ИНСАГ считает, что это не повлияло бы на возникновение аварии, и к тому же в любом случае существовала другая система защиты.
•Блокировка сигнала аварийной зашиты по останову "двух турбогенераторов" была разрешена≫ и в действительности требовалась регламентами по нормальной эксплуатации на низких уровнях мощности, таких, как уровень мощности при рассматриваемых испытаниях. При любом случае блокировка этого сигнала, безусловно, могла вызвать разрушение реактора скорее во время аварийного останова турбогенератора, а не вскоре после него.

ИНСАГ хотела бы сделать дополнительное замечание о том, что, хотя все это может быть и так, следует отметить довольно легкомысленное отношение к блокировке защиты реактора как технологического регламента по эксплуатации, так и операторов; об этом свидетельствует продолжительность времени, в течение которого была отключена САОР, при работе реактора на половинной мощности.

5.2.2. Отступления от рабочей программы испытаний
Не оспаривается тот факт, что испытания были начаты на уровне мощности (200 МВт(тепл.)), который заведомо ниже предписанного в рабочей программе испытаний. Некоторые из недавних замечаний, адресованных ИНСАГ, сводятся к аргументу, что это было допустимо, поскольку ничто в регламенте по нормальной эксплуатации не запрещало этого. Однако факты таковы, что:
—рабочая программа испытаний была изменена только для этого случая;
—причиной этого явилась неспособность операторов восстановить уровень мощности, на котором должны были проводиться испытания;
—это произошло из-за установившегося состояния реактора ввиду его предшествующей работы на половинной мощности и последующего провала мощности до весьма низких уровней;
—в результате, когда начались испытания, расположение регулирующих стержней, распределение энерговыделения в активной зоне и теплогидравлические условия были такими, что реактор оказался в весьма неустойчивом нерегламентном состоянии.

Когда мощность реактора не удалось восстановить до требуемого уровня 700 МВт(тепл.), эксплуатационный персонал не остановился и не обдумал создавшееся положение, а сразу же изменил условия испытаний таким образом, чтобы они соответствовали их мнению относительно существовавших в тот момент условий.
При проведении испытаний на атомной электростанции весьма важной является хорошо запланированная рабочая программа таких испытаний. Эта программа должна строго выполняться. Если в процессе испытаний оказалось, что исходная программа неудовлетворительна или не может осуществляться как запланировано, то испытания должны быть прекращены, и следует осуществить оценку любых предусматриваемых изменений на основе тщательно запланированного заранее процесса.

5.2.3. Другие недостатки культуры безопасности
Предшествующее обсуждение во многих случаях указывает на недостаточный уровень культуры безопасности. Критика недостаточной культуры безопасности была одной из главных тем INSAG-1, и нынешнее рассмотрение не уменьшает остроты этой проблемы. Стоит подчеркнуть два уже упомянутых примера, поскольку они имеют отношение к особым способностям, требуемым при эксплуатации реактора.
Реактор эксплуатировался в режиме кипения теплоносителя в активной зоне и в то же время с незначительным или нулевым недогревом на всасе насосов и на входе в активную зону. Такой режим работы сам по себе мог привести к разрушительной аварии, подобной той, которая в конце концов и произошла, учитывая характеристики положительной обратной связи по реактивности реактора РБМК. То, что не признавалась необходимость избегать такой ситуации, указывает на недостатки, выразившиеся в эксплуатации атомной электростанции без тщательного и скрупулезного анализа безопасности, в условиях, когда персонал не был ознакомлен с результатами такого анализа безопасности и не проникся духом культуры безопасности.
Это последнее замечание особенно уместно в отношении второго момента, который касается эксплуатации реактора в условиях, когда очти все стержни СУЗ выведены в положения, в которых они оказываются неэффективными с точки зрения быстрого снижения реактивности, если неожиданно потребуется заглушить реактор. Сознание необходимости избегать такой ситуации должно быть второй натурой всех ответственных лиц из числа эксплуатационного персонала и всех проектировщиков, ответственных за разработку инструкций по эксплуатации станции.

5.3. СИСТЕМА МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ
Основное внимание в INSAG-1 было уделено непосредственным вопросам чернобыльской аварии, и в нем содержится мало ссылок на структуру регулирования и общую систему мероприятий по обеспечению безопасности, в рамках которой эксплуатировалась станция. С тех пор прояснился рад вопросов и были вынесены суждения, на основе которых сейчас можно представить более широкие оценки.
Комиссия Госпроматомнадзора (Приложение I, Раздел 1-3) сравнивала проект 4 блока АЭС с действовавшими в момент проектирования требованиями безопасности, заявляя, что 9 проекте имеются существенные отступления от установленных норм. ENSAG отмечает, что некоторые вопросы, поднятые в докладе комиссии Госпроматомнадзора, отражают ее собственную озабоченность.
Этот вопрос дополнительно обсуждается в следующих ниже разделах.

5.4. ПОСЛЕДСТВИЯ ИГНОРИРОВАНИЯ НЕДОСТАТКОВ
В Приложениях I и П указывается, что важные проблемы проекта Чернобыльской АЭС, признанные в настоящее время, фактически признавались еще до аварии. ИНСАГ отмечает наблюдения, сделанные на Игналинской АЭС в 1983 году, когда возможность ввода положительной реактивности при останове реактора стала очевидной, и событие на Ленинградской АЭС в 1975 году, которое в ретроспективе показало, что события, вызываемые локальной обратной связью по реактивности, могут вызвать повреждение реактора. Эти два события указывали на существование недостатков в проекте. Хотя эти события имели сходство с событиями, потенциально приводящими к аварии, их тщательного анализа явно не проводилось. Вызывает большую озабоченность то, что эта важная информация не рассматривалась надлежащим образом, а в случаях, когда она распространялась среди проектировщиков, операторов и лиц, ответственных за регулирование, ее значимость не была полностью осознана и эта информация по существу игнорировалась.

5.5. ВАЖНОСТЬ КОМПЕТЕНТНОГО АНАЛИЗА БЕЗОПАСНОСТИ
Независимое техническое рассмотрение и анализ безопасности являются краеугольным камнем удовлетворительного режима безопасности, и в этой связи ИНСАГ полагает, что проектированию и эксплуатации 4 блока Чернобыльской АЭС, а также других реакторов РБМК должно было уделяться значительно больше внимания. В ходе такого рассмотрения недостатки проекта, безусловно, обнаружились бы. Явившееся результатом такого рассмотрения углубленное понимание процессов в сочетании с режимом, требующим независимого и официального утверждения изменений, связанных с безопасностью аспектов проекта и технологических регламентов по эксплуатации, в значительной мере способствовало бы предотвращению аварии в целом. Даже помимо очевидной присущей ему изначальной ценности, компетентный анализ безопасности помогает создать обстановку внимательного отношения к безопасности как к первостепенной задаче. Этот принцип предопределяет важность эффективной передачи операторам знаний, полученных в результате выполнения анализа безопасности.

5.6. НЕДОСТАТКИ РЕЖИМА РЕГУЛИРОВАНИЯ
5.6.1. Общие недостатки
Обеспечение безопасности вопреки неизбежному давлению в связи с необходимостью выполнять производственные задания требует приверженности эксплуатирующей организации цепям безопасности и прочного и независимого режима регулирования, который надлежащим образом финансируется, имеет поддержку на правительственном уровне и обладает всеми необходимыми полномочиями по контролю за соблюдением требований. В момент аварии такого рода режима в СССР не существовало.
ИНСАГ было сообщено, что регулирующий режим был неэффективен во многих важных областях, таких, как анализ безопасности при проектировании и эксплуатации станций, в отношении требований к подготовке кадров и внедрения культуры безопасности и оказания ей содействия, а также контроля за соблюдением правил. Он не функционировал в качестве независимого компонента в деле обеспечения безопасности.

5.6.2. Доклад комиссии Госпроматомнадзора
В докладе комиссии Госпроматомнадзора (Приложение I) содержится обширная информация, в которой подчеркивается отсутствие эффективного режима ядерного регулирования на протяжении многих лет до аварии. Технический проект реакторной установки РБМК был утвержден, несмотря на несоответствие многим требованиям, предъявляемым к проектированию атомных электростанций в СССР.

5.7. ОБЩИЕ ЗАМЕЧАНИЯ О НЕДОСТАТОЧНОМ УРОВНЕ КУЛЬТУРЫ БЕЗОПАСНОСТИ
В своем докладе о чернобыльской аварии ИНСАГ ввела новый термин "культура безопасности", описывающий режим безопасности, который должен существовать на атомной станции. В последующем докладе, INSAG-4, озаглавленном "Культура безопасности"3, в котором это понятие развивалось, ИНСАГ проследила развитие культуры безопасности от ее изначального закрепления в национальном правовом режиме, связанном с ядерной безопасностью. Это устанавливает надлежащую цепочку ответственности и полномочий для требуемого уровня безопасности. Культура безопасности как в отношении режима эксплуатации, так и регулирования должна прививаться в организациях путем надлежащего отношения к делу и практики руководства. В предыдущем обсуждении неоднократно указывалось, что режим эксплуатации на Чернобыльской АЭС отличался недостаточным уровнем культуры безопасности. В соответствии со взглядами, изложенными в INSAG-4, ИНСАГ в настоящее время подтверждает мнение о том, что в СССР до чернобыльской аварии на АЭС не было надлежащей культуры безопасности. Многие из требований культуры безопасности, по-видимому, существовали в правилах, но не внедрялись на практике. Многих других необходимых характеристик не существовало вообще. В местную практику на атомных станциях, а практика на Чернобыльской АЭС, как можно полагать, не отличалась от других, не входили элементы культуры безопасности.

5.8. ИТОГОВАЯ ОЦЕНКА
Рассматривая информацию, ставшую известной после Совещания по рассмотрению причин и последствий аварии в Чернобыле, ИНСАГ приходит к выводу, что факторы, приведшие к аварии, следует искать в особенностях средств безопасности конструкции (проекта), действиях персонала, общей системе мероприятий по обеспечению безопасности и структуре регулирования. В связи с нынешним восприятием событий существует необходимость сместить акцент таким образом, чтобы он в большей степени касался недостатков средств безопасности конструкции, о которых говорилось в INSAG-1, а также признать проблемы, обусловленные структурой, в рамках которой осуществлялась эксплуатация станции. Однако ИНСАГ по-прежнему придерживается мнения о том, что во многих отношениях действия персонала были неудовлетворительными.


6. ВЫВОДЫ В ОТНОШЕНИИ ФАКТОРОВ, СПОСОБСТВОВАВШИХ РАЗВИТИЮ АВАРИИ

(1) Была рассмотрена информация, ставшая известной в отношении аварии на 4 блоке Чернобыльской АЭС после 1986 года. При рассмотрении применялся весьма осторожный подход с учетом того, что при поступлении новой информации картина может вновь измениться. Однако, представляется, что основные контуры проблем в настоящее время приобретают ясность.

(2) В 1986 году ИНСАГ выпустила свой доклад INSAG-1, в котором обсуждалась чернобыльская авария и ее причины на основе информации, представленной советскими компетентными органами Совещанию по рассмотрению причин и последствий аварии в Чернобыле, состоявшемуся в августе 1986 года. Ставшая сейчас известной новая информация повлияла на взгляды, представленные в INSAG-1, таким образом, что основное внимание сместилось на аспекты, связанные с конкретными особенностями конструкции (проекта), включая конструкцию стержней СУЗ и систем безопасности, а также на то, как важная для безопасности информация доводилась до сведения персонала.
В настоящее время представляется, что авария явилась следствием совпадения следующих основных факторов:
— специфических физических характеристик реактора;
— специфических особенностей конструкции органов управления реактором;
— и того факта, что реактор был выведен в состояние, не оговоренное регламентом и не исследованное независимым органом по вопросам безопасности.
Наиболее важным представляется то, что именно физические характеристики реактора обусловили его неустойчивое поведение.

(3) Две произошедшие ранее аварии на реакторах РБМК, одна на Ленинградской АЭС (1 блок в 1975 году) и повреждение топлива на Чернобыльской АЭС (1 блок в 1982 году), уже выявили серьезные слабости в характеристиках в эксплуатации энергоблоков РБМК. Авария на 1 блоке Ленинградской АЭС даже рассматривается некоторыми как предвестник чернобыльской аварии. Однако уроки, извлеченные из этих аварий, свелись главным образом лишь к весьма ограниченным изменениям конструкции или усовершенствованиям практики эксплуатации. Ввиду отсутствия связи и обмена информацией между различными эксплуатирующими организациями эксплуатационному персоналу Чернобыльской АЭС не было известно о характере и причинах аварии на 1 блоке Ленинградской АЭС.

(4) Достоверно не известно, с чего начался скачок мощности, приведший к разрушению реактора Чернобыльской АЭС. Определенная положительная реактивность, по-видимому, была внесена в результате роста паросодержания при падении расхода теплоносителя. Внесение дополнительной положительной реактивности в результате погружения полностью выведенных стержней СУЗ в ходе испытаний явилось, вероятно, решающим приведшим к аварии фактором. Этот последний эффект был результатом недоработки конструкции стержней, характер которого был обнаружен на Игналинской АЭС в 1983 году. Однако после обнаружения этого дефекта на Игналинской АЭС положение исправлено не было, никаких мер по компенсации принято не было и эксплуатирующим организациям впоследствии никакой информации не направлялось.

(5) Можно сказать, что авария явилась следствием низкой культуры безопасности не только на Чернобыльской АЭС, но и во всех советских проектных, эксплуатирующих и регулирующих организациях атомной энергетики, существовавших в то время. Культура безопасности, детально рассмотренная в INSAG-4 (см. сноску 3), требует полной приверженности делу обеспечения безопасности, которая на атомных электростанциях формируется главным образом отношением к этому руководителей организаций, участвующих в их проектировании и эксплуатации. В этой связи оценка чернобыльской аварии показывает, что недостаточная культура безопасности была присуща не только этапу эксплуатации, но также, и не в меньшей степени, деятельности на других этапах жизненного цикла атомных электростанций (включая проектирование, инженерно-технические разработки, сооружение, изготовление и регулирование).

(6) Тем самым уменьшается значение, которое придавалось в 1986 году в INSAG-1, представленной на Венском совещании точке зрения советских специалистов, почти полностью возложивших вину на действия эксплуатационного персонала. Некоторые действия персонала, которые в INSAG-1 были классифицированы как нарушения правил, фактически не являлись нарушениями. И все же ИНСАГ по-прежнему придерживается мнения о том, что критические действия персонала были в основном ошибочными. Как указывается в INSAG-1, человеческий фактор следует по-прежнему считать основным элементом среди причин аварии. Низкое качество регламентов и инструкций по эксплуатации и их противоречивый характер явились тяжелым бременем для эксплуатационного персонала, включая Главного инженера. Следует также отметить, что тип и количество контрольно-измерительной аппаратуры, а также компоновка пультовой затрудняли обнаружение небезопасных состояний реактора. Тем не менее правила эксплуатации были нарушены, и стержни СУЗ были установлены так, что это поставило бы под угрозу аварийную защиту реактора даже в случае, если бы конструкция стержней не была ошибочной по причине упомянутого выше эффекта положительного выбега реактивности при аварийном останове реактора. Наибольшего осуждения заслуживает то, что неутвержденные изменения в программу испытаний были сразу же преднамеренно внесены на месте, хотя было известно, что установка находится совсем не в том состоянии, в котором она должна была находиться при проведении испытаний.

(7) Настоящим докладом ИНСАГ не отменяет доклад INSAG-1, как и не изменяет выводы того доклада, за исключением ясно указанных здесь случаев. Хотя взгляды ИНСАГ в отношении факторов, способствовавших развитию аварии, изменились, многие другие выводы INSAG-1 остались неизменными.

(8) Подводя итоги, следует отметить, что новая информация выявила ряд более широких проблем, внесших вклад в возникновение аварии.
Ceux-ci comprennent:
— установка фактически не соответствовала действовавшим нормам безопасности во время проектирования и даже имела небезопасные конструктивные особенности;
— недостаточный анализ безопасности;
— недостаточное внимание к независимому рассмотрению безопасности;
— регламенты по эксплуатации надлежащим образом не обоснованы в анализе безопасности;
— недостаточный и неэффективный обмен важной информацией по безопасности как между операторами, так и между операторами и проектировщиками;
— недостаточное понимание персоналом аспектов их станции, связанных с безопасностью;
— неполное соблюдение персоналом формальных требований регламентов по эксплуатации и программы испытаний;
— недостаточно эффективный режим регулирования, оказавшийся не в состоянии противостоять требованиям производственной необходимости;
— общая недостаточность культуры безопасности в ядерных вопросах как на национальном, так и на местном уровне.


ДОПОЛНЕНИЕ: меры по повышению безопасности АЭС с реакторами РБМК.
Сообщается, что сразу же после чернобыльской аварии были разработаны организационные и технические мероприятия по повышению безопасности эксплуатации действующих АЭС с реакторами РБМК. Они включали в себя введение ограничений на остальных АЭС с реакторами РБМК, осуществление изменений, которые ранее рассматривались как необходимые, и другие изменения, которые были явно полезными с точки зрения безопасности.
Во-первых, ИНСАГ было сообщено, что разработаны и внедрены мероприятия, направленные на:
— уменьшение положительного парового (пустотного) коэффициента
реактивности и влияния полного запаривания активной зоны на реактивность;
— повышение скоростной эффективности аварийной защиты;
— внедрение новых программ расчета оперативного запаса реактивности с цифровой индикацией его текущей величины на пульте оператора;
— предотвращение возможности отключения аварийных защит при работе реактора на мощности путем введения требования эксплуатационного предела и внедрения двухкнопочной системы отключения защиты;
— исключение режимов, приводящих к снижению температурного запаса до кипения теплоносителя на входе в реактор (это касается вопроса надлежащего недогрева на входе в активную зону).

ИНСАГ было также сообщено, что снижение парового коэффициента реактивности было обеспечено установкой в активную зону дополнительных фиксированных поглотителей (до 90 штук) и путем перевода всех реакторов РБМК на топливо с обогащением 2,4% по 23SU. На всех реакторах мощностью 1000 МВт(эл.) было добавлено такое количество более высокообогащенного топлива, которое необходимо для компенсации влияния дополнительных фиксированных поглотителей, и планируется завершить переход на использование только более высокообогащенного топлива. В связи с этим ИНСАГ отмечает, что польза от повышения обогащения топлива будет сохранена только в том случае, если не увеличивать глубину выгорания топлива по сравнению с той, которая имела место в прошлом. Если повышенное обогащение топлива использовать для продления срока его службы, то топливо в конце цикла будет содержать меньше 235U и больше 239Ри и это будет способствовать увеличению положительного парового коэффициента.
Заявляется, что ОЗР был таким образом увеличен до уровня 43-48 (в зависимости от реактора) стержней ручного регулирования СУЗ. ИНСАГ было сообщено, что имевшиеся стержни СУЗ были заменены стержнями новой конструкции, исключающими столбы воды в нижней части каналов и имеющими более длинную поглощающую часть.
ИНСАГ было сообщено, что скорость ввода стержней СУЗ была повышена, причем время полного погружения стержней в активную зону уменьшено с 18 до 12 секунд.
ИНСАГ было сообщено, что на всех действующих реакторах внедрена система быстродействующей аварийной защиты (БАЗ). Эта система включает 24 дополнительных стержня аварийной защиты. БАЗ при необходимости обеспечивает ввод отрицательной реактивности более 20 (где 0 —доля запаздывающих нейтронов) за время менее 2,5 секунды. Значение 2/3 было рассчитано на основе консервативных предположений и перекрывает любую дополнительную реактивность, которая может возникнуть в связи с полной потерей теплоносителя в реакторе. ИНСАГ сообщено, что в настоящее время все реакторы РБМК оснащены системой БАЗ.
Мероприятия по снижению парового коэффициента и увеличению скорости снижения реактивности при срабатывании аварийной защиты могли бы также оказаться полезными в связи с неконтролируемым скачком мощности в случае обезвоживания активной зоны.
ИНСАГ было сообщено, что эксплуатационная документация была откорректирована с учетом уроков, извлеченных из чернобыльской аварии, и осуществления мероприятий по повышению безопасности РБМК. В число новых входит положение, согласно которому в настоящее время для эксплуатации реакторов РБМК в стационарном режиме установлен более низкий предел мощности, равный 700 МВт(тепл.).
Было сообщено, что приняты также другие меры в целях более эффективного смягчения последствий аварии. Они изложены в докладе Рабочей группы экспертов СССР (Приложение П).