„Dajcie mi człowieka, a paragraf się znajdzie”. Awarie, wypadki, katastrofy — każda z tych sytuacji uruchamia ten sam mechanizm: trzeba wskazać winnego i jeśli to możliwe, ukarać go. Co jednak zrobić, gdy za tragedią nie stoi jedna osoba, lecz cały system?
Zarzuty w kierunku operatorów
„Operatorzy wyłączyli wszystkie zabezpieczenia”
Reaktor RBMK posiada dwa rodzaje zabezpieczeń:
Technologiczne – opisane w „Regulaminie przełączania kluczy i blokad technologicznych reaktora” – można je zmieniać i wyłączać zgodnie z tym regulaminem.
Reaktorowe:
dla pracy na mocy równej lub poniżej MKU
AZMM – awaryjna ochrona reaktora od przekroczenia mocy. Ustawiona na 160 MW – jeśli różnica między mocą zadaną a aktualną mocą reaktora przekroczy tę wartość zabezpieczenie wyłączy reaktor.
AZSP – ochrona od okresu reaktora – ustawiona na 10 sekund. Jeśli w tym czasie strumień neutronów (a tym samym moc reaktora) zmieni się e-krotnie (gdzie e=2,718…) zabezpieczenie wyłączy reaktor.
dla pracy na mocy powyżej MKU:
AZM – działa podobnie jak AZMM, z tym że ustawiona jest na 320 MW.
AZSR – odpowiednik AZSP, z czasem ustawionym na 20 sekund.
Zabezpieczeń reaktorowych nie da się wyłączyć.
„Wielogodzinna, ponad regulaminowa praca z wyłączonym systemem awaryjnego chłodzenia SOAR”
Włączanie i wyłączanie tego systemu polegało na ręcznym odkręcaniu/zakręcaniu 4 zaworów, co 2-3 pracownikom zajmowało około 3 godzin. Jak wiemy, po wyłączeniu systemu z Kijowa wydane zostało polecenie wstrzymania testu. Uwzględniając 3 godziny na odkręcenie zaworów i kolejne 3 na ich zakręcenie po uzyskaniu zgody na kontynuowanie testów, dyrektor elektrowni wydał pozwolenie na dalszą pracę bez systemu. W trakcie programu testowego nie zarejestrowano żadnego sygnału, który mógłby uruchomić SOAR. System ten posiadał też dwie poważne wady:
– czas uruchomienia wynoszący około 20 sekund
– jak możemy zauważyć na schematach konstrukcyjnych reaktora, jego rdzeń jest podzielony na dwie połowy (lewą i prawą) z oddzielnymi separatorami pary, głównymi pompami cyrkulacyjnymi… Mimo iż system SOAR był wspólny dla obu połówek rdzenia, to projektant RBMK nie przewidział awarii całości, przez co przy uruchomieniu systemu operator musi zdecydować, do której połowy rdzenia ma być dostarczane chłodziwo.
„Operatorzy wyciągnęli wszystkie pręty kontrolne z rdzenia łamiąc regulamin odnośnie minimalnej wartości OZR”
Reaktor RBMK zbudowany był z 1888 kanałów grafitowych. Spośród nich 1661 stanowiło kanały paliwowe, pozostałe zaś były prętami obsługi reaktora, gdzie 211 prętów miało za zadanie pochłaniania nadmiaru neutronów oraz 16 czujników kontrolnych.
Obok ręcznej regulacji w reaktorze działają automatyczne regulatory:
ARM – automatyka małej mocy (4 pręty) – działa w zakresie do około 160 MW
AR1/AR2 – dwa automatyczne regulatory (po 4 pręty) działające w zakresie 160-3200 MW.
LAR – (12 prętów) Lokalna Automatyczna Regulacja – system wprowadzony po awarii w Leningradzie. Jego zadaniem jest utrzymanie równomiernego rozkładu mocy w reaktorze i przeciwdziałanie lokalnym wzrostom reaktywności.
LAZ – (24 pręty) Lokalna Automatyczna Ochrona – Działa w połączeniu z LAR, stanowiąc zabezpieczenie przed przekroczeniem dopuszczalnych parametrów w konkretnych obszarach rdzenia. W przypadku wykrycia niebezpiecznego wzrostu mocy w danej strefie, system ten automatycznie uruchamia pręty regulacyjne aby zdławić reakcję łańcuchową.
Regulatory LAR/LAZ działają w zakresie od około 500-640 MW do 3200 MW.
Każdy reaktor posiada operatywny zapas reaktywności (OZR). Według regulaminu w trybie stacjonarnym (czyli zasada nie obowiązuje podczas obniżania lub podnoszenia mocy) wartość OZR powinna odpowiadać ekwiwalentowi 26-30 prętów ręcznej regulacji (RR). Praca z OZR poniżej 26 RR wymaga zgody głównego inżyniera elektrowni, natomiast w sytuacji, w której OZR wynosi poniżej 15 RR, należy wyłączyć reaktor. Wartość ta wynika z poniższego wykresu:
Jak pisałem wcześniej podczas spadku mocy wydzielają się większe ilości 135Xe tłumiącego reakcję, a największe jego stężenie obserwujemy po około 6h. Aby skompensować zatrucie ksenonowe operator musi wyciągnąć z rdzenia reaktywność odpowiadającą ekwiwalentowi wynikającej z wykresu liczby prętów kontrolnych. Jeśli operator nie będzie posiadał odpowiedniego OZR kompensacja będzie niemożliwa, czyli straci możliwość podnoszenia mocy.
Na wykresie oś X oznacza czas od spadku mocy wyrażony w godzinach, a oś Y to wymagana wartość OZR do kompensacji zatrucia ksenonowego. „1” oznacza spadek mocy z 2300 MW do 1600 MW. „2” spadek z 3200 MW do 2060 MW. „3” spadek z 3200 MW do 1600 MW – system ochrony AZ-2 automatycznie zniża moc do połowy wartości nominalnej w przypadku uszkodzenia jednej z turbin.
OZR nie oznacza liczby prętów całkowicie zanurzonych w rdzeniu, stanowi jedynie ich ekwiwalent obliczany z poniższego wzoru – sumę całek uwzględniając stałą „c” dla każdego pręta kontrolnego oraz kwadraty gęstości strumieni neutronów na poszczególnych wysokościach rdzenia.
W chronologii przeprowadzonego testu możemy zauważyć: 1:22:30 Zarejestrowano położenie prętów regulacyjnych. OZR=7. Położenie prętów na ten moment prezentuje poniższa grafika:
Podobny obrazek znajdziemy na polskiej Wikipedii – posiada on jednak błędne opisy zarówno odnośnie czasu (na moment katastrofy, gdy rzeczywiście dotyczy czasu 90 sekund wcześniej), a także opisu poszczególnych prętów (w reaktorach RBMK nigdy nie stosowano źródeł neutronów startowych)
Dlaczego w tym momencie nie wyłączono reaktora? Otóż parametr OZR nie był natychmiastowo dostępny dla operatora. Oprogramowanie Prizma przedstawioną wcześniej wartość sum całek liczyło około 10-15 minut, po czym operator komputera musiał przejść 50 m do sterowni reaktora przynosząc wydruk. Dlatego też OZR z 1:22:30 na podstawie zarejestrowanych danych obliczono dopiero po katastrofie na Smoleńskiej Elektrowni Jądrowej. Ponadto w regulaminie obsługi reaktora znajdziemy taki „kwiatek” – „W przypadku awarii programu Prizma trwającej ponad 8h należy wyłączyć reaktor”.
„Niedoświadczony L. Toptunow podczas obniżania mocy doprowadził do wyłączenia reaktora / spadku mocy do około 30 MW”
Spadek mocy spowodowany został niezadziałaniem w odpowiednim momencie automatyki AR-2, a następnie wadliwym zadziałaniem regulatora LAR (niestabilna praca na małej mocy). Dyskusyjna pozostaje także wartość, do jakiej spadła moc reaktora – system pomiarowy SKER nie działa prawidłowo poniżej MKU. Wiemy natomiast że, jeśli wartość mocy reaktora jest o 15% za duża lub za mała w stosunku do zadanej to powinien zostać zarejestrowany sygnał „niedopuszczalna nierównowaga mocy na automatycznym regulatorze” nawet jeśli jest on wyłączony. Nie wiadomo jednak czy taki sygnał został zarejestrowany – co może oznaczać że, moc nie spadła poniżej 136MW. Ponadto wykres z reaktymetru, który mógłby wyjaśnić tę sytuację nie został nigdy udostępniony.
Naczelnik zmiany elektrowni podczas której doszło do katastrofy Borys Rogożkin, powyższe dwa zarzuty skomentował w następujący sposób: „ A wy spróbujcie usunąć wszystkie pręty w ciągu 15 minut i mieć 30 MW”.
„Przeprowadzenie testu na mocy 200 MW było niezgodne z „programem”, ponadto praca na tak niskim poziomie mocy była zabroniona”.
Zawarte w programie wartości 700-1000 MW potrzebne były do testu głównych zaworów parowych. Ze względu na opóźnienie zrezygnowano z tego punktu programu. Do czasu katastrofy praca na niskim poziomie mocy nie była zabroniona. Sam wybieg turbiny miał być przeprowadzony podczas wyłączania reaktora, a poziom 200 MW zapewniał wystarczającą ilość energii na potrzeby własne bloku.
Prawdziwe przyczyny
Podczas projektowania reaktorów RBMK komputery nie posiadały odpowiedniej mocy obliczeniowej aby precyzyjnie modelować ich parametry i właściwości oraz to jak na nie wpływa poziom wypalenia paliwa jądrowego. Najważniejszym parametrem wpływającym na bezpieczeństwo reaktora oraz zapewniającym możliwość sterowania jego mocą jest reaktywność. W reaktorze RBMK na ogólną reaktywność składają się:
– współczynnik reaktywności przestrzeni parowych
– współczynnik reaktywności od temperatury paliwa
– współczynnik reaktywności od temperatury grafitu
– prędki reaktywnościowy współczynnik mocy
Projektując reaktor wymaga się aby ogólny współczynnik reaktywności był w pewnym stopniu ujemny i w żadnych warunkach nie przekraczał wartości zerowej. Dobrze widziane jest również, aby w pełnym zakresie roboczym poszczególne reaktywności nie przekraczały „0”. Projektując reaktor RBMK niezbędne obliczenia wykonano jedynie w zakresie 50-100% mocy (1600 – 3200 MW), marginalizując wpływ niższych wartości na parametry.
Rozpatrując katastrofę w Czarnobylskiej EJ, decydującym parametrem okazał się współczynnik reaktywności przestrzeni parowych. W reaktorach PWR/WWER jest on zawsze ujemny – powstanie pary wodnej w rdzeniu powoduje wygaszenie reakcji. Inaczej sytuacja wygląda w przypadku RBMK. Nagły skok mocy powoduje wzrost temperatury w rdzeniu, co może powodować powstanie pary wodnej. Para wodna powoduje wzrost reaktywności, co wiąże się ze wzrostem mocy a w konsekwencji wzrostem temperatury i powstaniem większych ilości pary wodnej… W obliczeniach projektowych współczynnik ten obliczono w zależności od warunków na 0.7 – 1, co miało być kompensowane przez ujemne wartości pozostałych współczynników. Jednak badania wypadków w Leningradzie oraz Smoleńsku pozwoliły na wyciągnięcie pewnych wniosków – w raz ze wzrostem poziomu wypalenia paliwa reaktor na mocach poniżej 50% nominalnej zaczyna zachowywać się niestabilnie i ze względu na rozmiar rdzenia mogą w nim powstawać obszary z różnym poziomem mocy (tworząc coś w rodzaju zestawu reaktorów z różną mocą). Po awarii w Leningradzie w kolejnych konstrukcjach RBMK wprowadzono systemy LAR/LAZ mające za zadanie niwelowanie tych niekorzystnych sytuacji. Dużo poważniej wypadały w tych przypadkach teoretyczne obliczenia współczynnika reaktywności przestrzeni parowych, gdzie w pewnych warunkach mógł on osiągnąć wartość 5. Podczas katastrofy w Czarnobylu, gdzie paliwo reaktorowe było wypalane już ponad 2 ½ roku, w zależności od opracowań został on oszacowany na wartości 2-5.
Jeśli powyższy parametr nazwalibyśmy „bombą” potrzebny jest jeszcze zapalnik – i tu zapewne na myśl mogą przyjść pręty kontrolne z grafitowymi końcówkami wypychającymi wodę z kanałów. I w pewnym sensie będzie to prawda…
W reaktorze RBMK znajdowały się 3 rodzaje prętów kontrolnych:
– wprowadzane do rdzenia od góry pręty regulatorów automatycznych AR-1, AR-2 oraz ARM. Były to wykonane z mocno pochłaniającego neutrony węglika boru elementy o wysokości 5,12 m. Podczas wysuwania ze strefy aktywnej pozostała przestrzeń wypełniała się wodą. Wsuwanie pręta powodowało obniżenie mocy, a wysuwanie powodowało jej zwiększanie
– wprowadzane do rdzenia od dołu pręty USP (skrócone pręty regulacyjne) w liczbie 24. Składały się z 4,5 m elementu grafitowego, 1,25 m teleskopowego łącznika oraz 3,05 m elementu z węglika boru. Zadaniem tych prętów było ułatwienie kontroli mocy w dolnej części rdzenia.
– wprowadzane do rdzenia od góry pręty ręcznej regulacji, pręty ochrony awaryjnej (PK-AZ) oraz pręty automatyki LAR/LAZ. Zbudowane są z 5,12 m elementu z węglika boru, 1,25 m teleskopowego łącznika oraz 4,5 m elementu z grafitu. Nie bez znaczenia w tym przypadku pozostaje fakt, iż czas pełnego wsunięcia tego typu pręta to aż 18 sekund.
Patrząc na konstrukcję prętów, można zadać pytanie – „ W jakim celu umieszczono w nich elementy z grafitu?”. Odpowiedź jest prosta – ze względów ekonomicznych, elementy te pozwalają lepiej wykorzystać energię neutronów wytwarzając większą ilość energii. W reaktorze RBMK powstaje jednak pewien problem – pełne wyciągnięcie prętów z grafitem powoduje powstanie słupów wody o wysokości 1,25 m. Wsuwanie prętów z takiej pozycji powoduje wypychanie wody, której miejsce zajmuje grafit zwiększając moc reakcji. Wszystkie 24 pręty PK-AZ podczas standardowej pracy są w takim położeniu. Dodatkowo wyciągnięty w pełni pręt ręcznej regulacji ze względu na brak różnic w budowie staje się kolejnym prętem PK-AZ – paradoksalnie mając więcej prętów bezpieczeństwa sprawiamy, że reaktor RBMK jest bardziej niebezpieczny.
Jak możemy zauważyć na wykresie obrazującym symulację warunków panujących na czwartym bloku Czarnobylskiej EJ 26 kwietnia 1986 roku godzina 1:23:39, wciśnięcie przycisku AZ-5spowodowało zwiększenie reaktywności o wartość powyżej 1 pochodzącej od prętów kontrolnych.
Moglibyśmy zapytać, dlaczego w takim wypadku zwiększenie mocy w dolnej części reaktora nie zostało skompensowane prętami USP? Odpowiedź jest prosta – projektant reaktora nie przewidział podpięcia ich pod system AZ-5.
Symulowane warunki, jako najlepsze rozwiązanie podaje zastosowanie dłuższych elementów grafitowych (5,75 m) dzięki którym nie powstawałyby pod nimi kolumny wody.
Dlaczego nie zdecydowano się na takie rozwiązanie? Odpowiedź jest bardzo prosta, w dolnej części reaktora, poniżej strefy aktywnej przy pełnym wsunięciu pręta nie było na tyle miejsca aby zmieściły się tak długie elementy.
Przedstawione powyżej cechy prętów kontrolnych zostały odkryte podczas testów uruchomieniowych pierwszego reaktora w Ignalińskiej EJ. Odpowiednie informacje przesłano do Moskwy, gdzie zostały utajnione.
W jaki sposób udawało się jednak przez tak długi czas ukrywać nie tylko wyniki badań po awariach ale sam fakt wystąpienia awarii wśród pracowników elektrowni jądrowych? W ZSRR prężnie działało KGB, mające za zadanie zapobiegać wyciekom niekorzystnych informacji szczególnie w dziedzinach zaliczanych do strategicznych. Z odtajnionych materiałów na ten temat, możemy dowiedzieć się, że komórkę KGB w Prypeci uruchomiono w 1972 roku, a nadzorem objęto 9294 osoby oraz 40 organizacji. W 1977 roku dla KGB pracowało tam 17 agentów oraz 58 zaufanych informatorów. W momencie katastrofy w 1986 roku w Prypeci budowano duży budynek na potrzeby tego rodzaju służb.
Dlaczego reaktory RBMK nigdy nie powinny zostać oddane do eksploatacji
Pomijając oczywisty brak obudowy bezpieczeństwa, raport INSAG-7 wykazał w konstrukcji reaktora RBMK szereg naruszeń obowiązujących ówcześnie w ZSRR przepisów bezpieczeństwa jądrowego:
3.1.6 W projekcie technicznym elektrowni jądrowej materiały projektowe służące zapewnieniu bezpieczeństwa jądrowego muszą zostać ujęte jako odrębna sekcja w uzasadnieniu technicznym dotyczącym bezpieczeństwa budowy i eksploatacji elektrowni jądrowej. W tej sekcji wymieniono również wszystkie istniejące odstępstwa od wymagań. Odstępstwa muszą zostać uzasadnione i uzgodnione z Gosatomnadzorem ZSRR na etapie projektowania technicznego.
3.1.8 System sygnalizacji instalacji reaktora elektrowni jądrowej musi generować następujące sygnały:
– awaryjne (światło i dźwięk, łącznie z syreną alarmową) w przypadku osiągnięcia przez parametry nastaw wyzwalających alarm oraz w przypadku awaryjnych odchyleń od trybu procesu.
– ostrzeżenie (świetlne i dźwiękowe) w przypadku zbliżania się parametrów do wartości ustawionych dla reakcji alarmowej, wzrostu promieniowania powyżej ustalonych limitów lub zakłócenia normalnej pracy urządzenia.
– wskaźniki rejestrujące położenie elementów wykonawczych układu sterowania i zabezpieczeń, obecność napięcia w obwodach zasilania, stan urządzeń, zadziałanie poszczególnych urządzeń itp.
3.2.2 Projektując reaktor, należy dążyć do tego, aby całkowity współczynnik reaktywności mocy nie był dodatni w żadnych warunkach pracy elektrowni jądrowej. Jeżeli całkowity współczynnik reaktywności mocy w dowolnych warunkach pracy jest dodatni, projekt musi zapewniać i w szczególności wykazywać bezpieczeństwo jądrowe reaktora podczas pracy w trybie ustalonym, przejściowym i awaryjnym.
3.3.1 Układ sterowania i zabezpieczeń musi zapewniać niezawodną regulację mocy (intensywności reakcji łańcuchowej), kontrolę i szybkie gaszenie reakcji łańcuchowej, a także utrzymanie reaktora w stanie podkrytycznym.
3.3.5 Przynajmniej jeden z przewidzianych układów wpływających na reaktywność musi być zdolny do doprowadzenia reaktora do stanu podkrytycznego i utrzymania go w tym stanie we wszystkich warunkach normalnych i awaryjnych, a także w przypadku awarii jednego z najskuteczniejszych układów wpływających na reaktywność.
3.3.21 System sterowania i ochrony (CSM) musi być wyposażony w szybki system zabezpieczenia awaryjnego (system zasilania awaryjnego typu 1 (ESM-1)), który zapewnia automatyczne wyłączenie reaktora w przypadku awarii. Sygnały i ustawienia systemu zabezpieczenia awaryjnego muszą być uzasadnione w projekcie.
3.3.26 System awaryjnej ochrony reaktora musi zapewniać automatyczne, szybkie i niezawodne wygaszenie reakcji łańcuchowej w następujących przypadkach:
– gdy osiągnięty zostanie punkt nastawy mocy awaryjnej
– gdy osiągnięty zostanie punkt nastawy szybkości zwiększania mocy awaryjnej (lub reaktywności)
– gdy zaniknie napięcie na szynach zasilających
– w przypadku awarii lub niesprawności dwóch z trzech kanałów zabezpieczających, odpowiednio do poziomu lub szybkości wzrostu mocy
– gdy wystąpią awaryjne sygnały technologiczne wymagające wyłączenia reaktora
– w przypadku naciśnięcia przycisków zabezpieczających przed awarią
3.3.28 Liczba, lokalizacja, wydajność i szybkość wprowadzania siłowników zabezpieczenia awaryjnego muszą być określone i uzasadnione w projekcie reaktora, gdzie należy wykazać, że w każdych warunkach awaryjnych siłowniki zabezpieczenia awaryjnego bez jednego najwydajniejszego siłownika zapewnią:
– szybkość awaryjnego obniżenia mocy reaktora wystarczająca, aby zapobiec ewentualnym uszkodzeniom elementów paliwowych przekraczającym dopuszczalne granice
– doprowadzenie reaktora do stanu podkrytycznego i utrzymanie go w tym stanie, z uwzględnieniem ewentualnego wzrostu reaktywności przez czas wystarczający na wprowadzenie innych, wolniejszych układów regulacji i bezpieczeństwa.
– zapobieganie powstawaniu lokalnych stref krytycznych
3.3.29 Zabezpieczenie doraźne powinno być zaprojektowane w taki sposób, aby rozpoczęte działania ochronne były z zasady dokończone. Przywrócenie reaktora do pierwotnego stanu roboczego musi być realizowane w wyniku spójnych działań personelu zmianowego. Dopuszczalność zakłóceń działań urządzeń zabezpieczających w niektórych przypadkach, gdy zaniknie sygnał powodujący zadziałanie zabezpieczenia, musi być uzasadniona w projekcie.
Na koniec przedstawię jeszcze jeden element ukazujący ignorancję zasad bezpieczeństwa panującą w ZSRR. Grafit w reaktorze RBMK ulegał nagrzewaniu powyżej temperatury zapłonu, przez co był chłodzony azotem lub mieszanką helowo-azotową. W momencie eksplozji reaktora rozżarzone elementy spadły na dachy pionu wentylacyjnego, trzeciego bloku jądrowego, „złotego” korytarza i hali turbin, powodując liczne pożary. To właśnie te konstrukcje, a nie uszkodzony reaktor, gasili bohaterscy strażacy podczas tragicznej nocy 26 kwietnia 1986 roku. Głównym powodem takiego stanu rzeczy po raz kolejny była ekonomia – zadaszenie budynków elektrowni pokryte było łatwopalnym materiałem na bazie smoły.
