Community modders

Авария на 4-ом энергоблоке Чернобыльской АЭС, ставшая одной из величайших техногенных катастроф в истории человечества, произошла 26 апреля 1986 г. И вот уже четверть века не утихают страсти при объяснении её причин.
Вокруг чернобыльской аварии сразу же сложилось множество мифов и главный из них это образ расхлябанного, безответственного эксплуатационного персонала, который грубейшим образом нарушал регламент и инструкции по эксплуатации, самовольно проводил опасный эксперимент, не согласовав его ни с кем, отключил и заблокировал все мыслимые защиты и системы безопасности, потому всё и произошло. Этот миф был сразу же подхвачен журналистами и вошёл в массовое общественное сознание, где он господствует до сих пор. На этом фоне особенности физики и дефекты конструкции реактора РБМК-1000, взорвавшегося на Чернобыльской АЭС, без которых авария не могла бы произойти, представляются некой второстепенной мелочью, не говоря уже о качестве регламентирующей документации, правила которой нарушил эксплуатационный персонал. Отражением этой точки зрения являются наиболее известное художественное произведение о Чернобыльской аварии (выдаваемое за документальный репортаж) и наиболее популярная статья в интернете (претендующая на научный анализ) [3].
Существует и прямо противоположная точка зрения, отрицающая все эти обвинения в адрес эксплуатационного персонала и возлагающая главную вину за произошедшую аварию на создателей реактора РБМК-1000, его Главного конструктора и Научного руководителя. Согласно этой точке зрения причиной аварии являются ошибки в конструкции реактора и при обосновании его физических характеристик, а также нарушения правил ядерной безопасности, допущенные при его проектировании. А неправильные действия персонала, создавшего аварийную ситуацию, объясняются плохим качеством регламента эксплуатации, которые при этом никак не нарушались. Эта точка зрения детально отражена в книгах-воспоминаниях, написанных с изложением максимума технических подробностей непосредственными участниками и свидетелями аварии: А.С. Дятловым и Н.В. Карпаном. Оба автора работали в это время на чернобыльской АЭС заместителями главного инженера.
Как же так получилось, что за 20 с лишним лет «авторитетные каждый в своей области люди, изучали, фактически, одни и те же аварийные материалы, а пришли к диаметрально противоположным выводам»? Такое стало возможным, только потому, что первичные материалы по аварии не были опубликованы полномочной и авторитетной комиссией специалистов в виде какого-либо официального документа, имеющего юридическую силу. Это породило ещё один миф, усиленно муссируемый в , откуда и взята вышеприведённая цитата. Миф состоит в утверждении, что ничего толком неизвестно о том, как протекала авария, точных данных нет, а то что предлагают в качестве таковых, это в лучшем случае вольное изложение, а то и домыслы отдельных заинтересованных лиц и групп или, ещё того хуже, сознательная дезинформация.
Оставляя в стороне явно конспирологические теории, проясним ситуацию. Реактор РБМК-1000 и энергоблок в целом были оснащены большим количеством (несколько тысяч) датчиков внутриреакторного и технологического контроля. Их показания зарегистрированы показывающими и самопишущими приборами Блочного Щита Управления (БЩУ) и (или) записаны на магнитной ленте информационно-управляющего вычислительного комплекса СКАЛА специальной программой Диагностической РЕГистрации ДРЕГ. Все эти данные рассекречены только в 1990 г. Но к этому времени расследование причин аварии было уже закончено, и специалисты, непосредственно в нём участвовавшие, были давно с этими данными знакомы, а остальным, как считалось, «лишнюю» информацию знать не обязательно. Эти данные так и не были опубликованы в их первичном виде, а широкая общественность вообще не знает об их существовании. Но из этого отнюдь не следует, что нельзя доверять тем источникам, где такие данные приводятся. Во всех этих публикациях, как бы ни были различны взгляды их авторов, а порой даже диаметрально противоположны [6...9], фактические данные по аварии практически полностью совпадают. Дело не в отсутствии первичной информации, а в нежелании признать объективную реальность, когда она противоречит собственным убеждениям.
Сущность чернобыльской аварии невозможно понять, не получив сначала представления о реакторе РБМК-1000 и некоторых деталях протекающих в нём ядерно-физических процессов.
Реактор РБМК-1000

Производство электроэнергии на энергоблоках атомной электростанции с реактором РБМК принципиально в общих чертах не отличается от того, как это происходит на энергоблоке тепловой электростанции ТЭС, оснащённом паровым котлом определённого типа, с многократной принудительной циркуляцией.

Рис. 1. Контур многократной принудительной циркуляции КМПЦ

В случае РБМК контур многократной принудительной циркуляции (КМПЦ) состоит из двух одинаковых петель, охлаждающих каждая свою половину реактора (на рис. 1 изображена одна из них). В обоих случаях пар генерируется в вертикальных трубах, являющихся частью КМПЦ. В котельной установке это экранные трубы, устилающие внутреннюю поверхность топочной камеры и обогреваемые тепловым излучением факела горящего органического топлива и горячими газами – продуктами сгорания. В реакторе РБМК это топливные (технологические) каналы (ТК), пронизывающие графитовую кладку реактора, а нагрев осуществляется тепловыделяющими элементами (твэл), собранными в тепловыделяющие сборки (ТВС), находящиеся внутри этих каналов.
Ядерное топливо

Сами твэл представляют собой стержни, набранные из таблеток ядерного топлива (двуокись урана 2% обогащения по урану-235), заключённые в герметичную металлическую оболочку. Тепло выделяется как результат высвобождения внутренней энергии связи при делении ядер урана-235 в результате их взаимодействия с нейтронами в самоподдерживающейся цепной реакции (СЦР). Огромность этой энергии (при сгорании, т.е. делении 1 г урана выделяется 0,95 МВт·сутки тепловой энергии) создаёт ряд принципиальных отличий в использовании ядерного и органического топлива, из которых принципиально важны два.
1. Органическое топливо непрерывно поступает в топочную камеру парового котла и сразу же целиком сгорает, продукты сгорания также непрерывно удаляются, не оказывая влияния на процесс горения дальнейших порций топлива. В случае ядерного топлива всё обстоит наоборот. Весь запас топлива на три года вперёд находится в реакторе, и необходимо принудительно поддерживать очень медленный процесс его сгорания. А продукты сгорания (изотопы, образовавшиеся в результате ядерной реакции деления) остаются в составе топлива и участвуют вредным образом в процессе его дальнейшего горения (отравляют его).
2. Всё управление паропроизводительной (тепловой) мощностью парового котла осуществляется регулированием подачи топливовоздушной смеси через форсунки котельной установки в объём топочной камеры. Система регулирования непосредственно воздействует на материальные параметры (расход топлива, расход воздуха и т.д.) и этим определяет текущий уровень мощности котельной установки. В случае ядерного реактора управление его тепловой мощностью осуществляется сильно опосредованно, через влияние на нейтронно-физические процессы, сопровождающие ядерную реакцию деления. А протекание этих процессов помимо регулирования зависит и ещё от многих других факторов.
Реактивность

Система регулирования мощности реактора непосредственно воздействует на некую обобщённую характеристику физического состояния реактора, которая описывается теоретическим понятием – реактивность – отличие эффективного коэффициента размножения нейтронов от единицы. Если величина реактивности равна нулю (критический реактор), мощность реактора не меняется, если реактивность больше нуля, т.е. положительна (надкритический реактор), то мощность растёт, если реактивность отрицательна (подкритический реактор), то мощность падает. При этом уровень мощности может быть любым, реактивность определяет только относительную скорость его изменения, независимо от величины самого уровня.
Регулируется мощность стержнями из поглощающего нейтроны материала, погружаемыми в активную зону реактора. Стержни перемещаются в каналах, аналогичных топливным, и тоже охлаждаются водой. На каждые 14 топливных каналов приходится 2 канала системы управления и защиты (СУЗ). Погружение стержня в реактор уменьшает его реактивность, или, иначе говоря, вводит отрицательную реактивность, извлечение – положительную. Регулирование (т.е. поддержание) мощности осуществляется небольшим перемещением стержней около положения равновесия при малейшем отклонении мощности от заданного значения. Это выполняется автоматически одним из трёх регуляторов АР1, АР2, АР3, управляющих каждый группой из 4-х стержней, либо 12-ю одиночными стержнями системы ЛАР (локальное автоматическое регулирование). Возможно и непосредственное управление электроприводами всех стержней вручную.
Реактивность может меняться и сама за счёт различных физических процессов в реакторе: изменение температуры топлива, замедлителя (графита), температуры и плотности теплоносителя. Больше всего влияет на реактивность выгорание урана и отравление ксеноном-135, сильным поглотителем нейтронов. Выгорание урана непрерывно действующий фактор. При работе на постоянном номинальном уровне мощности реактивность в реакторе РБМК-1000 уменьшается со скоростью примерно 1% в месяц. Это изменение реактивности компенсируется заменой топливных сборок (ТВС) с выгоревшим топливом на свежие. В реакторе РБМК эта замена производится на ходу, без остановки реактора, с помощью специальной перегрузочной машины.
Запас реактивности

Стержни СУЗ помимо регулирования мощности внесением малых изменений реактивности выполняют ещё и другую функцию – компенсация больших изменений реактивности, возникающих в реакторе. Эту функцию выполняют все остальные (кроме автоматических регуляторов) стержни, погружаемые в реактор. Выгорание топлива идёт непрерывно, а его перегрузка (хотя её и называют непрерывной) выполняется дискретно во времени, поэтому в реакторе должно постоянно присутствовать некоторое избыточное количество урана, создающее положительную реактивность. Она и компенсируется между перегрузками. То есть, создаётся запас реактивности, который расходуется по мере выгорания топлива.
Первоначально при загрузке реактора, когда все ТВС в активной зоне содержат свежее топливо, запас реактивности чрезмерно велик, и тогда он компенсируется дополнительными поглотителями (ДП), размещаемыми вместо ТВС в топливных каналах. Эти ДП постепенно извлекаются и заменяются на ТВС так что, в конце концов, наступает стационарный режим перегрузок, когда ДП больше не извлекаются, и перегрузка состоит только в замене выгоревших ТВС на свежие, а положительная реактивность компенсируется стержнями СУЗ. Запас реактивности, остающийся при этом, называется оперативным. Поскольку оперативный запас реактивности (ОЗР) играет важную роль в чернобыльской аварии, остановимся на нём несколько подробней.
Запас реактивности в практике эксплуатации реактора принято измерять в эффективных стержнях РР (ручного регулирования). 1 ст. РР – это реактивность, которая, которая в среднем вносится в реактор при полном перемещении одного стержня из одного крайнего положения в другое. В этих же единицах измеряться может и сама реактивность, но, вообще говоря, реактивность это безразмерная величина, измеряемая в абсолютных единицах (а.е.р.), в процентах (%) или в долях некоторой пороговой величины β. Для реактора РБМК, работающего в режиме стационарной перегрузки топлива, 1 ст. РР = 0,13 β = 0,063% = 0,00063 а.е.р. [10].
Под оперативным запасом реактивности понимается любая появляющаяся в реакторе положительная реактивность, скомпенсированная стержнями СУЗ. Расходуется этот ОЗР на компенсацию любой отрицательной реактивности, появляющейся в процессе работы реакторе, и это без сомнения в первую очередь ксеноновое отравление.
Ксеноновое отравление

Различают два вида отравления: 1) стационарное отравление, когда имеет место равновесие между образованием ксенона и его радиоактивным распадом и выгоранием на стационарном уровне мощности; 2) нестационарное отравление, когда изменение мощности реактора нарушает это равновесие. Стационарное отравление (отрицательная реактивность) может компенсироваться избыточным количеством топлива в реакторе. Но при остановке реактора произойдёт в конце концов его полное разотравление (радиоактивный распад ксенона), и возникает положительная реактивность, которая компенсируется органами регулирования, и тем самым появляется (или увеличивается, если он уже имелся) ОЗР.


Рис. 2. Нестационарное ксеноновое отравление. Йодная яма

При быстром снижении мощности реактора отравление сначала растёт, так как сразу прекращается выгорание ксенона, а образование его ещё продолжается из распада предшественника ксенона изотопа йод-135 (в цепочке радиоактивного распада продуктов деления), и скорость образования ксенона-135 превышает скорость его распада. Когда эти скорости сравняются, концентрация ксенона и соответственно отравление достигнет максимума, а затем начнёт уменьшаться, в конце концов, ксенон полностью распадётся и наступит полное разотравление. Если окажется, что ОЗР на момент перед началом снижения мощности меньше чем отравление в максимуме (см. рис. 2), то запаса реактивности для поддержания мощности реактора не хватит, и он заглохнет. Все стержни регулирования будут полностью извлечены, и реактор нечем удержать в критическом состоянии. Остаётся только ждать, когда распадётся ксенон, и можно будет снова выводить реактор на мощность. Такая ситуация называется йодной ямой.
Поддержание достаточно большого ОЗР, работая на постоянной мощности, гарантирует от попадания реактора в йодную яму, следовательно, от простоев и недовыработки электроэнергии. Но с другой стороны большой ОЗР это больше вредного поглощения в активной зоне реактора, которое можно компенсировать только снижением выгорания (или повышением обогащения урана). Т.е. поддержание как слишком малого, так и слишком большого ОЗР приведёт к неэффективному использованию ядерного топлива и соответственно к потере экономичности АЭС с реактором РБМК-1000. При создании реактора РБМК-1000 оптимальным, видимо, считался ОЗР в диапазоне 1...2% ([10], стр. 34...35).
Ядерная безопасность

Работа ядерного реактора основана на том же самом физическом явлении, что и действие ядерного оружия. Но в отличие от атомной бомбы, сброшенной на Хиросиму, СЦР в ядерном реакторе находится под контролем, и вместо ядерного взрыва представляет собой медленное «горение». Такое оказалось возможным только благодаря тому, что при делении урана не все рождающиеся нейтроны, вылетают мгновенно, а некоторая малая их доля β рождается с запаздыванием в несколько секунд (запаздывающие нейтроны). Такой реактор на одних мгновенных нейтронах всегда подкритичен и становится надкритическим только при учёте запаздывающих нейтронов. Быстродействия системы управления реактором вполне хватает для того, чтобы держать СЦР под контролем, если реактивность реактора заметно меньше β.
Аварийная защита реактора

Самое страшное, что в принципе может произойти с ядерным реактором, это его неконтролируемый разгон на мгновенных нейтронах, или, проще говоря, неорганизованный ядерный взрыв. Для этого нужно чтобы в реакторе по какой-то причине появилась большая положительная реактивность, больше значения β, и система регулирования не успевает и не может её скомпенсировать. Такого развития событий нельзя допустить ни в коем случае, поэтому на всех реакторах, начиная с самого первого, построенного в 1942 г, помимо системы регулирования имеется аварийная защита, единственное назначение которой – введение в реактор как можно быстрее большой отрицательной реактивности и прекращение тем самым СЦР (заглушение реактора).
Тогда же эта функция аварийной защиты получила специальное название SCRAM, чтобы выделить её среди всех прочих технических средств и защитных функций, обеспечивающих безопасную работу реактора. Аббревиатура SCRAM расшифровывается обычно, как Safety Control Rod Axe Man или Simulated Chicago Reactor Axe Man. В любом случае это ассоциация с образом человека с топором, перерубающего канат, на котором висят стержни, падающие в реактор. Что, собственно в большинстве случаев, и заложено в механизм работы аварийной защиты, только вместо перерубания каната, происходит разъединение электромагнитной муфты, удерживающей стержни в поднятом положении. Как только снимается питание электромагнита, стержни свободно падают вниз. Иногда для увеличения быстродействия стержни выстреливаются сжатой пружиной.
Считается, что быстродействие в 4 секунды (т.е. время, в течение которого стержни погружаются на полную длину) и эффективность в 2% (т.е. вносимая отрицательная реактивность) достаточны для обеспечения ядерной безопасности реактора. В реакторе РБМК-1000 (до 1986 г.) аварийная защита была значительно менее быстродействующей (полное перемещение стержней за 18 с), но зато значительно более эффективной (вносимая отрицательная реактивность 9,5%). Если поделить одно на другое, то получатся требуемые величины – 2% за 4 с. Т.е. таким нетрадиционным способом, как бы выполняются требования по ядерной безопасности. Но чернобыльская авария показала, что это не так.
Защита от неконтролируемого разгона реактора (SCRAM) автоматически срабатывает при превышении мощности реактора или скорости её роста выше заданного предела. Никогда никому не придёт в голову отключать эту защиту на работающем реакторе. Да это и невозможно без взлома. Эта защита является автономной частью Системы Управления и Защиты (СУЗ) реактора. Помимо всего прочего её высокая надёжность достигается за счёт многократного дублирования и логической защиты от ложных срабатываний. Аварийный сигнал SCRAM (в реакторе РБМК он называется АЗ-5) вырабатывают по показаниям нейтронных датчиков независимо две разные электронные схемы: аварийная защита по мощности (АЗМ) и по скорости её роста (АЗСР).
Коэффициенты реактивности

Как бы ни была надёжна аварийная защита, она срабатывает, когда мощность реактора уже растёт. Но ещё безопасней будет, если в реакторе при росте мощности сама собой возникает отрицательная реактивность без всякого вмешательства СУЗ, т.е. когда имеется отрицательная обратная связь между мощностью и реактивностью. Тогда реактор способен к саморегулированию, и никакой ядерный взрыв в нём в принципе невозможен. И такое требование в стандартах и правилах по ядерной безопасности существует. Другое дело, что выполнение этого требования связано с тонкими вопросами нейтронной физики, и проверить на стадии проектирования выполняются ли эти требования в данной конструкции реактора, не просто.
Обратные связи описываются в понятиях эффектов и коэффициентов реактивности. Эффект это изменение реактивности при заданном изменении какого либо параметра, характеризующего состояние активной зоны реактора, например, температуры топлива, замедлителя и др. (температурный эффект). Коэффициент реактивности это отношение изменения реактивности к изменению параметра (при малых изменениях), т.е. производная от эффекта. В реакторе РБМК особую роль с точки зрения безопасности играет паровой (иначе пустотный) эффект и паровой коэффициент реактивности αφ. С ростом паросодержания уменьшается количество воды в активной зоне (увеличивается количество пустоты), и если вода действует как замедлитель, то реактивность падает и αφ отрицателен, так как ухудшается замедление нейтронов. Если же вода действует как поглотитель (на фоне графита, практически не поглощающего нейтроны) то αφ положителен, так как уменьшается вредное поглощение, и реактивность растёт.
При изменении мощности реактора изменяются все параметры в активной зоне и проявляются все эффекты реактивности. Динамика реактора определяется суммарным действием этих эффектов, как отрицательных, так и положительных, и, в конечном счете, важен результат – мощностной коэффициент реактивности αw (приращение реактивности на единицу приращения мощности). Реактор способен к саморегулированию, если αw отрицателен, а если он положителен, то такой реактор неустойчив и ядерноопасен. Но здесь есть одна тонкость.
При изменении мощности реактора разные эффекты проявляются с разной степенью инерционности, так например, температура графита меняется очень медленно, а разогрев топлива, дальнейшая передача тепла воде и увеличение парообразования происходит достаточно быстро. Различают два мощностных эффекта реактивности: полный, который проявляется при переходе с одного стационарного уровня мощности на другой, и быстрый, определяемый только температурой топлива (доплер-эффект при захвате резонансных нейтронов в топливе) и парообразованием (αφ). Отрицательность полного мощностного эффекта, обеспечивает саморегулирование реактора при медленных переходных процессах (с чем главным образом и имеют дело при эксплуатации АЭС). Тогда как отрицательность быстрого мощностного коэффициента исключает опасность самопроизвольного неконтролируемого возрастания мощности, и гарантирует ядерную безопасность реактора.
В реакторе РБМК, как выяснилось после Чернобыльской аварии, быстрый мощностной коэффициент при работе на малой мощности был положительным. Это произошло в результате ошибки в расчётах величины αφ при проектировании реактора ([8], стр. 556).
Кроме неконтролируемого роста мощности реактора, существует ещё ряд различных аварийных ситуаций, при которых требуется срочно остановить реактор, чтобы не произошли разрушения пусть много меньшего масштаба, но способные на длительный срок вывести из строя энергоблок АЭС или загрязнить радиоактивностью окружающую среду. Для срочной остановки реактора в таких случаях используется тот же исполнительный механизм аварийной защиты, что и для предотвращения неконтролируемого разгона. То есть электронные схемы, отслеживающие и распознающие эти аварийные ситуации, вырабатывают тот же самый аварийный сигнал АЗ-5, что и схемы АЗМ и АЗСР. Такие аварийные ситуации обычно связаны с какими-либо опасными отклонениями параметров технологического процесса в энергоблоке, грозящими серьёзными нарушениями режима охлаждения активной зоны реактора или потерей целостности контора циркуляции, но не авариями масштаба катастрофы. Эти электронные схемы, называются технологическими защитами, и они в отличие от АЗМ и АЗСР могли блокироваться с пультов управления, чтобы избежать излишних остановок энергоблока, когда на самом деле необходимости в этом нет. Вот такими защитами и манипулировал оперативный персонал 26-го апреля 1986 г.
Остаточное тепловыделение и радиационная безопасность

Принципиальное отличие ядерного реактора от котельной установки ТЭС ещё и в том, что в нём нельзя полностью «выключить» тепловыделение. Не всё тепло, обязанное своим происхождением делению ядер, выделяется в реакторе сразу, около 7% этого тепла выделяется при последующем радиоактивном распаде продуктов деления. В остановленном реакторе ещё долго продолжается выделение тепла, пока не распадутся образовавшиеся продукты деления, и всё это время его активную зону надо охлаждать. Это остаточное тепловыделение вначале довольно быстро спадает, но даже через сутки после остановки оно составляет около 0,5% от номинальной мощности, т.е. порядка 10...15 МВт тепловой мощности. И всё это выделяемое тепло необходимо отводить, иначе разрушение активной зоны реактора неминуемо и оно грозит аварией, сравнимой с чернобыльской.
В нормальных условиях при остановке реактора отвод этого остаточного тепловыделения не представляет проблемы. Сначала циркуляцию теплоносителя через активную зону обеспечивают ГЦН, продолжая работать так же, как они работали на мощности, а затем, если это потребуется, включается специальная система расхолаживания реактора. Опасность возникает только в аварийных ситуациях, когда почему-либо оказываются неработоспособными ГЦН или, если из-за разрушений в КМПЦ, активная зона реактора может остаться без охлаждения. На этот случай предусматриваются проектом системы безопасности. Две самые тяжёлые аварийные ситуации были рассмотрены в проекте.
1. «Потеря собственных нужд», т.е. исчезновение электропитания насосов и вообще всего вспомогательного оборудования обслуживающего энергоблок. Это может произойти только при полном обесточивании АЭС, когда невозможно взять питание ниоткуда, не только от собственного генератора, но и от соседнего энергоблока, и от резервного трансформатора из внешней линии электропередач, на которую работал энергоблок. На этот случай предусмотрен свой собственный автономный источник энергии резервная дизельная электростанция (РДЭС), которая запускается автоматически и подаёт питание на шины собственных нужд. Время, в течение которого РДЭС включалась в работу и набирала полную мощность, не превышает 1 мин. А в течение этого времени ГЦН качают воду по инерции, за счёт механической энергии, запасённой в массивном маховике, установленном на этот случай на валу каждого ГЦН.
2. Разрыв напорного коллектора ГЦН полным сечением (его внутренний диаметр 900 мм). Мгновенно остаётся без охлаждения половина активной зоны реактора, это «максимальная проектная авария» (МПА). На этот случай предусмотрена специальная Система Аварийного Охлаждения Реактора (САОР). Она включает в себя насосы аварийного охлаждения, обеспечивающие вместо ГЦН циркуляцию теплоносителя через активную зону реактора, и гидроёмкости с большим запасом воды, откуда она под большим давлением газовой подушки может поступать в каналы реактора, минуя ГЦН и разрушенную часть КМПЦ. Гидроёмкости это быстродействующая, но краткосрочная часть САОР, она работает не более 2-х минут пока запускаются аварийные насосы САОР, которые могут вести длительное расхолаживание. Соответствующая технологическая защита распознаёт такую аварию и вырабатывает аварийные сигналы: МПА для запуска САОР и АЗ-5 для заглушения реактора.
Выбег турбогенератора

Итак, безопасность обеспечена при каждой из двух перечисленных аварий, в одном случае с помощью САОР, в другом с помощью РДЭС. Но, если эти две аварии произойдут одновременно по общей, причине, то в этом случае аварийные насосы САОР не смогут включиться в работу, пока не заработает РДЭС, т.е. образуется зазор по времени примерно 1 мин., в течение которого охлаждение активной зоны реактора остаётся под угрозой. В 1976 г в связи с созданием реакторов РБМК второй очереди, было предложено (главным конструктором реактора) использовать в этом случае выбег турбогенератора. Механической энергии запасённой в роторе турбогенератора достаточно для электроснабжения аварийных насосов, пока не заработает РДЭС.
Предложение было поддержано проектировщиком АЭС и научной общественностью. Оно было отражено в учебных пособиях по электротехнике АЭС и даже в проектной документации, но в очень общем виде, и оно не было внедрено. Дважды или даже трижды проведённые испытания в 1982, 1984 и в 1985 гг. показали, что совместный выбег турбогенератора с механизмами собственных нужд, это не такой простой режим, и чтобы он осуществлялся, необходима дополнительная доработка штатной системы возбуждения генератора. Это было сделано, и при очередной остановке 4-го блока ЧАЭС на ППР в 1986 г такие испытания были проведены. На этот раз сами по себе испытания прошли успешно, но произошла Чернобыльская авария, и эти испытания оказались в центре событий, как чуть ли не одна из главных причин аварии.
Авария

Авария произошла во время, когда выполнялась программа испытаний выбега турбогенератора, поэтому скажем несколько слов об этой программе.
Эксперимент

Целью испытаний была проверка возможности использования выбега для поддержания производительности механизмов собственных нужд пока включатся в работу и наберут полную нагрузку дизель-генераторы (ДГ). Для запуска режима выбега была собрана специальная схема выдачи сигнала МПА в электрическую часть схемы ступенчатого набора нагрузки ДГ и в схему выбега генератора. Сам запуск выполнялся от кнопки, установленной на панели безопасности в БЩУ. Одновременно с нажатием этой кнопки должна быть прекращена подача пара на турбину закрытием стопорно-регулирующих клапанов (СРК).
При реальной МПА закрытие СРК происходит автоматически от срабатывания защитных устройств турбины, а в данном случае это действие выполняет СИУТ (старший инженер управления турбиной). При этом должна автоматически сработать аварийная защита АЗ-5 по отключению 2-х турбогенераторов (один отключён заранее), и реактор должен быть остановлен. Для обеспечения надёжного охлаждения реактора независимо от исхода эксперимента, оборудование собственных нужд было поделено на две группы: оборудование, подключённое к рабочим шинам, на которых напряжение падает в процессе выбега, и оборудование в выбеге не участвующее и подключённое к шинам, сохраняющим постоянное питание. Хотя сигнал на запуск механизмов САОР (гидроёмкостей и аварийных насосов) от кнопки МПА не подавался, во избежание случайностей и заброса воды в КМПЦ, программой предусматривалось отключение ёмкостей на время эксперимента закрытием ручных задвижек на линии подачи воды.
Согласно программе, реактор должен был перед началом эксперимента находиться на мощности 700...1000 МВт.
Хронология событий

Остановка энергоблока на ППР и испытания выбега были запланированы на 25.04.1986 г. Снижение мощности реактора с номинала (3100 МВт) начато в 01:06, и в течение 3-х часов мощность была снижена до уровня 1600 МВт (50%). В эту же ночную смену выполнялись регламентные, а также другие специальные работы, запланированные по турбинам №7 и №8. По окончании этих работ, уже в дневную смену предполагалось выполнять программу испытания выбега турбогенератора ТГ-8. На выполнение всех работ в программе отводилось 4 часа, из них сам эксперимент занимает от силы 1,5 минуты, остальное подготовительные работы. Но жизнь ломает любые планы.
Поступил запрет от дежурного диспетчера Киевэнерго на дальнейшее снижение мощности энергоблока, сначала до 14:00, а потом вообще на неопределённый срок (на Южноукраинской АЭС произошла авария, и нужно возместить потерю генерируемой мощности в энергосистеме). В связи с этим, подготовительные работы по программе выбега были начаты на мощности 50%, и в 14:00 были заблокированы гидроёмкости САОР. Очевидно, предполагалось, что вот-вот поступит разрешение на снижение мощности, после чего подготовительных работ останется всего минут на 20. Однако разрешение было получено лишь к концу вечерней смены, и бригада испытателей весь день прождала в напряжённом ожидании. А испытания пришлись на ночную смену, которая к ним заранее не была готова.
Снижение мощности (с 50%) было начато 25.04.86 в 23:10, и требуемая по программе мощность (700 МВт) была достигнута 26.04.86. в 00:05, уже когда заступила ночная смена. Далее согласно программе испытаний необходимо было включить в работу два дополнительных ГЦН, и приступить к выполнению основной части программы. Однако, этого не произошло, и все дальнейшие действия оперативного персонала были сплошной импровизацией между программой и реальной обстановкой на энергоблоке.
А реальная обстановка такова. Кроме программы испытаний выбега турбогенератора должна была быть выполнена ещё одна работа: измерение вибраций турбины на холостом ходу турбогенератора. Эти две работы, в общем-то, противоречат друг другу. Обе они требуют разгрузки турбогенератора, т.е. отключения его от внешней сети, но в одном случае разгрузка полная, до холостого хода (т.е. без выработки какой-либо электроэнергии), а в другом случае разгрузка только до уровня собственных нужд. В первом случае обороты холостого хода поддерживаются за счёт (небольшой) подачи пара на турбину, и реактор для этого нужен (чтобы не падало давление в БС), во втором случае пар не подаётся, и реактор не нужен, а обороты под нагрузкой собственных нужд сравнительно быстро падают. В программе испытаний выбега такая коллизия не была предусмотрена.
Для поддержания турбогенератора на холостом ходу и измерения вибраций турбины мощность 720 МВт, достигнутая в 00 ч.05 мин., слишком велика и её, видимо, стали снижать дальше (до уровня собственных нужд). Но могло быть и так: ночная смена А.Ф. Акимова приняла реактор на ходу, во время быстрого снижения мощности с уровня 1600 МВт, при наличии сильного нестационарного ксенонового отравления. Только что пришедший на смену оператор реактора (СИУР) Л.Ф. Топтунов не успел войти в быстро меняющуюся обстановку и без какого-либо определённого умысла просто не сумел стабилизировать мощность на требуемом уровне. Как бы то ни было, мощность снижалась, и во время этого снижения при переходе с одной системы автоматического регулирования (ЛАР) на другую (АР) в 00 ч. 28 мин. Топтунов по оплошности допустил провал мощности реактора практически до нуля. Как именно выходили из провала, и было ли это нарушением технологического регламента – вопрос дискуссионный, но факт остаётся фактом, по выходе из провала была установлена мощность реактора 200 МВт (вместо 700, указанных в программе).
После выхода из провала началась работа (в 00 ч. 41 мин) по измерению вибраций турбины, которая закончилась в 01 ч.16 мин, и только после этого можно было приступить, к испытанию выбега. Работа реактора на малом уровне мощности при малом ОЗР сопровождалась неустойчивостью теплогидравлических параметров и возможно неустойчивостью нейтронного поля. Об этом свидетельствуют многократные аварийные сигналы по уровню в барабане сепараторе (БС), срабатывания БРУ-К (Быстродействующая Редукционная Установка, отводящая пар в Конденсатор, минуя турбину), перерегулирования в расходе питательной воды, и выходы из строя автоматических регуляторов нейтронной мощности АР1 и АР2. Именно поэтому, видимо, в период с 00:35 по 00:45, чтобы сохранить реактор на мощности, были заблокированы аварийные сигналы по теплогидравлическим параметрам КМПЦ (и сигнал АЗ-5 по отключению 2-х ТГ). Насколько эти действия персонала согласуется с регламентом эксплуатации, мы позже обсудим. А сейчас прокомментируем рис. 3.

Рис. 3. Мощность реактора, аварийные сигналы и действия операторов

Мощность (точнее поток нейтронов, которому она пропорциональна) в реакторе РБМК-1000 измеряется двумя различными независимыми способами: интегрированием показаний более сотни датчиков системы внутриреакторного контроля (СФКРЭ) и по показаниям 4-х внешних (Боковых) Ионизационных Камер (БИК). Автоматические Регуляторы (АР) и оператор, управляя реактором в ручную, поддерживают мощность по показаниям БИК. Эти датчики безынерционны и мгновенно отслеживают все изменения интегральной мощности, но они не дают представления о распределении тепловыделения в активной зоне, от которого зависит абсолютный уровень мощности реактора. Поэтому тепловая мощность реактора в абсолютных единицах определяется по СФКРЭ. При нормальной работе реактора, когда распределение энерговыделения (нейтронного потока) по активной зоне устойчиво и мощность реактора постоянна и достаточно велика, обе системы контроля показывают одно и то же. Но в переходных режимах (из-за большой инерционности датчиков) и на малой мощности (из-за чувствительности датчиков к гамма-излучению) мощность, измеренная по СФКРЭ, недостоверна и отличается от показаний ИК.
Мощность реактора по показаниям БИК (на рис. 3) не менялась вплоть до нажатия кнопки АЗ-5, мощность же по СФКРЭ немного возросла за последние 5...10 минут. Это означает, что распределение нейтронного потока по активной зоне существенно менялось, но система регулирования с этим в целом справлялась. На рис. 3 также изображена работа автоматических регуляторов (их погружение в активную зону). Сигналы неисправности АР означают, что соответствующий регулятор извлёк (или погрузил) свои 4 стержня до предела и отключился. Чтобы этого не происходило, оператор должен вовремя отслеживать такие ситуации и проводить перекомпенсацию реактивности с помощью стержней ручного регулирования (РР). Сигналы ПК вверх-вниз это и есть предупреждения об этом. На протяжении всего времени вплоть до начала эксперимента стержни РР в основном только извлекались из реактора. Временные выключения ДРЕГ из работы не представляют ничего серьёзного, и связаны с какими-либо рутинными работами на вычислительном комплексе СКАЛы. Во всяком случае, последний перерыв в работе, это перезагрузка программы ДРЕГ с новыми установочными данными перед началом эксперимента.
Не меньше, а может быть даже и больше сложностей в управлении энергоблоком, чем описано выше для реактора, создавала нестабильность тепло-гидравлических параметров в КМПЦ. Тем не менее, работы по программе испытаний выбега решено было продолжить. В 01:00 была установлена в ДРЕГ регистрация основных наиболее существенных параметров (расходы питательной воды, уровни и давления в БС, расходы через каждый ГЦН, и др.) с интервалом 2 с и были включены в работу ещё два дополнительных ГЦН (в 01:02 и в 01:06 соответственно). При этом суммарный расход через активную зону более чем на 20% превысил регламентное значение. Состояние опасное с точки зрения вскипания теплоносителя на входе в активную зону, а также возможности кавитации на ГЦН и срыва циркуляции.
Но никакой опасности ядерной аварии эксплуатационный персонал не чувствовал и предполагать не мог. Все твёрдо знали, что быстрый мощностной коэффициент реактивности у реактора отрицателен, и вообще реактор находится под надёжной защитой «SCRAM» от любых случайностей. Эксперимент начался в 01:23:04, закрылись стопорные клапаны турбины, и начался совместный выбег турбогенератора ТГ-8 с четырьмя ГЦН (и другим электромеханическим оборудованием). Включение в работу дизель-генератора и ступенчатый набор нагрузки закончилось к 01:23:44 и в течение этого времени электроснабжение собственных нужд осуществлялось за счёт выбега турбогенератора.
Поведение параметров энергоблока за время выбега (исключая последние несколько секунд аварийного процесса) в целом не отличается от предыдущего и даже выглядит внешне более стабильным. Давление в барабанах-сепараторах растёт, уровень восстанавливается, расход через активную зону убывает, расход питательной воды удерживается с точностью ±50 т/час. Опасность кавитации и закипания на входе в активную зону уменьшается. Как показали последующие расчёты ([11], стр. 114), максимальной она была за 2 мин до начала выбега.
Незаглушение реактора с началом выбега являлось серьёзным нарушением программы эксперимента и в корне меняло его статус. Этим он превращался из работы, касающейся только различных переключений в электрических цепях энергоблока на остановленном реакторе, в ядерноопасную работу при работающем реакторе. Так как аварийная защита по отключению 2-х ТГ была ранее заблокирована, то заглушить реактор должны были кнопкой АЗ-5 одновременно с прекращением подачи пара на турбину. Однако этого не произошло, кнопка АЗ-5 была нажата спустя 35 с после закрытия СРК, в 01:23:40 (по времени ДРЕГ), что уже практически в конце, а не в начале выбега.
Далее в реакторной установке начался аварийный процесс, закончившийся полным разрушением реактора и значительной части здания энергоблока с выбросом раскалённых фрагментов активной зоны (графита и обломков твэл), последующими пожарами на крышах примыкающих зданий, в машинном зале и, что самое тяжёлое, пожаром в шахте реактора. Практически все свидетели, находившиеся как в здании, так и за его пределами, говоря о своих ощущениях, описывают это, как два последовательных взрыва с интервалом в несколько секунд (второй взрыв значительно мощнее первого).
Аварийный процесс от момента нажатия кнопки АЗ-5 до разрушения реактора протекал так быстро, что для его полноценного наблюдения оказалось недостаточным разрешение по времени, даваемое программой ДРЕГ, не говоря уже о самопишущих приборах БЩУ, настроенных на регистрацию со скоростью протяжки ленты 60 мм/час. Единственным документом регистрации с разрешением, достаточным для точной взаимной привязки по времени основных событий аварии, оказалась осциллограмма выбега.
Последовательность событий, зарегистрированных за последние 10 с, хорошо укладывается в определённую картину аварии. Детально схема развития аварийного процесса разрушения реактора очень мало проработана, но наиболее общепринята такая схема. В реакторе появилась большая (нескомпенсированная) положительная реактивность, и катастрофически быстро возрастает мощность. Увеличивается парообразование и растёт давление в технологических каналах реактора (ТК). За счёт большого положительного парового коэффициента реактивности ввод реактивности и рост мощности ещё более ускоряется. В некоторых наиболее тепло-напряжённых ТК топливо разогревается до чрезмерно высоких температур (близких или даже превышающих температуру плавления) и тепловыделяющие сборки (ТВС) разрушаются.
Разрушение ТВС и контакт топлива со стенкой ТК вызывает разрушение самого ТК. Пар получает выход в реакторное пространство (РП), герметически ограниченное цилиндрическим кожухом реактора и защитными плитами, сверху и снизу, в которых жёстко, на сварке, закреплены каналы. Обезвоживание каналов и рост реактивности ещё более ускоряется. Разрушение нескольких ТК (хватает двух) вызывает сильный рост давления в РП, достаточный для отрыва и подъёма верхней защитной плиты. Это в свою очередь (чисто механически) вызывает массовое разрушение технологических каналов и выход пара (под давлением ≈ 70 атм) в открытое пространство. Всё происходит практически мгновенно, и это есть первый (паровой) взрыв. Как взрыв парового котла. Вся активная зона реактора сразу и полностью обезвоживается, чем вносится положительная реактивность уже намного превышающая долю запаздывающих нейтронов β. Происходит разгон реактора на мгновенных нейтронах и его полное разрушение. Это уже второй (ядерный) взрыв. Не взрыв атомной бомбы, но той же физической природы.
Ни одно зарегистрированное системой ДРЕГ и приборами БЩУ событие не противоречит вышеописанному сценарию и наоборот ни одна из других (хоть сколько-нибудь осмысленных) альтернативных схем развития аварийного процесса не удовлетворяет всей совокупности зарегистрированных данных. Эта схема согласуется также с физическими характеристиками реактора. Непримиримые дискуссии велись (и кое-кем ведутся до сих пор) вокруг двух вопросов: 1) что явилось причиной начального ввода положительной реактивности и какова её величина; 2) когда и как начался этот ввод положительной реактивности.
Ну а где же была аварийная защита реактора («человек с топором»), почему она не остановила аварийный процесс с самого его начала и не заглушила реактор?
Причины

Причины любой крупной аварии всегда ассоциируются в общественном сознании (и не только в нём) с вопросом «кто виноват», и это сильно затрудняет её техническое расследование. Гораздо продуктивнее другое значительно более точное понятие – исходное событие аварии. Так, например, можно ли считать причиной чернобыльской аварии нарушение в 07:00 25.04.86 эксплуатационным персоналом регламента эксплуатации, требовавшего срочно остановить энергоблок, а персонал продолжал работать, как ни в чём не бывало? Конечно можно. Если бы реактор остановили, никакой аварии не было бы. А можно ли считать это исходным событием аварии? Конечно, нет. Реактор продолжал после этого нормально работать ещё почти сутки, и работал бы дальше, если бы не произошли другие события. То же самое можно сказать и о провале мощности в 00:28 26.04.86. Если бы позволили реактору заглохнуть, и не стали его снова выводить на мощность, то не было бы аварии. Но исходным событием аварии это точно не было, реактор после этого ещё проработал почти час и при желании в любой момент мог бы быть остановлен без всякой аварии. И даже закрытие СРК турбины (т.е. эксперимент с выбегом ТГ) не является таким исходным событием. Если бы персонал знал, что реактор находится во взрывоопасном состоянии, чего не было видно ни по каким приборам или сигналам БЩУ, то он мог бы спокойно не спеша остановить реактор, не взрывая его. Для выбега работающий реактор был не нужен.
А можно ли считать исходным событием аварии нажатие кнопки аварийной защиты в 01:23:40? Оказывается, не только можно, но и нужно. Действительно, до момента нажатия кнопки АЗ-5 никаких признаков катастрофического возрастания мощности реактора не наблюдается, а через три секунды после этого момента мощность зашкаливает по всем приборам и на самописце даёт вертикальную линию (рис. 3). Как такое может быть («тормоза разгоняют автомобиль»)? Оказывается, может.
Особенности конструкции и физики реактора РБМК-1000

Всё дело в особенностях конструкции стержней регулирования и аварийной защиты. Стержни состоят из двух секций: секция поглотителя нейтронов из карбида бора, имеющая длину практически равную высоте активной зоны (7 м) и секция вытеснителя из графита (≈ 4,5 м), секции соединены между собой телескопической тягой. Стержни перемещаются в каналах СУЗ (аналогичных топливным каналам, в которых размещаются тепловыделяющие сборки ТВС) и охлаждаются водой.

Рис. 4. Перемещение стержней регулирования и аварийной защиты

Когда стержень находится в крайнем верхнем положении рис. 4a, в активной зоне размещается его графитовая часть. Графит, это замедлитель, почти не поглощающий нейтроны, в отличие от воды, которая тоже замедлитель, но нейтроны поглощает значительно сильнее. Если стержень находится в крайнем нижнем положении рис. 4d, то в активной зоне реактора расположен сильный поглотитель карбид бора. Тем самым перемещение стержня из крайнего верхнего в крайнее нижнее положение вносит в реактор большую отрицательную реактивность, способную заглушить реактор при любой аварийной ситуации.
Однако, посмотрим, как вносится эта отрицательная реактивность во времени. При перемещении стержня (рис. 4b), в верхней части активной зоны вносится отрицательная реактивность, за счёт погружения в зону сильного поглотителя (карбид бора). В это же время в нижней части активной зоны вода в канале СУЗ вытесняется графитом и это вносит положительную реактивность, так как графит значительно слабее поглощает нейтроны, чем вода. Это продолжается до тех пор, пока не будет вытеснен весь столб воды в нижней части активной зоны, после чего вносится только отрицательная реактивность (рис. 4b, с). Если отрицательная реактивность, вносимая в верхней части активной зоны, окажется меньше положительной, вносимой в нижней части, то получится, что стержень на каком-то этапе, погружаясь в активную зону, разгоняет реактор вместо того, чтобы его заглушать.
Величина реактивности, которую, перемещаясь, вносит стержень, зависит от величины потока нейтронов в том месте, где эта реактивность вносится (квадратично пропорциональна). Если распределение нейтронного потока равномерно по высоте активной зоны (как на рис. 4a), т.е. одинаково вверху и внизу, то, конечно, вверху вносится гораздо большая (примерно в 2 раза) отрицательная реактивность, чем внизу положительная, и общая вносимая реактивность отрицательна. Если же поток нейтронов внизу гораздо больше чем вверху, то ситуация противоположная, и общая вносимая реактивность положительна. Величина нейтронного потока в данном локальном месте в свою очередь зависит от наличия или отсутствия в этом месте поглотителя. Т.е. пространственное распределение нейтронного потока (нейтронное поле) меняется при перемещении стержней, в одном месте заваливается, зато в другом выпячивается.
Если стержни в активной зоне находятся в произвольных случайных положениях, то при одновременном движении всех стержней вниз (что и происходит при сбросе аварийной защиты) эти изменения нейтронного потока локальны и также случайны, так что в целом (в распределении нейтронов) по реактору как бы ничего не меняется. Происходит нормальный ввод отрицательной реактивности с постоянной скоростью движения стержней. Если же почти все стержни находятся в крайнем верхнем положении, то при их одновременном движении, распределение нейтронов будет сильно деформироваться по высоте активной зоны. Так как это показано на рис. a), b) и c), и так как это было тогда в Чернобыльской аварии. И в реактор несколько секунд, пока вытеснялся столб воды, по сигналу АЗ-5 от кнопки вводилась стержнями положительная реактивность.
Ничего бы подобного не происходило, будь графитовые вытеснители стержней на 1,3 метра длиннее, так что это большая ошибка проекта и конструкции реактора. Конечно, удлинение вытеснителей потребовало бы для их размещения в крайнем нижнем положении соответственно большей высоты подреакторного пространства (со всеми вытекающими последствиями для реакторного здания). Но нельзя же, ведь, оставлять реактор без аварийной защиты, а тем более превращать её в свою противоположность.
Другая роковая ошибка, сделавшая масштаб аварии катастрофическим, это ошибка в расчёте парового (пустотного) эффекта реактивности и неправильный первоначальный выбор физических характеристик реактора при его создании. Знак и величина парового эффекта зависят от соотношения количеств замедлителя (графита) и поглотителя в активной зоне. Если поглотителя относительно много, то вода (теплоноситель) на его фоне мало что добавляет к общему поглощению нейтронов (в процессе замедления), а замедляет нейтроны гораздо лучше, чем графит. Паровой эффект в этом случае отрицателен (чем больше пара, т.е. меньше воды, тем хуже замедление нейтронов). Если поглотителя относительно мало, то поглощающие свойства воды выступают на первый план по сравнению с её замедляющей способностью. В этом случае чем больше пара и меньше воды, тем меньше вредное поглощение, и эффект положительный.
Основной поглотитель нейтронов в реакторе, как вредный (уран-238), так и полезный (уран-335), это ядерное топливо. Реактор РБМК-1000 задумывался как очень экономичный (в смысле использования ядерного топлива) реактор, и именно из этих соображений в нём выбиралось соотношение количества ядер углерода (графита) и урана-235. Конструктивно это вылилось в решётку каналов в графитовой кладке, с шагом 250 мм, содержащих внутри себя твэлы с обогащением 2% по урану-235 (в реакторах первой очереди это было даже 1,8%). Паровой эффект в таком реакторе оказался положительным и большим. Здесь необходимо сделать несколько замечаний.
1. Помимо конфигурации и состава активной зоны, заданных проектом реактора, характер поглощения и замедления нейтронов зависит ещё от многих факторов, меняющихся в процессе его работы. Извлекаются дополнительные поглотители (ДП), размещённые в активной зоне при первоначальной загрузке для компенсации избыточной реактивности. Накапливается плутоний, тоже ядерное горючее, но с совершенно другим характером взаимодействия между замедлением и поглощением. Очень сложно расчётным и экспериментальным путём на физических стендах определить влияние всех этих факторов на величину парового эффекта. Конструкторское проектирование реактора в этой части значительно опережало его расчётно-экспериментальное обоснование.
2. До чернобыльской аварии проектирование, строительство и эксплуатация реакторов РБМК исходили из ошибочного расчёта зависимости реактивности от плотности теплоносителя ([8], стр. 556, рис. 13.1).
3. Для ядерной безопасности важен не столько сам по себе паровой эффект реактивности, сколько его вклад в быстрый мощностной коэффициент. Эксперименты, выполнявшиеся периодически, в том числе и на блоке №4 ЧАЭС показали, что быстрый мощностной коэффициент за время эксплуатации реактора изменялся от большого отрицательного значения –8,8·10–4 β/МВт до положительной величины +0,6·10–4 β/МВт ([5], стр. 282). Такого не должно быть, с точки зрения ядерной безопасности, даже при наличии надёжной аварийной защиты.
Действия эксплуатационного персонала

Как бы там не было, но реактор взорвался в руках у эксплуатации, и естественно возникает вопрос, что они делали не так, почему именно у них он взорвался. На этот вопрос сразу же был дан ответ [12], подтверждённый авторитетом МАГАТЭ в докладе международной группы по безопасности реакторов INSAG [13]. Эксплуатационный персонал «нарушил важнейшие положения регламента эксплуатации в части безопасности ведения технологического процесса», и перечислено семь таких нарушений. Но в 1991 г. многие из, сделанных в этом докладе утверждений относительно нарушений регламента, были признаны не соответствующими истине, и в новой редакции доклада МАГАТЭ [6] его выводы были существенно пересмотрены.
В этой связи, нисколько не подвергая сомнению необходимость соблюдения регламента, тем не менее, следует классифицировать действия эксплуатационного персонала не только как регламентные и не регламентные, но и как правильные и неправильные. И если эти классификации не совпадают, то следует разбираться не только с нарушениями регламента, но и с самим регламентом. При нормально написанном регламенте не может быть неправильных действий, им разрешённых, равно как и не должно быть запрета на правильные действия.
Большинство нарушений, в которых обвинили персонал, на самом деле никак не влияли на протекание аварии, и не они её вызвали. Наиболее ярким из таких нарушений, является блокирование на долгое время гидроёмкостей САОР. Они, в общем-то, предназначены для борьбы именно с такого рода авариями (потеря теплоносителя в результате МПА), но в данном случае их наличие или отсутствие ничего не меняло, хотя бы потому, что не возникало сигнала на автоматическое включение САОР. Про другие нарушения, такие как манипулирования уставками аварийной защиты по уровню или давлению в БС, если и можно говорить об их влиянии на возникновение аварии, то только в том смысле, в каком мы уже говорили раньше. Не будь этих нарушений, невозможно было бы работать, и реактор был бы остановлен аварийной защитой, не позволив провести запланированные работы (снятие вибрационных характеристик и испытание выбега). Но есть три нарушения, они же, и неправильные действия, имеющие непосредственное отношение к аварии, и на них стоит остановиться подробнее.
Одним из основных неправильных действий и одновременно нарушением программы испытаний была работа реактора на малом уровне мощности 200 МВт вместо запланированного 700 МВт. Помимо того, что на такой мощности, реактор и КМПЦ работают неустойчиво, требуя повышенного внимания со стороны операторов и интенсивной работы систем регулирования, этот режим был ещё и опасен. При большом расходе теплоносителя, создаваемого 8-ю ГЦН, включёнными согласно программе испытаний, температура в контуре циркуляции приближалась к температуре кипения с возможностью возникновения кавитации, срыву циркуляции и нарушению охлаждения активной зоны реактора. Даже если бы реактор не был взрывоопасен и не обладал большим положительным ПКР, это могло бы привести к серьёзной аварии связанной с пережогом и разрушением твэл.
Как не странно, работа на мощности 200 МВт не была запрещена регламентом эксплуатации. Более того она была предусмотрена как ступень при выходе реактора на мощность после длительного останова, и время нахождения на этой ступени ограничивалось не сверху, а снизу (не менее 2-х часов). Ограничивался только расход теплоносителя, который 26-го апреля 1986 г. был превышен.
Самым впечатляющим нарушением, в котором обвиняется персонал, является, несомненно, блокировка аварийной защиты АЗ-5 по отключению 2-х ТГ. Интересно, что само по себе отключение этой (технологической) защиты не было на самом деле никаким нарушением регламента, более того в специальной инструкции по работе с блокировками предписывалось вводить эту защиту при пуске первого и выводить перед остановкой последнего турбогенератора. Другое дело, что это отключение защиты было нарушением в какой-то степени программы испытаний, в которой, правда, ничего прямым текстом о заглушении реактора не говорилось, но по содержанию и смыслу программы было ясно, что реактор должен быть остановлен по сигналу АЗ-5 в начале выбега.
Оставив реактор на мощности, эксплуатационный персонал допустил большую ошибку, и она несомненно могла бы считаться причиной аварии, если бы не одно но... Зададимся вопросом: а что было бы, если бы кнопка АЗ-5 была нажата одновременно с началом выбега, так как это и собирались сделать, если верить руководителю испытаний А.С. Дятлову ([4], стр. 39), но почему-то не сделали? А было бы тогда вот что, реактор, скорее всего, взорвался бы точно так же, как это и произошло в действительности, но только на 35 с раньше. Ведь условия для такого развития событий были к началу выбега уже подготовлены всей работой в течение часа, предшествующего аварии.
Так что же такого, необычного, сделал эксплуатационный персонал в течение этого часа, что взрыв реактора стал неотвратимым? Ответ на это даётся крайне простой и столь же удивительный: они нарушили технологический регламент и работали с малым оперативным запасом реактивности (ОЗР). Заметим, что ОЗР это не реактивность, которая непосредственно отслеживается по изменению мощности. Это параметр, характеризующий гипотетическое состояние реактора: какая в нём появится реактивность, если извлечь полностью все стержни регулирования. Разумеется, сделать это невозможно, и определить ОЗР можно только расчётным путём, проведя физический расчёт реактора. Кроме того этим параметром невозможно непосредственно управлять, управлять можно стержнями регулирования, перегрузкой ТВС и ДП, а ОЗР устанавливается при этом сам нейтронно-физическими процессами, протекающими в реакторе. И наконец, ОЗР в переходных режимах (при любых изменениях мощности реактора или тепло-гидравлических параметров) сильно и быстро меняется.
Как же это может быть, что такой достаточно абстрактный, трудно отслеживаемый и непосредственно не наблюдаемый параметр определяет фатальным образом ядерную безопасность реактора, и почему? Из того, что было сказано раньше про аварийную защиту, становится ясно почему. Малый (близкий к нулю) ОЗР требует, чтобы все регулирующие стержни были почти полностью извлечены из реактора, а в этом состоянии аварийная защита РБМК-1000 теряет свои функции и вместо заглушения разгоняет реактор. Давайте посмотрим, что же по этому поводу говорят правила ядерной безопасности [14] и регламент эксплуатации?
Регламент эксплуатации

Правила ядерной безопасности ПБЯ-04-74, действовавшие на момент аварии, об ОЗР не говорят абсолютно ничего. И даже само словосочетание «запас реактивности» во всём этом документе встречается только один раз, в разделе «Основные понятия, определения и терминология» при определении термина «максимальный запас реактивности», который, впрочем, тоже нигде дальше не используется. Уже одно это означает, что либо документ никуда не годится, либо ОЗР не является параметром, важным для безопасности. То, что ОЗР не считался до Чернобыльской аварии параметром, определяющим ядерную безопасность реактора РБМК-1000, достаточно очевидно. Отсутствовал постоянный автоматический контроль этого параметра, не формировались предупредительные и аварийные сигналы при его выходе за допустимые пределы, не срабатывала по этому параметру аварийная защита. Для того чтобы получить значение ОЗР, необходимо было заказать физ. расчёт дежурному инженеру по вычислительной технике и ожидать 5...10 мин. пока его принесут на пульт управления. Последний такой расчёт был заказан за 1,5 мин. до взрыва, и получить его результаты операторы не успели, но уже после аварии по сохранённой записи исходных данных на магнитной ленте расчёт был проведён, и ОЗР оказался в два раза ниже разрешённого предела.
Отсутствовало какое-либо упоминание о ядерной опасности малого ОЗР и в регламенте эксплуатации. Регламент запрещал работу с запасом реактивности менее 15 стержней РР. Но давайте посмотрим, почему он это делал и как. Этот запрет в регламенте упоминается дважды: в главе 6 при описании порядка подъёма мощности реактора после кратковременной остановки энергоблока и в главе 9, посвящённой работе реактора на постоянном уровне мощности. В этой главе в 33-х её параграфах для всех более или менее значимых параметров энергоблока (каждому посвящён отдельный параграф) подробно описывается, в каких они должны находиться пределах. Там где это необходимо, сказано, как это соответствие регламенту определяется. Для некоторых (комплексных) параметров дополнительно разъясняются разрешённые ситуации. В следующей, 10-й главе «Действия персонала при отклонениях параметров от нормальных» в 27-ми параграфах (с большим количеством подпунктов каждый) подробнейшим образом описываются все необходимые действия по каждому из параметров.
Так вот, во всём этом тексте нет ни слова об оперативном запасе реактивности. Ни как определять, находится ли он в допустимых пределах, ни что и как делать, если он за эти пределы вышел. Вообще ничего. Нет такого контролируемого параметра! ОЗР упоминается только в преамбуле главы 9. Вот, что там написано:
На номинальной мощности в стационарном режиме величина оперативного запаса реактивности должна составлять не менее 26...30 стержней.
Работа реактора при запасе менее 26 стержней допускается с разрешения главного инженера станции.
При снижении оперативного запаса реактивности до 15 стержней реактор должен быть немедленно заглушён.
Научное руководство станции должно периодически (1 раз в год) рассматривать конкретные условия устойчивого поддержания полей энерговыделения на данном блоке и при необходимости пересматривать их в сторону ужесточения по согласованию с Научным руководителем и Главным конструктором.
Из этого текста следует, что опасность, заставляющая немедленно заглушать реактор, проистекает из влияния ОЗР на устойчивость нейтронного поля в активной зоне. И такое влияние действительно есть, неустойчивость нейтронного поля это то, с чем оператор, управляющий реактором, практически постоянно имеет дело. Нейтронное поле непосредственно контролируется датчиками внутриреакторного контроля реактора и их показания непрерывно поступают на мнемотабло, расположенное перед оператором, а также в систему предупредительной (и аварийной) сигнализации. Неустойчивость нейтронного поля имеет чётко определённую количественную характеристику τ01 – период вращения азимутальной гармоники. Так почему же не этот непосредственно наблюдаемый параметр служит сигналом для немедленного заглушения реактора, а какой-то ОЗР, от которого к тому же неустойчивость зависит неоднозначно. Она зависит от общего наличия любого поглотителя в активной зоне, а не только и не столько от погружения стержней регулирования. И почему же тогда кроме этого косвенного упоминания в преамбуле главы 9 в регламенте нет ни слова о неустойчивости нейтронного поля в РБМК-1000.
Создаётся впечатление, что авторы регламента что-то такое знают об ОЗР и об устойчивости нейтронного поля, чего они говорить не хотят.
Ленинградская авария

А говорить авторы регламента не хотят об аварии, произошедшей в 1975 г. на Ленинградской АЭС. Эта авария 1975-го года по чисто внешним признакам очень похожа на чернобыльскую 1986-го года. Точно также она произошла ночью, точно также в работе перед этим находился 1 турбогенератор, и точно также мощность реактора была на уровне 50% от номинала. Точно также перед аварией мощность (из-за ошибки оператора) провалилась до нуля, и точно также её стали сразу после этого поднимать. Пока её поднимали в течение 3-х часов запас реактивности за счёт отравления ксеноном уменьшился с 35 до 3,5 стержней РР.
Но есть и различия. На ЧАЭС авария произошла при остановке реактора на ППР, а на ЛАЭС наоборот при выводе реактора после ППР на номинальную мощность. На ЧАЭС аварийный процесс начался на стационарном уровне мощности 200 МВт и протекал в считанные секунды, разрушив полностью весь реактор. На ЛАЭС аварийный процесс проходил в течение десятков минут (а то и часы) во время подъёма мощности с нуля до 1700 МВт, разрушил (или повредил) около 30 ТВС и всего только один канал был разрушен. В чернобыльской аварии существенную роль играли тепло-гидравлические процессы нестабильности во внешнем контуре охлаждения реактора (КМПЦ), и значительно меньшую – нейтронно-физическая нестабильность в самой активной зоне. В аварии на ЛАЭС это было наоборот.
Ещё одно отличие этих двух аварий состояло в принципиально различных обстоятельствах их расследования. Чернобыльская АЭС находилась в ведении Минэнерго, отвечавшего за его эксплуатацию, и расследование должно было носить как минимум межведомственный характер. А поскольку авария произошла на рубеже эпохи «гласности» и была слишком масштабным событием, то несмотря ни на какие секреты, почти все материалы расследования стали общедоступны. И об этой аварии практически всё известно до мельчайших подробностей.
Ленинградская АЭС находилась в ведении Минсредмаша, и авария произошла в эпоху тотальной закрытости. Расследовалась она как чисто внутриведомственное происшествие. Представители Минэнерго, которые уже готовились к началу эксплуатации таких же точно реакторов на Курской и Чернобыльской АЭС, не были допущены не то что к участию в расследовании, но даже к ознакомлению с материалами расследования. Поэтому никаких доступных объективных данных по аварии 1975 г. на ЛАЭС сейчас нет. Есть лишь то, что написал гл. конструктор РБМК в своей последней книге ([8], стр. 593) и воспоминания очевидцев (которые в основном предпочитают молчать). Тем не менее, опираясь на эти данные, характер аварии можно как-то себе представить.
Причиной и той и другой аварии являются одни и те же недостатки физики реактора и конструкции органов регулирования. Но они по-разному вели себя в обоих этих случаях. В случае Чернобыльской аварии «концевой эффект» на стержнях проявил себя непосредственно тем, что при попытке остановить реактор аварийная защита реактора ввела вместо отрицательной положительную реактивность. Это произошло за счёт синхронного движения практически всех стержней из верхнего положения. Начался неконтролируемый разгон, который пресечь невозможно, так как его вызвала сама аварийная защита. Большой положительный паровой коэффициент реактивности перевёл этот процесс в разгон на мгновенных нейтронах со всеми вытекающими отсюда последствиями.
В случае Ленинградской аварии «концевой эффект» вызывал хаос в управлении реактором при попытке вывести его на мощность. И когда, в конце концов, это удалось сделать, то из-за сильной неравномерности распределения энерговыделения по активной зоне возник кризис теплообмена в ряде каналов, и произошли соответствующие разрушения. Роль положительного парового коэффициента реактивности была в создании нейтронно-физической неустойчивости, которая при наличии «хаоса» и привела к такой большой неравномерности. Вот как описывает этот хаос посторонний свидетель, стажёр с Чернобыльской АЭС [15].
«При подъёме мощности после останова, без воздействия оператора на изменение реактивности (не извлекая стержней), вдруг реактор самопроизвольно уменьшал период разгона, т.е. самопроизвольно разгонялся, другими словами стремился взорваться. Дважды разгон реактора останавливала аварийная защита. Попытки оператора снизить скорость подъёма мощности штатными средствами, погружая одновременно группу стержней ручного регулирования + 4 стержня автоматического регулятора, эффекта не давали, разгон мощности увеличивался. И только срабатывание аварийной защиты останавливало реактор».
На 3-ем и 4-ом блоках ЧАЭС (пущенных в эксплуатацию в 1981 и 1983 г. уже после этой аварии) графитовые вытеснители стержней АР были демонтированы и размещены в нижней части каналов СУЗ за пределами активной зоны.
По результатам расследования Ленинградской аварии, был проведён ряд мероприятий. Введена локальная система автоматического регулирования мощности реактора (ЛАР), увеличено общее количество стержней со 179 до 211, повышено обогащение урана с 1,8% до 2,0% и др. Но все эти мероприятия были направлены исключительно на борьбу с внутренней неустойчивостью нейтронного поля в активной зоне. И даже введение в регламенте ограничения на величину ОЗР в 15 стержней РР преследовало именно эту цель. Ни о каком концевом эффекте на стержнях и влиянии его на эффективность аварийной защиты не было речи. Возникает вопрос. Что, гл. конструктор и научный руководитель не смогли или не захотели глубоко, до самого конца разобраться в том «хаосе» и представить себе к каким катастрофическим последствиям могут привести опасные «особенности» конструкции и физики реактора? Видимо, этот вопрос теперь навсегда останется без ответа.
А как, интересно, относился ко всей этой ситуация с регламентом и аварийной защитой надзорный орган, призванный следить за соблюдением требований ядерной безопасности? Госатомнадзор, выпустивший в 1974 г. «Правила ядерной безопасности атомных электростанций ПБЯ-04-74» [14], до 1984-го года являлся структурным подразделением Средмаша т.е. ведомства поставщика реакторов для АЭС. Таким образом, создатели и разработчики сами же и определяли требования к ядерной безопасности своих реакторов. Давайте посмотрим, что из этого получилось.
Правила ядерной безопасности

Самая страшная авария для ядерного реактора – неконтролируемый разгон на мгновенных нейтронах. В «Правилах» этого не сказано, видимо потому, что считалось: такое произойти не может, если будет выполнено всё что в «Правилах» написано. Но читая этот документ, мы не находим в нём самого главного, что делает разгон на мгновенных нейтронах невозможным, а именно требования, чтобы быстрый мощностной коэффициент реактивности был отрицателен. И с удивлением обнаруживаем, что вообще такого понятия, как быстрый мощностной коэффициент там нет. А что же есть?
Есть ничем не примечательный пункт 3.2.2 в одном из разделов «Правил» среди множества других пунктов требований к конструкции и характеристикам активной зоны. Это даже не требование, а скорее пожелание, касающееся не быстрого, а полного мощностного коэффициента.
При проектировании реактора следует стремиться к тому, чтобы полный мощностной коэффициент реактивности не был положительным при любых режимах работы АЭС.
Чтобы этот пункт 3.2.2 не выглядел уж совсем абсурдным, он заканчивается следующим текстом:
Если полный мощностной коэффициент реактивности в каких-либо эксплуатационных условиях положителен, в проекте должна быть обеспечена и особо доказана ядерная безопасность реактора при работе в стационарных, переходных и аварийных режимах.
Так как по этому наиважнейшему для ядерной безопасности вопросу ничего в ПБЯ больше не сказано, то получается, что разработчик сам должен проявлять инициативу. Мало того, что он должен выискивать режимы и ситуации, в которых мощностной коэффициент может стать положительным, и он должен обеспечить безопасность в этих случаях. Он ещё сам же должен придумать, как требуемое обеспечение безопасности обосновать и «особо доказать». Вряд ли найдётся такой разработчик, который будет искать себе на голову подобных приключений. Куда проще посчитать, что таких режимов, где коэффициент положителен, нет, и тогда ничего никому обосновывать и доказывать не нужно. Так гл. конструктор РБМК-1000 и поступил, сделав взрывоопасный реактор. Но он при этом ничего не нарушил, он ведь не знал (пока не произошла авария), что мощностной коэффициент может оказаться положительным!
Хорошо, допустим, что чего-то главный конструктор не знал, о чём-то научный руководитель не догадался, и всякое может с реактором случиться. Но именно на такой случай на всех реакторах предусмотрена аварийная защита «SCRAM», которая осуществляет «быстрое гашение цепной реакции, а также поддержание реактора в подкритическом состоянии» (п. 3.3.1. ПБЯ-04-74), причём делать это она должна «при любых нормальных и аварийных условиях» (п. 3.3.5. ПБЯ-04-74) и в том числе обеспечивать «автоматический останов реактора при возникновении аварийной ситуации» (п. 3.3.21. ПБЯ-04-74). Много ещё чего сказано про аварийную защиту, но не сказано прямым текстом главного, само собой разумеющегося. Не сказано, что достигается всё это введением большой отрицательной реактивности, и ни при каких обстоятельствах аварийная защита, срабатывая, не должна вводить положительную реактивность.
И тогда нечего удивляться, что разработчик реактора РБМК-1000, создав такую, фантастическую, противоречащую здравому смыслу защиту, сейчас делает невинные глаза и не видит ничего особенного в том, что защита вместо заглушения разгоняет реактор, называя это свойство защиты, придуманным им научным термином: положительный scram-эффект ([8], стр. 556). И он может не обращать внимания на скромное примечание к пункту 3.1.6 «Правил» о том, что в техническом проекте АЭС в его специальном разделе «указываются все имеющиеся отступления от требований «Правил». Отступления должны быть обоснованы и согласованы с Госатомнадзором СССР». Разумеется, ничего этого сделано не было, и вся эксплуатационная документации на АЭС составлялась без учёта «мягко говоря» особенностей аварийной защиты.
Спустя 5 лет после аварии надзорный орган Госпроатомнадзор (уже дважды сменивший к этому времени и название, и свой статус) дал подробный анализ нарушения требований ядерной безопасности в проекте РБМК-1000 ([6] приложение I). Конечно, лучше поздно, чем никогда, но сделай он этот анализ своевременно и потребуй должных обоснований безопасности для принятых конструкторских решений, не было бы чернобыльской аварии.
Заключение

Непосредственной причиной чернобыльской аварии были ошибки, допущенные в конструкции реактора и в исследовании его физических характеристик, а также неправильные действия эксплуатационного персонала, позволившие этим ошибкам проявиться в полной мере. Всё это стало возможным из-за отсутствия должного государственного и общественного контроля безопасности в атомной энергетике.
Не может разработчик ядерных реакторов при всём своём желании осуществлять этот контроль сам над собой. Его деятельность по созданию экономичных и совершенных, с точки зрения научного творчества и инженерной мысли, объектов атомной энергетики находится в жёстком противоречии с ограничениями, возникающими из требований по их безопасной эксплуатации. И, тем не менее, так было, формально существовавший надзорный орган Госатомнадзор, на самом деле был всего лишь одним из подразделений ведомства, ответственного за разработку реакторов. Даже тогда, когда Госатомнадзор в 1984 г. был преобразован в самостоятельный «Государственный комитет СССР по надзору за безопасным ведением работ в атомной энергетике» (Госатомэнергонадзор), он сохранил неформальную, но полную зависимость от ведомства разработчика, Минсредмаша.
Иначе и не могло быть в той командно-административной системе управления промышленностью (и наукой), которая была в СССР. Минсредмаш это могучее ведомство, обеспечивавшее ядерную оборонную мощь страны, где были сосредоточены все научно-инженерные кадры и материально-технические ресурсы для проведения исследований и разработок в области ядерной физики и техники. Там и только там могли приниматься решения о том, что и как надо делать в области атомной энергетики. «Межведомственный научно-технический совет» по атомной энергетике состоял при НТУ (научно-техническое управление) министерства и возглавлялся директором института, подведомственного Минсредмашу (академиком А.П. Александровым). Ситуация начала меняться только в 1990 г.
Сразу после аварии были разработаны организационные и технические мероприятия на действующих реакторах РБМК-1000, сначала по устранению опасности от имеющихся ошибок в конструкции и физике реактора, а затем по исправлению самих этих ошибок. Повышение обогащения топлива с 2% до 2,4%, уменьшило соотношение ядер замедлителя и топлива и существенно снизило положительный паровой коэффициент реактивности.
Создана быстродействующая аварийная защита (БАЗ), где стержни перемещаются в каналах СУЗ с плёночным охлаждением, и каналы не заполнены водой, эффективность БАЗ составляет 2β и быстродействие 2,5 с. Все стержни СУЗ были заменены стержнями новой конструкции, исключающими столбы воды в нижней части каналов и имеющими более длинную поглощающую часть. Скорость ввода стержней была повышена, и время полного погружения стержней в активную зону уменьшено с 18 до 12 секунд.
Ликвидированы и все другие отклонения аварийной защиты от требований правил ядерной безопасности. Заведёны в систему аварийной защиты укороченные стержни УСП, не имеющие вытеснителей и вводимые в активную зону снизу. Внедрена новая программа расчёта оперативного запаса реактивности с цифровой индикацией его текущей величины на пульте оператора. Существенно улучшено информационное обеспечение рабочего места операторов и по ряду других параметров текущего состояния энергоблока. Выведение аварийной защиты по каждому из параметров фиксируется на специальном световом табло без какой-либо возможности вмешательства в его работу. Разработана система мероприятий по предотвращению больших аварий связанных с нарушениями целостности контура циркуляции. Существенно увеличена пропускная способность системы аварийного сброса парогазовой смеси из реакторного пространства при одновременном разрушении нескольких каналов. Теперь система справляется с одновременным разрушением до 9-ти каналов, предотвращая подъём верхней защитной плиты и разрушение реактора.
Проведена значительная корректировка проектно-эксплуатационной документации. Полностью переработан регламент эксплуатации, в нём даны чёткие требования по минимальному и стационарному запасам реактивности. Предписаны алгоритмы действий оперативного персонала при работе на малом уровне мощности. Сформулированы требования по работе персонала с аварийными защитами и по контролю за системами безопасности.
Радикальные перемены в деятельности надзорных органов начались в 1989 г с объединения атомного и общепромышленного надзора и образования на базе Госгортехнадзора и Госатомэнергонадзора единого государственном органа Госпроматомнадзор, и эти реформы продолжаются до сих пор путём то разделения то объединения. На сегодня ядерная и радиационная безопасность регулируется федеральной службой «по экологическому, технологическому и атомному надзору» (Ростехнадзор), входящей в состав Министерства природных ресурсов и экологии РФ. В 1990 г. взамен