Анализ действий персонала, приведшие к аварии на АЭС Три-Майл-Айленд (США) с точки зрения соответствия принципам культуры безопасности

Понятие «культура безопасности» вошло в обиход атомщиков в 1986 году, после аварии на ЧАЭС. Можно сказать, что появление данного словосочетания, как профессионального термина, было вызвано аварией на ЧАЭС. Все последующие аварии или инциденты на ядерных объектах рассматривались через призму соответствия/несоответствия действий персонала принципам культуры безопасности.

Мне показалось интересным рассмотреть действия персонала АЭС Три-Майл-Айленд во время аварии именно с этой точки зрения.

  • Хронологическое описание аварии (с целью упрощения понимания причин аварии, в хронологическом описании упущены действия, носящие промежуточный характер и не оказавшие существенного влияния на ход развития аварии).

В ночь с 27 на 28 марта 1979 года энергоблок № 2 работал на 97 % мощности. Непосредственно перед началом аварийных событий системы энергоблока работали в штатном режиме, за исключением двух известных для персонала проблем.

Во-первых, это постоянная небольшая протечка теплоносителя через затвор одного из клапанов компенсатора давления (КД), из-за чего в сбросном трубопроводе держалась повышенная температура.

Во-вторых, при осуществлении регулярной процедуры выгрузки (замены) ионообменной смолы из фильтра конденсатоочистки второго контура произошло закупоривание смолой трубопровода выгрузки. Около 11 часов предпринимались попытки продуть его смесью сжатого воздуха и воды.

  1. По неизвестной причине (полагают из-за попадания воды в систему сжатого воздуха, во время попытки продуть трубопровод выгрузки смолы) сработали пневмоприводы всей арматуры на входе и выходе из фильтров конденсатоочистки. Поток теплоносителя второго контура оказался полностью перекрыт.

      2. Из-за разогрева второго контура, снизился теплоотвод от первого контура, и в реакторе стали расти температура и давление.

  1. Для отвода тепла от реактора, была задействована аварийная система подачи питательной воды в парогенераторы из баков запаса конденсата.
  2. Далее сработала аварийная защита реактора, отключился турбогенератор, сработал электромагнитный клапан на КД, для сброса давления в реакторной установке.
  3. Электромагнитный клапан КД, по неизвестной причине не закрылся после снижения давления в реакторной установке. Из-за этого происходила непрерывная потеря теплоносителя из первого контура с расходом приблизительно 50 м³/ч (в перерасчёте на жидкость).

Президент США Джимми Картер и губернатор штата Пенсильвания Дик Торнбург осматривают панель приборов радиационного контроля в комнате управления АЭС Три-Майл-Айленд во время личного визита 1 апреля 1979 года.

  1. Уровень в КД снижался, а давление в реакторе упало ниже положенного значения. Поэтому автоматически включились насосы системы аварийного охлаждения реактора, подающие в первый контур воду под давлением для компенсации утечек.
  2. Начался быстрый рост уровня воды в КД. Не подозревая о наличии течи, операторы посчитали такую подпитку явно избыточной и отключили один из насосов аварийного охлаждения. Эти действия лишь ухудшили ситуацию, давление продолжило снижаться, и вода в первом контуре достигла состояния кипения.
  3. Операторы столкнулись с конкурирующими (противоречащими) симптомами, которых не понимали. Сочетание снижавшегося давления и растущего уровня в КД не было описано в эксплуатационной документации и не рассматривалось при их тренировке.
  4. Образовавшийся в активной зоне пар вытеснял воду в КД, создавая иллюзию полного заполнения жидкостью первого контура.
  5. Работа ГЦН стала ухудшаться из-за перекачивания неоднородной пароводяной среды, плотность которой снижалась в результате продолжавшегося кипения теплоносителя. Сильные вибрации вынудили операторов отключить ГЦНы. К этому времени было потеряно около 120 м³ теплоносителя (более 1/3 от объёма первого контура).
  6. Остановка циркуляции в первом контуре вызвало разделение теплоносителя на жидкую и паровую среды. В дальнейшем в результате кипения и сброса теплоносителя через электромагнитный клапан уровень в реакторе неуклонно снижался, и началось осушение активной зоны.
  7. В итоге температура твэлов превысила 1825°C, их оболочки из Циркалоя-4 начали расплавляться. Образовавшаяся расплавленная смесь из топлива, стали и циркония стекала вниз и затвердевала на границе кипения теплоносителя

Конечное состояние активной зоны реактора: 1— вход 2-й петли B; 2— вход 1-й петли А; 3— каверна; 4— верхний слой обломков топливных сборок; 5— корка вокруг центра активной зоны; 6— затвердевший расплав; 7— нижний слой обломков топливных сборок; 8— вероятный объём расплава, который стёк вниз; 9— разрушенные гильзы внутриреакторного контроля; 10— отверстие в выгородке активной зоны; 11— слой затвердевшего расплава в полостях выгородки; 12— повреждения плиты блока защитных труб

Лишь на следующий день, новая смена благодаря свежему взгляду разобралась в ситуации, закрыла электромагнитный клапан на КД и смогла запустить принудительное охлаждение активной зоны. Но к этому времени топливо расплавилось.

Несмотря на серьёзное загрязнение самой станции, радиационные последствия для населения и окружающей среды оказались крайне незначительными. Практически все радиоактивные вещества остались в пределах АЭС. Основным вредным фактором для населения был назван психологический стресс, вызванный противоречивой информацией из СМИ.

Расследование и выводы

Авария на АЭС имела широкий общественный резонанс, и для определения её причин и последствий было проведено сразу несколько независимых расследований. О серьезности подхода к расследованию говорит количество комиссий, созданных для расследования аварии:

-Комиссия президента США;

-Комиссия сената США;

-Комиссия губернатора штата Пенсильвания;

-Комиссия комитета по ядерному регулированию (с целью минимизации возможного конфликта интересов, комиссия по ядерному регулированию поручила ведение своего специального расследования независимой юридической фирме «Rogovin, Stern & Huge»);

-Комиссия комитета по вопросам окружающей среды;

-Комиссия института электроэнергетических исследований (EPRI).

Наиболее масштабными из них можно назвать расследование комиссии президента США. Собранный одной только президентской комиссией материал занял более 90 погонных метров библиотечных полок.

Корень проблем с безопасностью комиссия связала в первую очередь с людьми, а не с техникой, хотя последняя и играет свою немаловажную роль. Под «людьми» здесь понимаются не конкретные личности, а вся «система» которая производит, эксплуатирует и контролирует атомные станции. Выражение «культура безопасности» тогда еще не «созрело» чтобы войти в обиход в атомной отрасли. Но, вывод комиссии можно интерпретировать именно как недостаток культуры безопасности.

Были отмечены следующие основные недостатки:

-Слабая тренировка персонала, недостаточная для управления станцией в аварийных ситуациях;

-Противоречивая эксплуатационная документация;

-Опыт предыдущей эксплуатации не был доведён до операторов.

Анализ причин аварии

Исходными событиями аварии стали отказы оборудования, однако сами по себе эти отказы не могли привести к столь серьёзным последствиям. Основной вклад в развитие аварийной ситуации внесли:

— неспособность операторов вовремя распознать утечку через неисправный клапан;

— вмешательство операторов в автоматическую работу системы аварийного охлаждения.

Устранение любого из этих факторов превратило бы аварию в сравнительно малозначительный инцидент.

Почему не смогли обнаружить утечку через клапан КД?

  1. a) Указателя фактического положения запорного органа клапана предусмотрено не было, а лампа на панели управления сигнализировала лишь о наличии питания на его приводе, соответственно, сигнал указывал на то, что клапан закрыт (человеческий фактор – недостатки конструирования);
  2. b) Уровень воды в контуре определялся по датчикам на КД, а на реакторе не было таких датчиков. В КД не было снижения уровня, он наоборот возрастал из-за выдавливания паром воды из реактора (человеческий фактор – недостатки конструирования);
  3. c) Косвенные признаки, такие как повышенная температура в трубопроводе после клапана и протечки в бак-барботер не были приняты во внимание, т.к. к уже длительное время, в нарушение требований нормативов, энергоблок работал при протечке через затворы предохранительных клапанов превышающем допустимые значения и операторы сочли, что повышенная температура и протечки в барботёр результат данной протечки (человеческий фактор – эксплуатация энергоблока с дефектом);
  4. d) Не было сигнализации о повышенном уровне радиации в атмосфере гермооболочки, возможно, порог срабатывания датчика был некорректно установлен (человеческий фактор – неверная настройка оборудования или ее неисправность).

Почему состоялось ошибочное вмешательство операторов в автоматическую работу системы аварийного охлаждения?

Анализ действий персонала показал неудовлетворительное понимание им основных принципов работы реакторов типа PWR (аналог ВВЭР). Одним из таких принципов является поддержание достаточно высокого давления в реакторе для предотвращения вскипания теплоносителя. Рассмотрим подробнее три недостатка, отмеченных комиссией по расследованию.

  1. Слабая тренировка персонала, недостаточная для управления станцией в аварийных ситуациях

Обучение операторов было нацелено, прежде всего, на их работу при нормальной эксплуатации. Поэтому, наблюдая конфликтующие симптомы (с одной стороны рост уровня воды в КД, с другой падение давления в контуре), персонал предпочел отдать приоритет регулированию уровня в компенсаторе давления, а не поддержанию давления в контуре.

Операторы не восприняли всерьёз автоматическое включение системы безопасности ещё и потому, что на Три-Майл-Айленд эта система за последний год срабатывала четыре раза по причинам, никак не связанным с потерей теплоносителя.

Реакторная установка оказалась в состоянии, которое не было учтено при её создании. В распоряжении персонала не было инструментов, позволявших контролировать и ликвидировать подобные аварии. Все последующие действия эксплуатирующей организации носили импровизационный характер и не были основаны на заранее просчитанных сценариях.

(Человеческий фактор – плохая подготовка персонала, недостатки проектирования).

  1. Противоречивая эксплуатационная документация.

В эксплуатационной документации был определён перечень признаков течи из первого контура, одни из них действительно имели место, например падение давления в реакторной установке, повышение температуры под гермооболочкой и наличие воды на её нижнем уровне. Однако операторов привело в замешательство отсутствие симптомов, которые они считали ключевыми: не было снижения уровня в КД (он, наоборот, возрастал).

Свой вклад в дезориентацию управляющего персонала внесли недостатки блочного щита управления (БЩУ). Были выявлены серьёзные проблемы с человеко-машинным интерфейсом на АЭС. Замечания касались как логики работы, так и физического расположения приборов и ключей на панелях щита. Так, в первые минуты аварии на БЩУ сработала аварийная сигнализация более чем по ста параметрам, которые никак не были ранжированы по степени значимости. Например, уже упоминавшийся выше факт об отсутствии указателя конечного положения клапана (открыт-закрыт).

(Человеческий фактор – недостатки эксплуатационных инструкций, недостатки конструирования).

  1. Опыт предыдущей эксплуатации не был доведён до операторов.

Комиссия констатировала отсутствие «замкнутого цикла» при эксплуатации АЭС: ранее имевшие место инциденты, связанные с безопасностью, хоть и были известны и отчасти изучались, но их анализ не доводился до логического завершения, а полученный в результате анализа опыт не передавался лицам и организациям, обязанным его учитывать.

Так факты ошибочного отключения персоналом системы аварийного охлаждения реактора (инцидент на АЭС Дэвис-Бесс 24 сентября 1977 года) были известны производителю реакторной установки, и за 13 месяцев до аварии на Три-Майл-Айленд в Babcock and Wilcox велась внутренняя переписка о необходимости доведения до операторов АЭС чётких рекомендаций по обращению с этой системой. Однако ни одной новой инструкции выпущено не было.

(Человеческий фактор – недостатки коммуникации, отсутствия практики использования опыта эксплуатации).

Последствия аварии для атомной отрасли

Удивительно, но авария на АЭС Три-Майл-Айленд не имела серьезных последствий для здоровья людей и экологии, однако она оказала самое серьезное влияние на умы людей и американскую ядерную энергетику.

Авария вызвала широкий резонанс в США, началась антиядерная кампания, результатом которой явился постепенный отказ от строительства новых энергоблоков. Из 125 строившихся в США на тот момент объектов атомной энергетики — 50 были законсервированы. В результате, ядерная энергетика США с 80-х годов практически не развивалась, что не мешает ей оставаться до сих пор самой мощной в мире, на осень 2017 года в США эксплуатируются 99 атомных энергоблоков, производящих пятую часть электричества в стране.

Все работы по устранению последствий аварии были завершены лишь к 1993 году!

Имелись и положительные последствия, в первую очередь в плане организационных мер, направленных на повышение безопасности АЭС.

Государственная комиссия по ядерному регулированию США изменила свои приоритеты. Если ранее деятельность комиссии была сосредоточена на выдаче лицензий, то после аварии значительное внимание стало уделяться постоянному надзору на действующих станциях. Стала проводиться систематическая оценка уровня эксплуатации, технического обслуживания и инженерного сопровождения АЭС.

В самой атомной отрасли было создано несколько новых организаций. Это Центр ядерной безопасности (NSAC) и Институт по эксплуатации атомных электростанций (INPO). Их задачами стали разработка и внедрение методов повышения безопасности на АЭС и поддержание высокого уровня квалификации эксплуатирующего персонала.

По результатам расследования на Три-Майл-Айленд, действующим станциям было предписано реализовать более 6400 мероприятий для повышения их безопасности (в среднем по 90 на каждую конкретную АЭС), касающихся как оборудования, так и организации эксплуатации.

Дальнейшая судьба энергоблока

Так как активная зона реактора была разрушена, то невозможно было воспользоваться штатными средствами извлечения топлива. Над реактором была сооружена специальная поворотная платформа, на которой были установлены манипуляторы, позволявшие выполнять различные операции по удалению материалов активной зоны. Среди них были как простые захваты, так и более сложные механизмы для резки, сверления или гидравлического сбора фрагментов топлива. Работы по извлечению материалов активной зоны начались в октябре 1985 года, после того как была снята крышка реактора.

Первое время работа заключалась в сборе и удалении обломков с верхней части активной зоны, затем под ним обнаружилась твердая корка застывшего расплава.

Дальнейшая работа проводилась с помощью буровой установки, которая позволила разрушить топливную массу на подходящие для транспортировки обломки. Работы проводились под 12-метровой толщей воды при помощи плазменной резки. Официально удаление топлива со станции было завершено в 1990 году.

Все извлечённое топливо было упаковано в специальные контейнеры и отправлено на захоронение в национальную лабораторию Айдахо.

Общая стоимость всего комплекса работ составила около одного миллиарда долларов США.

Начиная с 1993 года энергоблок № 2 АЭС «Три-Майл-Айленд» находится в так называемом состоянии «сохранение под наблюдением», т.е. ядерное топливо удалено, дезактивация выполнена, достигнутый уровень безопасности энергоблока исключает риски для здоровья населения.

Окончательная ликвидация энергоблока запланирована совместно с первым блоком АЭС после завершения эксплуатации последнего (лицензия на его эксплуатацию продлена до 19 апреля 2034 года).

Оценка событий, с точки зрения соответствия принципам культуры безопасности

 
Категории КБ, несоблюдение которых способствовали аварии Несоответствующие
действия
ТРЕБОВАНИЯ НА ПОЛИТИЧЕСКОМ УРОВНЕ
 Заявления о политике в области безопасности 
В заявлении о политике в области безопасности говорится о приверженности достижению наилучших показателей по всем видам деятельности, важным для безопасности атомных станций, проясняя, что безопасность атомной станции является самым высоким приоритетом, превосходящим при необходимости фактор производства и соблюдение графика работ. Энергоблок работал с дефектом (протечки через клапан), видимо дотягивая до очередного планового ремонта.
Регулирующий орган имеет весомое влияние на безопасность в пределах своей компетентности, и эффективная Культура безопасности распространяется на его собственную организацию и персонал. Основа при этом заложена в заявлении о политике в области безопасности. Оно определяет приверженность применению законодательства и действиям, способствующим безопасности станции, защите отдельных лиц и населения, а также сохранению окружающей среды До аварии регулирующий орган занимался только выдачей лицензий, но не осуществлял надзор.
ТРЕБОВАНИЯ К РУКОВОДИТЕЛЯМ
Определение и контроль практики выполнения работ
Руководители обеспечивают неукоснительное и точное исполнение работ, связанных с ядерной безопасностью.

Необходимой основой для этого обычно является иерархия действующих документов, начиная от общих директив и кончая детальными рабочими инструкциями, которые являются ясными, недвусмысленными и образуют единый пакет. Эти документы проходят официальную экспертизу, проверяются и испытываются в рамках системы обеспечения качества в организации. Для этого используются официально утвержденные методы контроля

Одной из основных причин, приведших к аварии, комиссия определила противоречия в эксплуатационной документации

Квалификация и подготовка

Руководители обеспечивают, чтобы компетенция персонала полностью соответствовала квалифицированному исполнению ими должностных обязанностей.

Обучение постепенно обеспечивает больше, чем только техническое мастерство или детальное знание руководства, которое должно строго выполняться. Эти существенные требования дополняются более широкой подготовкой, обеспечивающей понимание каждым значимости его обязанностей и последствий ошибок, вызванных неправильными представлениями или недостаточной старательностью.

Одной из основных причин, приведших к аварии, комиссия определила слабую тренировку персонала, недостаточную для управления станцией в аварийных ситуациях

Ревизии, аналитические обзоры и сравнения

Управленческая ответственность включает применение практики мониторинга, который содержит не только практические меры по обеспечению качества, но, например, и регулярные обзоры программ подготовки персонала, процедур его назначения, практики выполнения работ, контроля документации и системы обеспечения качества

Руководители организуют эту работу так, чтобы из любых источников соответствующего опыта, исследований, технических разработок, данных эксплуатации и событий, важных для безопасности, можно было извлечь пользу; все это тщательно оценивается по своему содержанию.

 Одной из основных причин, приведших к аварии, комиссия определила то, что опыт предыдущей эксплуатации не был доведён до операторов

ПОВЕДЕНИЕ ОТДЕЛЬНЫХ ЛИЦ

Критическая позиция

Прежде чем человек приступит к исполнению каких-либо задач, связанных с безопасностью, у него проявляется критическая позиция, вызывающая перечисленные ниже вопросы:

— Понимаю ли я задачу?

— В чем состоит моя ответственность?

— Какова ее связь с безопасностью?

— Достаточны ли мои знания для продолжения работы?

— В чем состоит ответственность других?

— Возможны ли какие-либо необычные обстоятельства?

— Нужна ли мне помощь?

— Каковы могут быть ошибки?

— Каковы могут быть последствия отказов или ошибок?

— Что нужно сделать, чтобы избежать отказов?

— Что я должен делать, если отказ произойдет?

 Сложившаяся ситуация с течью теплоносителя не была учтена при проектировании АЭС и знаний персонала было недостаточно. Операторы столкнулись с симптомами, которых не понимали. Сочетание снижавшегося давления и растущего уровня в компенсаторе давления не было описано в эксплуатационной документации.

Строго регламентированный и взвешенный подход

Включает:

понимание рабочих процедур;

— точное исполнение этих процедур;

готовность к неожиданному развитию событий;

прекращение работы и обдумывание возникшей проблемы;

обращение за помощью при необходимости;

— особое внимание к методичности, своевременности и упорядоченности;

— исполнение работ с особой тщательностью;

— строгое следование установленной последовательности операций

 При возникновении ситуации, когда появились признаки течи из перечня указанного в эксплуатационной документации (падение давления в реакторе, повышение температуры под гермооболочкой и наличие воды на её нижнем уровне), операторы не включили систему подпитки, как того требовала инструкция.

Из описанного можно сделать вывод, что культура безопасности это действительность, объективно существующая вне зависимости от наличия или отсутствия такого термина. И низкий уровень состояния культуры безопасности отрицательно сказался на безопасности эксплуатации АЭС Три-Майл Айленд.

В дальнейшем будет выполнен подобный анализ в отношении двух других крупнейших аварий на АЭС, имевших место после аварии на АЭС Три-Майл Айленд, аварии на ЧАЭС и на АЭС Фукусима.

Р.А. Камилов

Ведущий инструктор УТЦ ОП АРС