Практическая культура безопасности эксплуатации АЭС

Виктор Смутнев
1. Историческая ретроспектива развития понятия Культура безопасности эксплуатации АЭС»
В 1963 г. группа молодых сотрудников Института атомной энергии им. Курчатова и будущих инженеров-операторов под руководством С.А. Скворцова занималась подготовкой инструкций по эксплуатации первого опытно-промышленного блока Нововоронежской АЭС с ВВЭР. Не имея еще никакого практического опыта эксплуатации АЭС, члены рабочей группы, тем не менее, всесторонне обсудили проблемы безопасной эксплуатации АЭС и выработали ряд положений практической безопасности эксплуатации АЭС, которые и были внесены в инструкции по эксплуатации первого блока НВ АЭС. Фактически суть этих положений сводилась к введению системы ограниченного единоначалия в оперативной эксплуатации АЭС для максимально возможного предотвращения принятия и исполнения ошибочных решений при управлении блоком АЭС.
Однако, уже выполнение этих положений оперативным персоналом первого блока НВ АЭС на практике столкнулось с безраздельно господствовавшим в СССР принципом абсолютного единоначалия «Начальник приказал — подчиненный руки по швам и выполняй, не рассуждая». Взятый бездумно из воинских уставов на потребу тоталитарного государства, этот принцип пронизывал все иерархические системы управления в СССР, в том числе и административно-технические системы управления АЭС. Поскольку в руках иерархических структур управления сосредоточена вся полнота административной и финансовой власти, а оперативный персонал не имел достаточной юридической защиты при выполнении положений, записанных в его должностных и эксплуатационных инструкциях, то происходило постепенное фактическое размывание системы относительного единоначалия в оперативном управлении, исподволь вытесняемой принципом абсолютного единоначалия административно-технического управления АЭС. Как и предполагали члены рабочей группы в 1963 г., такая подмена системы относительного единоначалия в оперативном управлении АЭС принципом абсолютного единоначалия приводила к неоднократным нарушениям принципов и законов действия блоков АЭС и соответствующим тяжелым реальным или потенциальным аварийным ситуациям на блоках АЭС (например, на первом блоке НВ АЭС в 1968 г., на первом блоке Ленинградской АЭС в 1975 г., на втором блоке НВ АЭС в 1985-86 г.г.). Данные об этих аварийных ситуациях скрывались как от общественности, так и от оперативного персонала АЭС под покровом секретности, столь широко применявшейся в СССР. Насколько пагубна была такая практика, подтверждает то, что аварийная ситуация на первом блоке Ленинградской АЭС в 1975 г. была фактически прототипом аварийной ситуации на четвертом блоке Чернобыльской АЭС в 1986 г. Если бы результаты аварийной ситуации на Ленинградской АЭС были своевременно доведены до сведения оперативного персонала других действующих АЭС, то Чернобыльской катастрофы не произошло бы.
По случайному стечению обстоятельств именно в мае 1986 г. в журнале «Электрические станции» была опубликована статья «Оператор в системе управления АЭС и необходимость оптимизации информационного обеспечения его деятельности». Авторы статьи, среди которых находился и член рабочей группы 1963 г., на опыте эксплуатации пяти блоков НВАЭС детально проанализировали действия оператора БЩУ блока АЭС в концепции «человек-машина», чтобы определить пути оптимизации информационного обеспечения его деятельности. Но уже происшедшая в это время Чернобыльская катастрофа показала, что рассмотрение деятельности оператора БЩУ АЭС только в концепции «человек-машина» явно недостаточно для обеспечения безопасной эксплуатации АЭС, так как оператор управляет блоком АЭС не индивидуально, а в непрерывном взаимодействии с определенной управляющей структурой, оказывающей как непосредственное, так и долгосрочное влияние на все действия оператора БЩУ при управлении блоком АЭС. Поэтому начальник смены 5-го блока НВ АЭС Смутнев В.И., — бывший член рабочей группы 1963 г., — предпринял попытку анализа управления блоком АЭС в концепции «управляющее сообщество — машина» на основе положений, разработанных рабочей группой в 1963 г., и практического 25-летнего опыта эксплуатации блоков НВ АЭС. Результаты этого анализа были представлены в статьях «О культуре ядерной эксплуатации» и «Безопасность атомных станций и человеческий фактор», опубликованных в журнале «Электрические станции» №1 1989 г. и № 5 1991 г. соответственно. Понятие «Культура ядерной эксплуатации» (КЯЭ), вынесенное автором в заголовок статьи, не только должно было характеризовать качественно определенное отношение «управляющего сообщества» к управлению потенциально опасным технологическим процессом на блоках АЭС, но могло быть также вполне конкретно оценено математически в любом «управляющем сообществе» с помощью введенного автором коэффициента
ККЯЭ = ∑niправ. / ∑ni
где ni — любое единичное действие оператора в отношении блока АЭС,
niправ. — единичное правильное действие оператора, т.е. приведшее к ожидаемому положительному ответному действию блока АЭС,
∑ni — сумма единичных действий оператора в отношении блока АЭС за определенный промежуток времени,
∑niправ. — сумма правильных единичных действий оператора в отношении блока АЭС за тот же промежуток времени.
Еще до 1986 г. МАГАТЭ, желая усилить вклад агентства в обеспечение безопасности АЭС, пригласило ведущих специалистов в области ядерной безопасности с целью создания Международной консультативной группы по ядерной безопасности (МКГЯБ) (INSAG International Nuclear Safety Advisory Group). Термин «Культура Безопасности» впервые появился в «Итоговом докладе МКГЯБ о совещании по рассмотрению причин и последствий аварии в Чернобыле», опубликованном МАГАТЭ в качестве Серии изданий по безопасности. № 75-INSAG-1, в 1986 г. Этот термин «Культура безопасности» более полно раскрывается в «Основных принципах безопасности атомных электростанций», Серия изданий по безопасности, № 75-INSAG-3, выпущенной в 1988 г.
По определению МКГЯБ
Культура Безопасности — это такой набор характеристик и особенностей деятельности организаций и поведения отдельных лиц, который устанавливает, что проблемам безопасности АС, как обладающим высшим приоритетом, уделяется внимание, определяемое их значимостью.
Ни рабочая группа в 1963 г., ни автор статьи «О культуре ядерной эксплуатации» не применяли в своих рассуждениях термин «культура безопасности», но как логически, так и математически легко показать, что понятие «культура безопасности» является частью более общего понятия «культура ядерной эксплуатации». Не трудно заметить, что в формуле ККЯЭ величина (∑ni — ∑niправ.) = ∑niне прав. ≡ ∑ni отриц. = (∑ni наруш. + ∑niавар. ),
где ∑niне прав. — сумма неправильных действий оператора при управлении блоком АЭС за определенный промежуток времени,
∑ni отриц. — сумма отрицательных реакций блока в ответ на неправильные действия оператора,
∑niнаруш. — сумма нарушений в работе блока, связанных со срабатыванием аварийных защит, в ответ на неправильные действия оператора,
∑ni авар. — сумма реальных и потенциальных аварийных ситуаций, возникших на блоке вследствие неправильных действий оператора за тот же промежуток времени.
Так как из приведенного выше равенства следует ∑niправ. = ∑ni — ∑niнаруш. — ∑ni авар. , то можно представить ККЯЭ = 1 — ∑ni наруш. /∑ni — ∑ni авар. / ∑ni , где член ∑ni авар. / ∑ni и отражает влияние культуры безопасности в данном «управляющем сообществе». В 1993 г. автор вышеуказанных статей на их основе подготовил (на английском языке) и представил в мае 1993 г. на совещании специалистов МАГАТЭ в Москве доклад (опубликован в сборнике докладов IAEA-TECDOC-762) о практике культуры ядерной эксплуатации АЭС. Однако, в начале 2001 г., — при чтении автором лекций о «Культуре безопасности АЭС» иранским специалистам, — было установлено, что конспекты лекций, написанные на основе серий изданий по безопасности МАГАТЭ № 75 INSAG-1,3, 4 не содержат вообще никаких практических положений по культуре ядерной эксплуатации АЭС (составной частью которой является «Культура безопасности АЭС»), разработанных российскими учеными и эксплуатационниками АЭС.
Дело даже не в том, что МАГАТЭ, декларируя в качестве международной организации приверженность принципам безопасной эксплуатации АЭС, фактически проигнорировало в своих «Основных принципах безопасности атомных электростанций» многолетний практический опыт эксплуатации АЭС одной из крупнейших стран мира. Дело заключается прежде всего в том, что именно сейчас возникает вторая волна использования ядерной энергии для производства электроэнергии такими странами как Иран, Китай, Индия и др., в которых в силу национальных, государственных или религиозных особенностей во всех иерархических структурах государства действует вышеупомянутый принцип абсолютного единоначалия. И если МАГАТЭ не использует свой авторитет международной организации для настоятельной рекомендации внедрения и неукоснительного поддержания системы относительного единоначалия при эксплуатации АЭС в этих странах, то в полном соответствии с опытом тоталитарного СССР нас всех ожидает очередной «Чернобыль», которого уже не перенесет ни вся ядерная энергетика мира в общем, ни МАГАТЭ в частности.
2. Потенциальная опасность использования ядерного топлива на АЭС
Условием безопасного использования любой технологии вообще и сложной технологии в особенности является знание и понимание в полном объеме потенциальных опасностей, связанных с использованием данной технологии. Основная причина использования человечеством ядерной энергии — выделение в 108 раз больше энергии в единичном акте, — делении одного ядра урана (200 Мэв), — чем в единичном акте выделения энергии, — окислении одного атома углерода (2 эв), — в традиционной тепловой энергетике. В свою очередь, увеличение выделения энергии в единичном акте означает соответствующее уменьшение потребления объема топлива в единицу времени на энергетической установке одинаковой мощности. А с уменьшением потребления объема топлива связано как уменьшение транспортных расходов, с одной стороны, так и соответствующее уменьшение количества твердых и газообразных отходов, с другой стороны. Однако же, именно выделение в 100 миллионов раз большей энергии в единичном акте содержит в себе потенциальную опасность не контролируемого выделения такого количества энергии, которое будет опасным как для целостности самой энергетической установки, так для жизни окружающих людей. Поскольку исторически ядерная энергия первоначально была использована в военных целях именно в виде не контролируемого ее выделения (ядерная бомба) и в этом качестве проявила всю свою разрушительную мощь, то развитие ядерной энергетики происходило под знаком борьбы с этой потенциальной опасностью.
Математически условие не контролируемого разгона реактора выражается очень простой формулой + Δρа.з. ≥ β,
где + Δρа.з. — положительная реактивность, вводимая в активную зону реактора;
β — доля запаздывающих нейтронов в активной зоне реактора.
Отсюда следует основное условие безопасности, которое должно всегда соблюдаться как при проектировании, так и при эксплуатации ядерных реакторов при любом состоянии реактора должно быть + Δρа.з. β. Это условие должно достигаться как соответствующими физическими свойствами активной зоны реактора в любом его состоянии и конструкцией системы управления и защиты реактора, так и соответствующими методами управления реактором, которые использует в своей работе оператор реактора. Но следует заметить, что в известных аварийных ситуациях с не контролируемыми разгонами реактора в январе 1961 г. на опытной АЭС «SL-1» в США и в апреле 1986 г. на ЧАЭС в СССР [1] — происходили только паровые взрывы, хотя и с выделением в активной зоне реактора энергии, многократно превышающей номинальное значение. Ядерных взрывов активной зоны реакторов при этом не происходило.
Вторым важным фактором потенциальной опасности использования ядерной энергии является получение и накопление в активной зоне реактора радиоактивных продуктов деления ядер урана. При нормальной эксплуатации ядерного реактора все продукты деления ядер урана должны оставаться внутри герметичных оболочек тепловыделяющих элементов (ТВЭЛ). Кроме того, некоторая часть радиоактивных продуктов образуется из-за облучения нейтронами конструкционных и технологических материалов в реакторе. Эти радиоактивные продукты циркулируют вместе с теплоносителем в пределах герметичного 1-го контура реакторной установки. Но технология эксплуатации реакторной установки предусматривает вывод части теплоносителя из герметичного 1-го контура для его очистки и таким образом происходит распространение радиоактивных продуктов за пределы герметичного 1-го контура. Следовательно, в конструкции не только оборудования 1-го контура реакторной установки, но и всего блока АЭС проектом должны быть предусмотрены меры защиты персонала от радиоактивного излучения и от несанкционированного попадания радиоактивных продуктов в окружающую среду. Разумеется, как при проектировании, так и при эксплуатации блоков АЭС необходимо стремиться к уменьшению санкционированных выбросов радиоактивных продуктов (твердых, жидких и газообразных) в окружающую среду.
Хотя человечество столкнулось с массированным воздействием радиоактивности на человеческий организм еще в 1945 г. при бомбардировке ядерными бомбами городов Хиросима и Нагасаки, а также при последующих испытаниях ядерного оружия и многочисленных аварийных ситуациях на реакторных установках различных типов, но, хорошо представляя воздействие больших доз радиации на человеческий организм с развитием лучевой болезни и с летальным исходом, ученые и сейчас еще не могут предсказать отдаленные генетические последствия для людей, подвергающихся постоянному внутреннему радиоактивному облучению за счет повышенного содержания радиоактивных изотопов в воздухе, воде и пище. Не исключено, что такое увеличивающееся внутреннее радиоактивное облучение приведет к мутациям на генетическом уровне, угрожающим самому существованию той или иной нации.
Вероятность выхода радиоактивных продуктов за проектные пределы их локализации существенно возрастает при возникновении нарушений и аварийных ситуаций в технологических режимах работы блока АЭС. Аксиоматически можно утверждать, что величина нарушений и аварийных ситуаций в технологических режимах работы блока АЭС зависит от степени нарушений оперативным персоналом принципов и законов действия блока АЭС, но никоим образом не зависит от причин неправильных действий оперативного персонала. Если любое государство решило построить у себя и эксплуатировать хотя бы один блок АЭС, то все в этой стране, — начиная от президента страны и кончая последним обходчиком на АЭС, — должны как 2 2=4 уяснить себе одну простую, но абсолютную истину блок АЭС — потенциально опасная сложная технологическая система, действующая по своим природным принципам и законам, которые не может ни изменить, ни отменить ни один человек в мире, какую бы высокую должность он ни занимал. Законы эти надо знать, понимать и выполнять безусловно.
Кажется достаточно очевидным, что в принятом INSAG определении Культура Безопасности — это такой набор характеристик и особенностей деятельности организаций и поведения отдельных лиц, который устанавливает, что проблемам безопасности АС, как обладающим высшим приоритетом, уделяется внимание, определяемое их значимостью, — «высший приоритет» и заключается в признании этой абсолютной истины на всех, — без исключения, — иерархических уровнях управления в государстве.
3. Нарушения принципов и законов действия блока АЭС, увеличивающие вероятность выброса радиоактивных продуктов в окружающую среду.
1. Технологическое несовершенство проектирования и изготовления оборудования реакторной установки блока АЭС. Примером может служить несовершенная технология изготовления герметичных оболочек ТВЭЛ тепловыделяющих сборок реактора первого блока НВ АЭС. Из-за наличия множества микротрещин в герметичных оболочках ТВЭЛ все газообразные радиоактивные продукты деления урана выходили в теплоноситель 1-го контура. С продувкой 1-го контура эти радиоактивные газы распространялись по всему тракту продувки и ее очистки, так что на щите спецводоочистки (ЩСВО) газовая активность увеличивалась до 1500 ПДК и оперативный персонал вынужден был работать там в герметичных защитных костюмах. Даже на БЩУ, расположенном в «чистой зоне», иногда газовая активность поднималась до 6ПДК. Разумеется, весь этот радиоактивный газ в конечном счете попадал в окружающую среду. Для сравнения интересно отметить, что на 5-ом блоке-«миллионнике» НВ АЭС, введенном в эксплуатацию в 1980 г., наличие микротрещин в герметичных оболочках ТВЭЛ отмечается в единичных случаях, а увеличение газовой активности до 17-20ПДК в боксе ПГ — ГЦН (внутри герметичной оболочки реакторной установки) свидетельствует о наличии видимого парового свища на оборудовании 1-го контура.
2. Возникновение не управляемой цепной реакции в активной зоне реактора при условии +Δρа.з. ≥β. Хотя, как указывалось выше, ядерных взрывов активной зоны реактора при этом не происходит, но мощность паровых взрывов при этом настолько велика, что реактор разрушается и все радиоактивные продукты деления урана, накопленные в активной зоне в процессе работы реактора, выбрасываются в окружающую среду. Это особенно опасно в связи с попаданием твердых радиоактивных продуктов деления урана в почву, а оттуда по пищевым цепочкам внутрь человека, что приведет к внутреннему облучению людей с непредсказуемыми мутациями на генетическом уровне.
3. Недостаточный расход теплоносителя через активную зону реактора при некоторой постоянной мощности реактора. По нарушениям технологического режима работы реакторной установки эта ситуация соответствует также превышению допустимой мощности реактора при некотором постоянном расходе теплоносителя через активную зону реактора. Классическим примером такого случая является аварийная ситуация на первом блоке НВ АЭС в 1968 г., не отраженная в [1]. После обрыва шпилек и падения вниз защитного экрана в корпусе реактора заместитель начальника смены (ЗНС) Бедринов Е.П. аварийно остановил реактор по фактору скачкообразного увеличения перепада давления теплоносителя на реакторе. Однако, вызванный ЗНС Бедриновым на БЩУ главный инженер НВ АЭС, совершенно не разобравшись в реальной ситуации на блоке, отстранил ЗНС Бедринова от работы и приказал старшему инженеру-оператору (СИО) пускать и нагружать реактор. Поскольку расход теплоносителя через активную зону реактора был существенно уменьшен (задросселирован) упавшим экраном, то при превышении ограниченной этим расходом допустимой мощности реактора наиболее напряженная тепловыделяющая сборка в активной зоне была разрушена полностью (в наличии остались только головка и хвостовик кассеты из нержавеющей стали). В теплоноситель 1-го контура попали не только радиоактивные продукты деления урана, но и весь облученный уран разрушенной топливной сборки.
4. Частичное или полное осушение активной зоны реактора. Классическим примером этого случая является авария в США на втором блоке АЭС «Three Mile Island» (ТМА-2) в 1979 г. Подробное описание этой аварии приведено в [1], но следует отметить, что несмотря на разрушение (расплавление) большей части активной зоны реактора и выход большого количества радиоактивных продуктов с теплоносителем 1-го контура непосредственно в герметичную оболочку (ГО) реакторной установки, утечка радиоактивных продуктов за пределы ГО была незначительной.
5. Аварийные течи теплоносителя из 1-го контура реакторной установки. Хотя максимальной проектной аварией на блоках АЭС с ВВЭР (PWR) принят разрыв основного циркуляционного трубопровода 1-го контура, но в мировой практике эксплуатации АЭС, как это видно в [1], не наблюдалось даже разрывов трубопроводов меньшего диаметра (кроме импульсных трубок диаметром 16-18 мм). Это свидетельствует прежде всего об ответственном отношении к основным и вспомогательным системам 1-го контура как на стадии проектирования и изготовления их, так и на стадии эксплуатации. Но при этом не следует забывать, что открытие и не закрытие предохранительных клапанов 1-го контура также связано с аварийной течью теплоносителя из 1-го контура и было, в частности, одной из главных причин аварии на АЭС ТМА-2.
6. Аварийные течи радиоактивных сред и отходов при их переработке и хранении. Особенностью систем сбора, транспортировки, переработки и хранения радиоактивных сред на АЭС являются низкие параметры в них и лишь косвенное влияние их на ведение основного технологического процесса на блоке. Но как раз это приводит к видимому уменьшению ответственности как при проектировании и изготовлении, так и при их эксплуатации. В результате, количество аварийных течей из этих систем неизмеримо больше, чем из основных и вспомогательных систем 1-го контура. Низкие параметры в системах уменьшают расходы таких аварийных течей и непосредственному загрязнению, как правило, подвергаются только оганиченные участки территории самой АЭС. Поэтому расследование этих случаев остается внутренним делом данной АЭС и к ним не привлекается внимание профессионалов и широкой общественности. А между тем с помощью ветра и дождей происходит постепенное распространение радиоактивных продуктов от мест непосредственного загрязнения и постепенное увеличение внутреннего облучения людей через пищу, питьевую воду и вдыхаемый воздух. В качестве иллюстрации к вышесказанному можно вспомнить, как из-за несовершенства проектных решений и ошибки операторов на первом блоке НВ АЭС кубовый остаток (концентрированные радиоактивные отходы) был передавлен в трубопроводы сжатого воздуха в «чистой зоне».
4. Потенциальные причины несоответствия действий персонала принципам и законам действия блока АЭС
1. Недостаточное знание или понимание персоналом принципов и законов действия блока АЭС. Знание и понимание персоналом принципов и законов действия блока АЭС определяется как существующей на данной АЭС системой отбора специалистов на конкретные должности, так и системой их теоретического обучения и передачи им существующего уже опыта оперативной эксплуатации блока. С течением времени как требования к принимаемым на АЭС специалистам, так и система их подготовки на АЭС существенно изменялись. Если на первом блоке НВ АЭС для подготовки оператора реакторного отделения на БЩУ требовалось только наличие общего высшего образования (специалист мог иметь диплом инженера по сельскохозяйственной технике или железнодорожника), а система подготовки специалиста на АЭС базировалась на самоподготовке и наставничестве, то уже на пятом блоке НВАЭС для подготовки специалистов того же профиля требовалось наличие специального высшего образования, подготовка и самостоятельная работа на промежуточных должностях (с обучением в УТЦ с использованием полномасштабных тренажеров). Разумеется, элементы самогоподготовки и наставничества в системе подготовки специалиста сохранены в необходимых пропорциях.
2. Недостаточно полное или недостаточно корректное отражение принципов и законов действия блока АЭС в инструкциях по эксплуатации блока. Как уже упоминалось выше, в 1963 г. для разработки инструкций по эксплуатации первого блока НВ АЭС была создана рабочая группа из молодых ученых ИАЭ и будущих операторов-технологов БЩУ, которые, не имея никакого практического опыта эксплуатации АЭС, писали инструкции по эксплуатации только на основе своих знаний проектных и конструкторских материалов. При этом следует иметь ввиду, что проектанты и конструкторы также не имели никакого практического опыта эксплуатации АЭС. Очевидно, что при таких условиях трудно было рассчитывать на полноту и корректность отражения в инструкциях по эксплуатации принципов и законов действия блока. В дальнейшем при накоплении практического опыта эксплуатации блока оперативным персоналом в инструкции по эксплуатации вносились необходимые изменения и степень соответствия их принципам и законам действия блока повышалась. Подобная же ситуация имела место при пуске всех остальных блоков НВ АЭС (за исключением четвертого, который был подобием третьего блока) оперативный персонал разрабатывал инструкции по эксплуатации вновь пускаемого блока, не имея еще никакого практического опыта эксплуатации этого блока. Буквально анекдотической иллюстрацией к сказанному выше является тот факт, что второй блок НВ АЭС был спроектирован, построен и сдан в эксплуатацию с паровым компенсатором объема (КО), но без каких бы то ни было штатных систем расхолаживания КО. Оперативный персонал второго блока, имевший только опыт эксплуатации первого блока с азотным КО, при разработке инструкций по эксплуатации второго блока НВ АЭС попросту не обратил внимания на отсутствие штатной системы расхолаживания КО. И только столкнувшись с этой проблемой при первом останове блока после его пуска и работы на мощности (!!) оперативный персонал был вынужден придумывать совершенно нештатную схему расхолаживания КО с помощью системы продувки импульсных трубок уровнемеров КО. Разумеется, эксплуатационный персонал НВ АЭС тут же разработал и внедрил систему расхолаживания КО сначала от насоса петли очистки 1-го контура, а несколько позднее и от напора ГЦН. Соответствующие изменения были внесены во все инструкции по эксплуатации второго блока НВ АЭС. Каково же было изумление вновь укомплектованного оперативного персонала строящегося третьего блока НВ АЭС, когда, спустя два года, приступив к изучению проекта третьего блока, они обнаружили отсутствие в проекте каких бы то ни было систем расхолаживания КО.
3. Получение персоналом от вышестоящих лиц распоряжений, нарушающих законы и принципы действия блока АЭС. Выше уже приводился пример бездумного распоряжения главного инженера НВ АЭС, выполнение которого СИО привело к первой радиационной аварии на первом блоке НВ АЭС. Едва ли не более разительным является пример потенциальной аварии на втором блоке НВ АЭС. В октябре 1985 г. в корпусе реактора второго блока НВ АЭС, работавшего на номинальной мощности, появились громкие металлические удары (сила их была такова, что они прослушивались даже на ЦЩУ диспетчера станции в «чистой зоне»). В соответствии с требованием ПБЯ-04-74 и, соответственно, всех инструкций по эксплуатации оператор реактора должен был немедленно самостоятельно остановить реактор нажатием кнопки аварийной защиты (АЗ). Того же действия требовали инструкции по эксплуатации от НС реакторного цеха и от НС АЭС. Однако, второй блок не только не был остановлен, но руководство НВ АЭС приняло решение и отдало распоряжение продолжать работу блока на мощности, мотивируя это беспрецедентное решение необходимостью выполнения плана выработки электроэнергии, установленного для НВ АЭС на 1985 г. И если в 1968 г. ЗНС Бедринов Е.П., — в полном соответствии с требованиями инструкций по эксплуатации, — отказался выполнять самоубийственное распоряжение главного инженера НВ АЭС, то в 1985-86 г.г. ни один из НС АЭС, НС РЦ, ВИУР в течение полугода работы явно дефектного реактора не решился при приеме смены нажать кнопку АЗ реактора, что они были обязаны безоговорочно сделать в соответствии с требованиями ПБЯ и инструкций по эксплуатации. Т.е. к этому времени подавление системы ограниченного единоначалия в оперативном управлении АЭС всеобъемлющим в СССР принципом абсолютного единоначалия было завершено полностью и оставалось только ждать логического завершения — Чернобыльской катастрофы. Кстати будет сказать, что уверившееся в своей способности изменять или даже отменять принципы и законы действия блока АЭС руководство НВ АЭС не остановило второй блок НВ АЭС и в январе 1986 г., когда план выработки электроэнергии 1985 г. был уже выполнен. Второй блок НВ АЭС с явно дефектным реактором был остановлен на планово-предупредительный ремонт только в марте 1986 г., немногим более чем за месяц до Чернобыльской катастрофы. При вскрытии реактора было установлено, что внутри корпуса реактора оборвалась одна из трех шпонок, фиксирующих положение в корпусе реактора выемной шахты с расположенной в ней активной зоной реактора. В силу этого обстоятельства на фланце выемной шахты, на котором она и висит вместе с активной зоной в корпусе реактора, начала развиваться трещина. К моменту вскрытия реактора длина трещины составляла ? всего периметра фланца. Каждому грамотному инженеру известно, что характер развития подобных трещин носит совершенно неопределенный характер. И только эта неопределенность в течение пяти месяцев отделяла весь мир от срабатывания следующей цепочки событий катастрофическое развитие трещины — обрыв выемной шахты реактора с активной зоной — обрыв под действием их суммарного веса оставшихся двух фиксирующих шпонок — падение шахты с активной зоной до упора с вводом в активную зону частей тепловыделяющих сборок, остававшихся внизу (такова конструкция органов регулирования этого типа реакторов) — + Δρа.з. ≥ β — чудовищный паровой взрыв из-за не управляемого выделения энергии в активной зоне реактора, превосходящий по силе будущий Чернобыльский (из-за наличия у этого типа реактора прочного корпуса). Разумеется, это была бы Нововоронежская катастрофа, а не Чернобыльская .
4. Не оптимальное физическое или психическое состояние персонала, препятствующее своевременному и качественному принятию решений и выполнению действий, соответствующих законам и принципам действия блока АЭС. Вполне понятно, что причин не адекватного физического или психического состояния каждого оператора во время работы может быть великое множество. Но при этом все управляющее сообщество АЭС должно понимать и действовать в полном соответствии с вышеприведенным аксиоматическим утверждением величина нарушений и аварийных ситуаций в технологических режимах работы блока АЭС зависит от степени нарушений оперативным персоналом принципов и законов действия блока АЭС, но никоим образом не зависит от причин неправильных действий оперативного персонала. Т.е. бытовые неурядицы, случайная ссора в общественном транспорте или очередной «разнос» ретивого, но не очень умного начальника могут иметь совершенно одинаковые отрицательные последствия в работе оператора. И склонность операторов к засыпанию под монотонное гудение приборов на БЩУ в ночное время носит сугубо физиологический характер, а отнюдь не следствие низкого морального уровня операторов, как любит утверждать административно-техническое руководство АЭС, оправдывая тем самым свое бездействие в борьбе с этой естественной склонностью любого человека.
5. Концепция культуры ядерной эксплуатации (КЯЭ)

Блок-схема взаимодействия «управляющего сообщества» с блоком АЭС (штрих-пунктирной линией выделена блок-схема взаимодействия «человек-машина»).
Информационная блок-схема действий оператора в переходном режиме работы блока АЭС выглядит следующим образом [7]

Приняв в качестве основного постулата КЯЭ уже приведенное выше утверждение блок АЭС — потенциально опасная сложная технологическая система, действующая по своим природным принципам и законам, которые не может ни изменить, ни отменить ни один человек в мире, какую бы высокую должность он ни занимал; законы эти надо знать, понимать и выполнять безусловно, — и анализируя связи в приведенных выше блок-схемах взаимодействий «управляющее сообщество — машина» и «человек — машина», мы можем получить основополагающие аксиомы КЯЭ.
Эти основополагающие аксиомы КЯЭ, приведенные в [8], таковы
Машина (блок АЭС) взаимодействует не только (и не столько) с человеком-оператором, но с определенным управляющим сообществом.
Машина «не знает» и не может знать законов человеческого общества.
Машина представляет собой всегда абсолютно жестко детерминированную (причинно-следственную) систему.
Инструкции и правила эксплуатации блока АЭС всегда относительны (в меру относительности познания человеком законов действия машины на данный момент).
Иерархическая структура управляющего сообщества, взаимодействующего с машиной (блоком АЭС), — объективно недетерминированная система.
Оператор — человек со всеми физиологическими, психическими и социальными особенностями человека вообще.
Если к этим шести аксиомам добавить приведенную выше формулу математической оценки качества КЯЭ в том или ином управляющем сообществе ККЯЭ = ∑niправ. / ∑ni или ККЯЭ = 1 — ∑ni наруш. /∑ni — ∑ni авар. / ∑ni (где составляющая ∑ni авар. / ∑ni определяет уровень культуры безопасности в данном управляющем сообществе), то мы получим аксиоматическую основу для построения теоретической системы требований к управляющему сообществу блока АЭС с высоким ККЯЭ и, соответственно, с высокой культурой безопасности. Детально эти требования рассмотрены в [8] и сформулированы в виде теорем концепции культуры ядерной эксплуатации
Решения, принимаемые на любом уровне иерархической структуры управляющего сообщества и являющиеся сигналами действия для оператора, должны учитывать в необходимом соотношении законы действия машины (блока АЭС).
Обратная связь от каждого уровня иерархической структуры управляющего сообщества к вышестоящему уровню должна быть достаточно жесткой для возможности коррекции проходящего через уровень управляющего сигнала.
Управляющий сигнал должен поступать к оператору строго скорректированным и не противоречащим законам действия машины, чтобы не вынуждать оператора искать компромисс и действовать в зоне относительности инструкций и правил эксплуатации, т.е. в большей или меньшей степени нарушать их.
Должен существовать надструктурный контролирующий и корректирующий орган, жестко пресекающий поступление любых не скорректированных сигналов к оператору.
Поступление к оператору сигналов от управляющего сообщества, — независимо от уровня их возникновения, — в любой степени противоречащих законам действия машины (блока АЭС), приводит к спонтанному процессу углубления нарушений количественно и качественно.
Работа оператора в зоне относительности инструкций и правил эксплуатации с неизбежностью приводит к негативным ответным действиям машины (блока АЭС), опасным для всего человеческого общества.
В [9] эти требования были объединены в математизированную формулу управления блоком АЭС с высоким ККЯЭ и, соответственно, с высокой культурой безопасности эксплуатации блока АЭС
Жесткость обратной связи к оператору как субъекту управления = жесткости обратной связи от оператора как объекта управления. Таким образом, слишком общее определение культуры безопасности эксплуатации АЭС, данное INSAG в [13], должно быть заменено на совершенно конкретное
Культура безопасности эксплуатации АЭС определяется степенью соответствия практики эксплуатации блоков АЭС, — как на уровне всех без исключения иерархических систем управления в государстве, так и на уровне отдельных лиц, — основному постулату, аксиомам и теоремам КЯЭ.
6. Система ограниченного (относительного) единоначалия в оперативной эксплуатации блоков АЭС.
Как уже говорилось выше, система ограниченного единоначалия в оперативной эксплуатации первого блока НВАЭС была разработана и включена в инструкции по эксплуатации в 1963 г. рабочей группой под руководством научного работника Института атомной энергии С.А. Скворцова. Выше также отмечались две существенные особенности введенной на первом блоке НВАЭС системы ограниченного единоначалия в оперативной эксплуатации блока АЭС
Система ограниченного единоначалия была разработана рабочей группой, члены которой, — молодые сотрудники ИАЭ им. Курчатова и будущие оперативные работники НВАЭС, — не имели никакого опыта эксплуатации АЭС. Основой разработки системы ограниченного единоначалия являлись только умозрительные представления членов рабочей группы о безопасной эксплуатации АЭС.
Система ограниченного единоначалия была включена членами рабочей группы в инструкции по эксплуатации первого блока НВАЭС (официальные документы, обязательные к исполнению) в тоталитарном государстве СССР, в котором на всех без исключения иерархических уровнях управления безраздельно господствовал принцип абсолютного единоначалия (см. выше).
Разумеется, в момент создания системы ограниченного единоначалия не существовало никаких теоретических основ КЯЭ. Наоборот, автор [8,9,10], один из членов рабочей группы 1963 г., использовал созданную тогда систему ограниченного единоначалия наряду со своим 25-летним опытом эксплуатации блоков АЭС в качестве базы для разработки теоретических основ КЯЭ. Даже негативный опыт эксплуатации блоков АЭС в СССР, включая Чернобыльскую катастрофу, связанный прежде всего с активным размыванием и прямым подавлением системы ограниченного единоначалия в оперативной эксплуатации АЭС иерархическими структурами управления в СССР с их принципом абсолютного единоначалия, только подчеркивает необходимость внедрения на государственном уровне системы ограниченного единоначалия в эксплуатации АЭС во всех странах, где АЭС строятся и эксплуатируются.
Основой системы ограниченного единоначалия являются два положения
Если оператор считает распоряжение вышестоящего начальника, не угрожающее жизни и здоровью людей или целостности основного оборудования, ошибочным, он обязан указать на это отдавшему распоряжение. В случае подтверждения распоряжения оператор обязан его выполнить после записи в своем оперативном журнале о своих сомнениях в правильности отданного ему распоряжения.
Если оператор считает распоряжение вышестоящего начальника угрожающим жизни или здоровью людей, или целостности основного оборудования блока АЭС, то он не выполняет такое распоряжение ни при каких обстоятельствах, сделав об этом соответствующую запись в своем оперативном журнале.
Очевидно, что эти положения диаметрально противоречат принципу абсолютного единоначалия, требующему от каждого подчиненного выполнять распоряжения начальника, не рассуждая, но полностью соответствуют формуле безопасной эксплуатации АЭС, создавая необходимую жесткость обратной связи от оператора как объекта управления к вышестоящим уровням иерархической системы управляющего сообщества.
Включенные первоначально в общие положения инструкции по ликвидации аварийных ситуаций на первом блоке НВАЭС требования системы ограниченного единоначалия с течением времени были перенесены фактически во все должностные инструкции оперативного персонала НВАЭС, а затем и в инструкции вновь пускавшихся блоков АЭС в СССР. Даже в разгар борьбы с «непокорным» оперативным персоналом ретивые сторонники принципа абсолютного единоначалия не решились убрать эти требования из должностных инструкций оперативного персонала. С течением времени в соответствии с новыми требованиями по безопасности эксплуатации АЭС несколько видоизменялись формулировки, но смысл их всегда оставался прежним — создать необходимую жесткость обратной связи от оператора как объекта управления к вышестоящим уровням иерархической системы управляющего сообщества для исключения принятия и выполнения решений, противоречащих принципам и законам действия блока АЭС.
Наиболее последовательно и полно требования системы ограниченного единоначалия изложены в настоящее время в [4,5] и именно в этой редакции они будут изложены в данном конспекте.
Если начальник смены АЭС очереди считает распоряжение вышестоящего административно-технического персонала ошибочным, он обязан указать на это вышестоящему лицу. В случае подтверждения распоряжения начальник смены АЭС очереди обязан его выполнить.
Распоряжения вышестоящего административно-технического лица, угрожающие жизни людей, сохранности оборудования, нарушающие ядерную и радиационную безопасность, могущие привести к потере питания СН энергоблока или обесточиванию особо ответственных потребителей не выполняются ни при каких обстоятельствах. Все переговоры об оспариваемых распоряжениях должны фиксироваться НС АЭС в оперативном журнале.
Ни одно должностное лицо не вправе отменить, изменить или приостановить выполнение технологического распоряжения, отданного НСАЭС очереди подчиненному персоналу, кроме как через самого НСАЭС очереди или лица, принявшего на себя руководство сменой в чрезвычайных обстоятельствах.
Ни один работник из числа оперативного персонала энергоблока НВ АЭС без предварительного уведомления НСАЭС очереди и получения от него разрешения не имеет права приступить к выполнению распоряжения, полученного им непосредственно от руководящего административно-технического работника цеха (отдела) или руководства НВ АЭС.
Директор, главный инженер НВ АЭС, ЗГИЭ-НБ имеют право отстранить от дежурства НСАЭС очереди, не обеспечивающего выполнения своих обязанностей, с записью обоснования в оперативном журнале НС АЭС очереди. До прибытия на рабочее место другого начальника смены АЭС очереди (по вызову) временное исполнение обязанностей старшего оперативного руководителя в данной смене должно быть возложено на ЗГИЭ-НБ без права оперативных переключений.
Руководитель НВАЭС, отстранивший НСАЭС очереди от оперативной работы, обязан лично уведомить об этом ДД АЭС, организовать вызов на работу другого НСАЭС очереди, ознакомить оперативный персонал энергоблока (в первую очередь персонал БЩУ) со своим решением.
Временный старший оперативный руководитель с момента его назначения таковым и в течение всего периода дежурства до сдачи смены принимает на себя в полном объеме обязанности, ответственность и права НСАЭС очереди.
Оперативным руководителем действиями персонала при прохождении аварийных режимов и режимов нарушения условий нормальной эксплуатации, связанных с отказами основного оборудования РУ и энергоблока, является НСАЭС очереди. О возникновении любого режима нарушения условий нормальной эксплуатации приводящего к сбросу электрической нагрузки блока более 10 МВТ НСАЭС очереди уведомляет ДД НВАЭС в соответствии с требованиями своей должностной инструкции.
Место нахождения оперативного руководителя действиями персонала является БЩУ-5. На БЩУ во время прохождения режимов по п.1.5 имеют право находиться лица, непосредственно участвующие в оперативных переключениях, а также лица административно-технического персонала по усмотрению оперативного руководителя.
Указания старших по должности (неоперативных) работников для оперативного руководителя действиями персонала являются рекомендациями и могут не выполняться, если они не соответствуют плану, намеченному оперативным руководителем.
Старший по должности работник имеет право отстранить оперативного руководителя, если последний не в состоянии осуществлять руководство и принять руководство на себя или поручить другому лицу с записью об этом в оперативном журнале. О замене руководителя действиями персонала немедленно ставятся в известность как вышестоящий, так и подчиненный оперативный персонал. Лицо, принявшее на себя руководство действиями персонала, независимо от должности, принимает на себя все обязанности отстраненного и подчиняется вышестоящему оперативному лицу.
Выполнение оперативных переключений допускается производить лишь аттестованному в установленном порядке персоналу.
Разумеется, нельзя при этом утверждать, что приведенная выше система ограниченного единоначалия является совершенной, если ее удавалось размывать и подавлять практически в СССР ретивым сторонникам принципа абсолютного единоначалия, не гнушавшимися для достижения своих целей применением самых разнообразных способов. Но отработанная и усовершенствованная в заданном направлении и подкрепленная законодательно на государственном уровне, такая система в оперативной эксплуатации АЭС могла бы стать действительным барьером на пути принятия и осуществления безграмотных волюнтаристских решений, нарушающих принципы и законы действия блоков АЭС со всеми вытекающими из этого последствиями. Одним из путей усовершенствования системы ограниченного единоначалия в оперативной эксплуатации АЭС с использованием международного опыта могло бы стать создание и осуществление соответствующей программы МАГАТЭ. Примером полезности такой программы может служить тот факт, что если во французском издании [11] декларируется признание оператором своей ошибки не является признанием его виновности, а первым шагом в правильном направлении, позволяющим в дальнейшем избежать повторения подобных ошибок, — то из русского издания [12] эта декларация попросту выброшена. И не удивительно,т.к. на российских АЭС всегда существовал документ по определению виновного в происшествиях и авариях на блоках АЭС, служивший неплохим оружием при подавлении системы ограниченного единоначалия в оперативной эксплуатации АЭС.
Список литературы
Аварии и инциденты на атомных электростанциях. Учебное пособие по курсам «Атомные электростанции», «Надежность и безопасность АЭС». Обнинский институт атомной энергетики. Обнинск. 1992 г.
Правила ядерной безопасности атомных электростанций ПБЯ-04-74. Москва, Атомиздат, 1976 г.
Общие положения обеспечения безопасности атомных станций (ОПБ-88). ПН АЭ Г — 1 — 011 — 89. Москва, Энергоатомиздат, 1990 г.
Инструкции по ликвидации проектных аварий и режимов нарушения нормальной эксплуатации блоков НВ АЭС. Нововоронеж, 1963 — 1997 г.г.
Должностная инструкция начальника смены 5-го блока НВАЭС. Нововоронеж, 1980-97 г.г.
О причинах и обстоятельствах аварии на 4 блоке Чернобыльской АЭС 26 апреля 1986 г. Доклад Комиссии Госпроматомнадзора СССР. Москва, 1991 г.
Смутнев В.И., Ревин А.В., Ефрюшкин В.А. «Оператор в системе управления АЭС и необходимость оптимизации информационного обеспечения его деятельности». Москва, Электрические станции, №5, 1986 г.
Смутнев В.И. «О культуре ядерной эксплуатации». Москва, Электрические станции, №1, 1989 г.
Смутнев В.И. «Безопасность атомных станций и человеческий фактор». Москва, Электрические станции, №5, 1991 г.
Smoutnev V.I. Man-machine systems in the nuclear power industry. IAEA-TECDOC-762, Vienna, 1994.
Memento de la Surete Nucleaire en exploitation. EDF — SPT — Paris — Juin 1990.
Безопасность атомных станций. Росэнергоатом, ВНИИАЭС, ЭДФ. Париж,1994
IAEA Safety Culture A report the international nuclear safety advisory group Safety Series No.75- INSAG-4 IAEA Vienna 1991.
IAEA-TECDOC-860 ASCOT Guiedlines Revised 1996 Edition.
«