Когда «дедовское легаси» надежнее: 80 лет эволюции атомной безопасности

Для людей, родившихся в России или, как я, еще в СССР, атомная энергия — это данность. Как воздух или вода. Но может показаться, что технологическая эволюция поставила эту индустрию на паузу: всё давно придумали и внедрили. Это не так.

Отрасль развивается, и меняется в ней очень многое: от конструкции защитных систем до способов диагностики оборудования и требований к поведению персонала в нештатной ситуации. И это естественно — чем сложнее система, тем строже контроль за ней.

Первые промышленные реакторы строились в условиях, когда многие параметры приходилось контролировать по показаниям отдельных приборов. Сегодня, после бума цифровизации, оператор на АЭС видит уже не просто температуру или давление, а целую картину состояния энергоблока.

Но прежде чем данные попадут в цифровую систему управления, физический параметр нужно измерить. И на этом уровне по-прежнему работают аналоговые датчики, в основе которых фундаментальные физические принципы, такие как ионизация атомов и движение электронов и ионов в электрическом поле.

Не интернет-байка, а инженерный факт: первый в мире ядерный реактор действительно можно было остановить одним ударом топора. Во время исторического эксперимента физика Энрико Ферми, проведенного 2 декабря 1942 года в Чикаго, его коллега Норман Хилберри стоял у реактора настороже. Если бы цепная реакция вышла из-под контроля, он должен был перерубить веревку, удерживавшую аварийный кадмиевый стержень. Под собственным весом тот упал бы внутрь реактора и поглотил бы нейтронный поток, прервав реакцию.

Конечно, топор в руках Хилберри был не единственной системой защиты. У реактора имелись автоматические регулирующие стержни и ручной аварийный привод. А еще рядом дежурила группа сотрудников с раствором солей кадмия, готовых при необходимости залить им активную зону. Эта мизансцена хорошо передает атмосферу первых дней атомной эры, когда инженеры еще только учились управлять процессом, который никто прежде не запускал.

Эксперимент Ферми был частью секретного Манхэттенского проекта и проводился в неожиданном месте — под трибунами стадиона Чикагского университета. Команда Ферми собрала там графитовую кладку с блоками природного урана. Это и был первый в мире реактор, получивший известность как «Чикагская поленница-1».

«Чикагская поленница» мало напоминала то, что мы сегодня представляем под энергоблоком. Ни герметичного корпуса, ни бетонных стен, ни сложной системы охлаждения у нее не было. Мощность первого в мире реактора тоже была небольшой — до 200 ватт, но из-за близости к гражданской инфраструктуре львиная доля испытаний проводилась на минимальном уровне в полватта. Это меньше, чем потребляет современная светодиодная лампа. Первый пуск длился менее пяти минут, а всего реактор Ферми проработал три месяца — до 28 февраля 1943 года, после чего кладку разобрали и перевезли за город.

Вместе с «Чикагской поленницей» в истории атомной энергетики зародился и один из базовых принципов: реактором невозможно управлять «на глаз». Чтобы понимать, что происходит внутри активной зоны, нужно непрерывно измерять нейтронный поток. Все современные системы контроля, какими бы сложными они ни были, по сути решают ту же задачу, что и первые приборы Ферми, — только делают это несравнимо быстрее, точнее и надежнее.

Четыре года потребовалось советскому физику Игорю Курчатову, чтобы превзойти достижение Ферми. 25 декабря 1946 года в Москве под его руководством заработал исследовательский реактор Ф-1 — «Первый физический». Опыт американских коллег учли, но пошли по пути развития, а не копирования. Так, Энрико Ферми строил реактор в условиях жесточайшего дефицита, используя в основном оксид урана. Высококачественного металлического урана у него не было в достаточном количестве. Курчатов сделал ставку на чистый металлический уран.

Советские инженеры сразу заложили в проект Ф-1 десятиметровую шахту, которая служила биологической защитой, дистанционное управление и автоматические электрические приводы регулирующих стержней. Всё это позволило безопасно разгонять Ф-1 до сотен киловатт, а в отдельных режимах и до четырех мегаватт, превратив его из одноразового физического эксперимента в надежную инженерную систему.

Построенный как экспериментальная установка, реактор проработал до 2012 года — почти 66 лет. На нем исследовали свойства нейтронных полей, испытывали новые методы измерений и готовили специалистов для атомной отрасли. Сегодня Ф-1 можно увидеть в Курчатовском институте — с 2016 года в реакторном здании работает музей.

Идею совместить наработку оружейного плутония с выработкой электричества Курчатов отстоял перед советским руководством, еще занимаясь атомной бомбой. Стройку в Обнинске — тогда поселке Обнинское Калужской области — вели под кодовым названием «Лаборатория „В“» и в секретности не меньшей, чем у Манхэттенского проекта. О нем не знали ни советские граждане, ни остальной мир.

Если у Ферми и Курчатова главным инженерным вызовом была сама кладка, то в Обнинске — топливо. Нужно было создать твэл — тепловыделяющий элемент — способный работать в водоохлаждаемом канале месяцами, а не считанные минуты, как уран в графитовой «поленнице».

Решить эту задачу, не имевшую аналогов в мировой практике, СССР удалось только к концу 1952 года. Пуск тоже растянули на этапы: в марте 1954-го самоподдерживающуюся реакцию сперва проверили на отдельном стенде, в мае реактор вывели на минимальный контролируемый уровень, в конце июня пар наконец подали на турбину.

Реактор АМ-1 — «Атом мирный» — был уран-графитовым с тепловой мощностью 30 мегаватт и выдавал 5 мегаватт электричества. По нынешним меркам это уровень крупной котельной, а по меркам того времени — в десятки тысяч раз мощнее «Чикагской поленницы». Но дело было даже не в мощности, а в принципе.

Станция проработала 48 лет без единой аварии и была остановлена в 2002 году по экономическим причинам — содержать маломощный реактор и оплачивать продление его ресурса стало нецелесообразно. Сегодня на базе станции открыт мемориальный комплекс.

Ленинградское ЦКБ-15 взялось за проект ледокола «Ленин» в 1953 году, когда в Обнинске еще ломали голову над твэлом для будущего АМ-1. Ледокол спустили на воду в декабре 1957-го, а в августе 1959-го провели физический пуск новых реакторов ОК-150 — на «Ленине» их было три. За время строительства на борту побывали десятки высокопоставленных делегаций, в том числе делегация во главе с тогдашним вице-президентом США Ричардом Никсоном. Интерес высоких гостей понятен: гражданская атомная техника такого масштаба была в новинку всему миру, не только СССР.

Много новых задач проект поставил и перед конструкторами «железа»: физика у реактора та же, что и на Обнинской АЭС, а вот условия работы совсем другие.

Один из главных вызовов — габариты. На земле энергоблок — это здание в несколько этажей, вокруг которого можно свободно разместить инфраструктуру. На ледоколе реакторный отсек со всей обвязкой умещается в комнате восемь на восемь метров — как небольшая квартира, только вместо мебели тут реактор, парогенераторы и трубопроводы.

Так как же разместить на борту ледокола ядерную энергетическую установку? Реактор нужно встроить в ограниченный объем корпуса, защитить от вибрации и качки и заставить работать в постоянно меняющемся режиме. При этом без возможности остановиться и вызвать ремонтную бригаду.

Те же требования распространяются и на контролирующие приборы. Если на наземной станции у датчика есть свой срок службы — скажем, восемь лет, — и когда ресурс кончается, датчик достают и меняют, то на корабле так не выйдет: там прибор заваривают наглухо, и после сборки реактора добраться до него уже нельзя.

Поэтому от корабельного датчика требуются не только чувствительность и компактность, но и способность безотказно отработать 10−12 лет без единой возможности замены.

Но если прибор наглухо заварили, то как удостовериться, что он все эти годы выдает корректные данные? Перекалибровать его невозможно, вскрыть — тоже. Ответ только один: надежность в такие приборы закладывают до сборки, а достоверность показаний обеспечивают избыточностью. Каналов измерения ставят несколько, работают они независимо друг от друга, а система сравнивает их показания.

Расхождение в них и становится сигналом, что что-то не так — даже если каждый канал по отдельности выглядит исправным. Но при проектировании наземных АЭС об этом еще не задумывались, и спустя годы это привело к одной из самых крупных аварий в истории «мирного атома».

Иногда к прогрессу в сфере безопасности приводят не достижения, а ошибки. Хрестоматийный пример в атомной отрасли, конечно, Чернобыль. Но за семь лет до Чернобыля на американской АЭС «Три-Майл-Айленд» произошла авария, о которой у нас вспоминают нечасто. И напрасно.

28 марта 1979 года на АЭС заклинило предохранительный клапан компенсатора давления — он остался открытым. Но индикатор на пульте показывал не положение клапана, а лишь наличие питания на управляющей катушке. Когда питание сняли, то лампочка погасла, и операторы решили, что клапан закрылся. То есть прибор работал исправно, но при этом сообщал оператору не то, что происходило в реакторе. В итоге несколько часов персонал принимал решения, опираясь на ложную картину, пока часть активной зоны попросту не расплавилась.

В момент аварии обнаружилась и другая проблема: на пульте было более 1900 индикаторов, и в первые минуты тревоги сработали больше сотни сигнализаций. Как принимать решения в таких условиях? Сотрудники станции оказались дезориентированы.

Но у этой ситуации был и позитивный итог: после «Три-Майл-Айленда» инженеры всерьез занялись эргономикой пультов, подготовкой операторов на тренажерах и сценариями тяжелых аварий. Отрасль впервые системно признала, что безопасность зависит не только от надежности самих приборов, но и от того, какую картину они дают. Самое важное последствие аварии, впрочем, — даже не тренажеры и не перекомпоновка пультов, а требования к самим измерениям. Регулятор фактически обязал станции измерять то, что операторам нужно знать, вместо того, что удобно измерять.

После инцидента в Пенсильвании на американских энергоблоках с водо-водяными реакторами появились системы контроля уровня теплоносителя непосредственно в корпусе, а также датчики температуры на выходе из активной зоны. До 1979 года операторы судили о запасе воды в реакторе только по уровню в компенсаторе давления, то есть по косвенному признаку, который в той аварии как раз и послужил информационной ловушкой.

Пока в США заново учились доверять приборам, в СССР доводили до промышленного масштаба эффективное решение: чтобы «выжать» из ядерного топлива больше энергии, воду в контуре заменили на жидкий металл.

«Быстрыми» называют нейтроны, которые после деления ядер намеренно не замедляют специальными материалами и сохраняют высокую энергию. В большинстве реакторов их наоборот тормозят: медленные нейтроны эффективнее поддерживают цепную реакцию в уране-235. Реактор на быстрых нейтронах работает по другому принципу, что позволяет глубже использовать ядерное топливо и вовлекать в процесс изотопы, практически бесполезные для традиционных реакторов.

Чтобы нейтроны не теряли энергию, в БН-600 — «Быстром натриевом» — вместо воды применили жидкий натрий. Он циркулирует в первом и втором контурах, отводящих тепло от активной зоны, а вода появляется только в третьем контуре, где превращается в пар и вращает турбину.

Этот дополнительный контур — не попытка повысить эффективность, а инженерная мера безопасности. Натрий бурно реагирует с водой, поэтому между ними намеренно создали «буфер»: даже если в парогенераторе возникнет течь, теплоноситель и вода не встретятся напрямую.

Но новая технология редко решает одну проблему, не создавая других. Использование натрия позволило отказаться от ряда ограничений водо-водяных реакторов, однако потребовало совершенно иной философии защиты. Пришлось разрабатывать системы подогрева трубопроводов, заполнять оборудование инертным аргоном, создавать средства раннего обнаружения попадания воды в натрий, локализации продуктов реакции и тушения натриевых пожаров. Каждый новый риск получил собственный инженерный барьер.

Есть и другая сторона этой технологии. В обычном реакторе топливо приходится выгружать задолго до полного выгорания: продукты деления постепенно поглощают нейтроны и мешают поддерживать цепную реакцию. Быстрый реактор во многом снимает это ограничение, позволяя использовать топливо значительно эффективнее.

Однако за эту эффективность пришлось платить условиями работы, в том числе для приборов. Так как реактор на быстрых нейтронах горячее обычного, датчик внутри него должен выдержать температуру, на которую раньше никто не рассчитывал. Для БН-800 нам впервые поручили сделать прибор, работающий при 600 °C — вдвое выше привычных нам параметров.

А это совсем другая инженерия: при такой температуре на пределе работает всё — металл трубки, газ внутри. И тут важно не забывать, что доводить систему до предела необходимо очень осторожно — Чернобыль тому напоминание.

26 апреля 1986 года взорвался четвертый энергоблок Чернобыльской АЭС — до сих пор это самая тяжелая авария в истории отрасли. Я знаю это не понаслышке: сам ездил туда в командировку и привозил оттуда фотографии — например, верхней плиты реактора, которую взрывом вырвало из шахты и поставило почти вертикально. Но самое важное в Чернобыле — не сама авария, а то, как менялось ее объяснение.

В первые годы вину возлагали почти целиком на персонал: именно так авария описана в докладе МАГАТЭ 1986 года, подготовленном по горячим следам на основе советских материалов. И только в 1992-м та же консультативная группа МАГАТЭ — INSAG — выпустила уточняющий доклад, после чего акцент сместился с действий персонала на конструктивные дефекты самого реактора.

А проблем, которые привели к трагедии, было три. Две из них были связаны с поведением нейтронного потока в активной зоне — именно для его контроля наше предприятие теперь разрабатывает измерительные приборы. Во-первых, у РБМК был большой положительный паровой коэффициент реактивности: когда вода в каналах закипала, реакция не затухала, как в большинстве реакторов, а разгонялась сильнее. Во-вторых, у стержней аварийной защиты был свой изъян — графитовые вытеснители на конце, благодаря которым в первые мгновения ввода стержня в зону он не гасил реакцию, а на короткое время усиливал ее.

О третьей проблеме вспоминают реже, и, на мой взгляд, напрасно. Ключевой параметр, по которому определяли, можно ли вообще продолжать работу реактора, назывался оперативным запасом реактивности. Регламент требовал немедленно остановить энергоблок, если он снижался ниже 15 стержней. Но оператор не видел этот параметр на пульте управления. Его рассчитывала вычислительная машина по отдельной программе, а результат приходил с задержкой в виде распечатки и уже не отражал реальную ситуацию.

Отрасли потребовалось больше пяти лет, чтобы признать, что оператор был не единственным источником ошибки, а частью системы, предрасположенной к катастрофе.

После Чернобыля реакторы РБМК модернизировали: изменили конструкцию стержней аварийной защиты, уменьшили положительный паровой коэффициент реактивности, пересмотрели состав активной зоны, ускорили и усилили работу системы аварийной защиты.

11 марта 2011 года у берегов Тохоку произошло землетрясение — одно из сильнейших за всю историю наблюдений. Реакторы АЭС «Фукусима-1» выдержали его штатно. Автоматика ввела стержни управления, и три работавших энергоблока были успешно остановлены. Но это было только начало неприятностей: через 40 минут станцию накрыло цунами, затопившее резервные дизель-генераторы в подвальных помещениях машинных залов.

Тогда-то и выяснилось, что источники аварийного питания, которые формально считались независимыми, при форс-мажоре оказались одинаково уязвимыми, так как находились рядом. В результате без электроснабжения остались четыре энергоблока. Остановились насосы, прекратилось охлаждение активных зон, а вместе с ним отключилась и значительная часть измерительной аппаратуры. Топливо начало перегреваться и плавиться, а из-за реакции раскаленного циркония с водяным паром стал выделяться водород. Его взрывы затем разрушили здания первого, третьего и четвертого энергоблоков.

История, с которой мы начали, сегодня продолжается у причала самого северного города России. В Певеке работает плавучая атомная теплоэлектростанция «Академик Ломоносов» с двумя реакторами КЛТ-40С. После остановки в 2025 году последнего энергоблока Билибинской АЭС именно она обеспечивает электроэнергией часть региона.

Реакторы КЛТ-40С происходят из той же инженерной школы, что и установки для атомных ледоколов. От них плавучая станция унаследовала специфику: ограниченное пространство, невозможность быстро заменить оборудование и особенно высокие требования к надежности.

Но появилось и новое условие: энергоблок стоит всего в нескольких сотнях метров от города. Поэтому системы безопасности проектируют так, чтобы они как можно меньше зависели от внешнего электроснабжения, действий персонала или работы активного оборудования. То же относится и к измерительным приборам.

Для Баимского горно-обогатительного комбината на Чукотке сейчас строят плавучие энергоблоки с реакторами РИТМ-200С. Они тоже родом с ледокола, но это уже следующее поколение. Такую установку сразу проектировали под долгую автономную работу в Арктике, а не приспосабливали морскую под береговые нужды.

В подмосковном Подольске уже собрали два реактора РИТМ-400 для нового ледокола «Россия». Каждый вдвое мощнее «двухсотых» РИТМов при тех же габаритах. Этим двум установкам даже дали официальные имена — «Илья Муромец» и «Добрыня Никитич».

А через 10−20 лет, вероятно, атомные технологии станут еще компактнее, автономнее и мобильнее. Вместе с ними будут развиваться и системы безопасности, в которых будет больше автоматического контроля и интеллектуальной диагностики и решений, способных предсказать проблему еще до того, как она станет аварией. Не сомневаюсь, что ионизационной трубке и борному счетчику найдется место и в этих проектах.