Хронологическое описание аварии

Принципиальная схема АЭС Три-Майл-Айленд

В ночь с 27 на 28 марта 1979 года энергоблок № 2 работал на 97 % мощности. Непосредственно перед началом аварийных событий системы энергоблока работали в штатном режиме, за исключением двух известных для персонала проблем.

Во-первых, это постоянная небольшая протечка теплоносителя через затвор одного из клапанов компенсатора давления, из-за чего в сбросном трубопроводе держалась повышенная температура, а избыток среды из бака-барботера приходилось сливать примерно раз в 8 часов.

Во-вторых, при осуществлении регулярной процедуры выгрузки (замены) ионообменной смолы из фильтра конденсатоочистки второго контура произошло блокирование (закупоривание) смолой трубопровода выгрузки, и около 11 часов предпринимались попытки продуть его смесью сжатого воздуха и воды. Наиболее вероятно, что возникшие при выполнении этой операции неполадки стали первым звеном во всей последующей цепи аварийных событий.

Предположительно, вода от одного из фильтров конденсатоочистки через неисправный обратный клапан попала в систему сжатого воздуха, который использовался в том числе и для управления пневматическими приводами арматуры. Конкретный механизм воздействия воды на функционирование системы так и не был установлен, известно лишь то, что в 04:00:36 (-0:00:01 - время от условной точки отсчета) произошло неожиданное единовременное срабатывание пневмоприводов и закрытие всей арматуры, установленной на входе и выходе из фильтров конденсатоочистки. Поток рабочей среды второго контура оказался полностью перекрыт, последовательно отключились конденсатные, питательные насосы и турбогенератор. Мгновенно изменился баланс между тепловой мощностью, потребляемой вторым контуром станции, и мощностью, производимой в реакторной установке, из-за чего в последней стали расти температура и давление.

Возможность возникновения подобной аварийной ситуации была учтена при проектировании станции. Для отвода от реакторной установки теплоты, производимой остаточным энерговыделением, была предусмотрена отдельная система аварийной подачи питательной воды в парогенераторы из баков запаса конденсата, в обход основного оборудования второго контура. Персонал также был специально обучен управлению станцией в таких условиях. Переходный процесс занял несколько секунд, за которые автоматически, без участия операторов, произошло следующее:

· 04:00:37 (00:00:00) - остановка турбогенератора;

· 04:00:37 (00:00:00) - запуск насосов системы аварийной подачи питательной воды в парогенераторы;

· 04:00:40 (00:00:03) - срабатывание электромагнитного клапана компенсатора давления (из-за повышения давления в реакторной установке выше 15,5 МПа);

· 04:00:45 (00:00:08) - срабатывание аварийной защиты реактора (из-за повышения давления в реакторной установке выше 16,2 МПа), остановка самоподдерживающейся цепной ядерной реакции;

· 04:00:49 (00:00:12)— снижение давления в реакторной установке ниже 15,2 МПа (так как энерговыделение в реакторе снизилось).

Операторам оставалось лишь убедиться в срабатывании автоматики, произвести необходимые переключения в электрической части станции и приступить к контролируемому расхолаживанию реактора. Необходимость последнего обусловлена наличием остаточного энерговыделения: сразу после остановки тепловая мощность реактора достигает 160 МВт, через час снижается до 33 МВт, через десять до 15 МВт и затем уменьшается сравнительно медленно.

Утечка теплоносителя

Панель БЩУ с ремонтными маркировочными табличками, скрывшими от персонала цветовую индикацию о закрытом положении задвижек на напоре насосов аварийной питательной воды.

В типовом переходном режиме, связанном с внезапным прекращением циркуляции во втором контуре станции, на этот раз существовало несколько отклонений, о которых персонал станции ещё не догадывался. Во-первых, задвижки на напоре аварийных питательных насосов оказались ошибочно закрыты и охлаждение через парогенераторы было временно потеряно (ошибочное состояние задвижек было определено уже через 8 минут и не оказало значительного влияния на последствия аварии). Во-вторых, что гораздо важнее, электромагнитный клапан КД по неизвестной причине не закрылся после снижения давления в реакторной установке, и происходила непрерывная потеря теплоносителя из первого контура с расходом приблизительно 50 м³/ч (в перерасчёте на жидкость). Фактически это означало, что на станции имелась нераспознанная персоналом авария, связанная с «малой» течью теплоносителя (в противовес «большой» течи, возникающей при разрыве трубопроводов максимального диаметра).

Действуя по стандартной при аварийной остановке реактора процедуре, операторы предприняли шаги для компенсации ожидаемого уменьшения объёма теплоносителя первого контура: подача воды (подпитка) в реакторную установку была увеличена, а отбор её на очистку (продувка) уменьшен. Несмотря на корректирующие действия операторов, к 04:01:25 (+00:00:48) уровень в компенсаторе давления снизился с номинальных 6300 до 4000 мм, а в 04:02:38 (+00:02:01) давление в реакторной установке упало ниже 11,3 МПа и автоматически включились насосы системы аварийного охлаждения реактора, подающие в первый контур воду под высоким давлением с расходом в 230 м³/ч и предназначенные для компенсации утечек.

К несчастью, не подозревая о наличии течи и наблюдая быстрый рост уровня воды в КД (7400 мм к 04:04:05 (+00:03:28)), операторы посчитали такую подпитку явно избыточной. Таким образом, в 04:05:15 (+00:04:38) был отключен один из насосов аварийного охлаждения и снижена подача воды в первый контур до 6 м³/ч, кроме того, была предпринята попытка кратковременно увеличить отбор теплоносителя через линию продувки вплоть до 36 м³/ч. Эти действия лишь ухудшили ситуацию, давление продолжило снижаться, и к 04:06:07 (+00:05:30) вода в первом контуре достигла состояния насыщения (кипения) при 9,2 МПа и 305⁰C. Образовавшийся в активной зоне пар вытеснял воду в КД, создавая иллюзию полного заполнения жидкостью первого контура.

Длительный сброс среды первого контура через неисправный электромагнитный клапан вызвал переполнение бака-барботера, из-за чего в 04:03:50 (+00:03:15) сначала сработал его предохранительный клапан, а затем в 04:15:25 (+00:14:48) произошло разрушение защитной разрывной мембраны, после чего горячая вода и пар стали поступать в помещения гермооболочки.

Примерно к 04:26:00 (+00:25:00) давление в первом контуре достигло значений около 7 МПа. Однако, с точки зрения операторов, состояние реакторной установки казалось относительно стабильным, хотя и необычным. Это обманчивое впечатление сохранялось до тех пор, пока работа главных циркуляционных насосов не стала ухудшаться из-за перекачивания неоднородной пароводяной среды, плотность которой снижалась в результате продолжавшегося кипения теплоносителя. Сильные вибрации вынудили операторов в 05:14:06 (+01:13:29) отключить насосы со стороны парогенератора «B», а в 05:41:22 (+01:40:45) по той же причине были остановлены насосы со стороны парогенератора «A». К этому времени было потеряно около 120 м³ теплоносителя (более 1/3 от объёма первого контура).

После остановки циркуляции в 1-ом контуре произошло разделение жидкой и паровой сред, пар занял верхние участки контура, а граница кипения теплоносителя в реакторе установилась примерно на 1 метр выше верхней плоскости активной зоны. В дальнейшем в результате кипения и сброса среды через электромагнитный клапан уровень в реакторе неуклонно снижался, и уже с 05:52:04 (+01:51:57) началось осушение активной зоны.

Реакция операторов

Сложившаяся ситуация с течью теплоносителя из верхнего (парового) объёма компенсатора давления не была учтена при проектировании АЭС, и подготовка персонала станции для управления реакторной установкой в таких условиях была недостаточной. Операторы столкнулись с симптомами, которых не понимали: сочетание снижавшегося давления и растущего уровня в компенсаторе давления не было описано в эксплуатационной документации и не рассматривалось при их тренировке. С другой стороны, по мнению комиссии проводившей расследование, правильное понимание базовой информации, предоставляемой приборами, позволило бы операторам исправить положение.

Основной вклад в развитие аварийной ситуации внесли как неспособность операторов вовремя распознать утечку через неисправный клапан, так и их вмешательство в автоматическую работу системы аварийного охлаждения. Устранение любого из этих факторов превратило бы аварию в сравнительно малозначительный инцидент. С точки зрения безопасности, отключение насосов аварийного охлаждения является более значимой ошибкой, так как всегда можно представить себе случай возникновения протечки которую невозможно устранить закрытием арматуры.

Анализ действий персонала показал неудовлетворительное понимание им основных принципов работы реакторов типа PWR, одним из которых является поддержание достаточно высокого давления в установке для предотвращения вскипания теплоносителя^[27]. Обучение операторов было нацелено прежде всего на их работу при нормальной эксплуатации, поэтому, наблюдая конфликтующие симптомы, персонал предпочел отдать приоритет регулированию уровня в компенсаторе давления, а не обеспечению непрерывной работы системы аварийного охлаждения, способной поддерживать высокое давление в контуре при протечках. Операторы не восприняли всерьёз автоматическое включение системы безопасности ещё и потому, что на Три-Майл-Айленд эта система за последний год срабатывала четыре раза по причинам, никак не связанным с потерей теплоносителя.

Недостатки щита управления и длительная работа станции с неустранёнными дефектами не позволили персоналу быстро определить состояние электромагнитного клапана компенсатора давления. Указателя фактического положения запорного органа клапана предусмотрено не было, а лампа на панели управления сигнализировала лишь о наличии питания на его приводе, соответственно, сигнал указывал на то, что клапан закрыт^[16]. Косвенные признаки, такие как повышенная температура в трубопроводе после клапана и состояние бака-барботера также не были восприняты однозначно.

С октября 1978 года, в нарушение нормативов комиссии по ядерному регулированию, энергоблок работал при протечке через затворы электромагнитного или предохранительных клапанов около 1,4 м³/ч (при разрешенном значении в 0,2 м³/ч). И хотя инструкциями на АЭС прямо предписывалось изолировать электромагнитный клапан при повышении температуры за ним свыше 90°C, этого сделано не было. Персонал привык к высоким значениям температуры^[32] и интуитивно (но ошибочно) полагал, что в случае серьёзной протечки температура за клапаном будет более 150°C, однако за всё время аварии она не превысила этой величины. Срабатывание предохранительных устройств бака-барботера также не осталось незамеченным, но персонал никак не связал это событие с продолжительной утечкой из первого контура, приписав его скачку давления при кратковременном срабатывании электромагнитного клапана в самом начале аварии.

В эксплуатационной документации был определён перечень признаков течи из первого контура, одни из них действительно имели место, например падение давления в реакторной установке, повышение температуры под гермооболочкой и наличие воды на её нижнем уровне. Однако операторов привело в замешательство отсутствие симптомов, которые они считали ключевыми: не было снижения уровня в компенсаторе давления (он, наоборот, возрастал), также не было сигнализации о повышенном уровне радиации в атмосфере гермооболочки (возможно, порог срабатывания датчика был некорректно установлен). Таким образом, даже зная о наличии воды в помещениях гермооболочки, персонал не смог адекватно определить источник её происхождения.

Разрушение активной зоны

Конечное состояние активной зоны реактора: 1 — вход 2-й петли B; 2 — вход 1-й петли А; 3 — каверна; 4 — верхний слой обломков топливных сборок; 5 — корка вокруг центра активной зоны; 6 — затвердевший расплав; 7 — нижний слой обломков топливных сборок; 8 — вероятный объём расплава, который стёк вниз; 9 — разрушенные гильзы внутриреакторного контроля; 10 — отверстие в выгородке активной зоны; 11 — слой затвердевшего расплава в полостях выгородки; 12 — повреждения плиты блока защитных труб

Прибывший в 6 часов утра персонал следующей смены, благодаря свежему взгляду, смог наконец определить состояние электромагнитного клапана компенсатора давления. В 06:22:37 (+02:22:00) был закрыт отсечной клапан, находящийся на одном трубопроводе с электромагнитным, прекратив утечку. Установив тем самым факт продолжительной потери теплоносителя, операторы должны были приступить к ликвидации аварии, запустив систему аварийного охлаждения, однако по неустановленным причинам это действие не было незамедлительно выполнено.

По случайному совпадению одновременно с закрытием отсечного клапана в 06:22:37 (+02:22:00) приборами радиационного контроля, расположенными под герметичной оболочкой, было зафиксировано первое свидетельство разрушения оболочек ТВЭЛ и выхода высокоактивных продуктов деления ядерного топлива за пределы первого контура. При этом температура повреждённых ТВЭЛ должна была быть в диапазоне от 760 до 870°C.

Около 06:30 началось быстрое окисление оболочек ТВЭЛ в верхней части активной зоны за счет пароциркониевой реакции с образованием водорода. При этой реакции выделяется дополнительная теплота и температура ТВЭЛ превысила 1825°C, их оболочки из Циркалоя-4 начали расплавляться. Образовавшаяся расплавленная смесь из топлива, стали и циркония стекала вниз и затвердевала на границе кипения теплоносителя. Ближе к 7 часам утра кипящий теплоноситель покрывал уже менее четверти высоты активной зоны.

Не имея в своем распоряжении приборов, позволявших определить уровень жидкости непосредственно в корпусе реактора, и не осознавая нехватку теплоносителя, операторы попытались возобновить принудительное охлаждение активной зоны. Были предприняты попытки запуска каждого из четырёх главных циркуляционных насосов. Одна из попыток оказалась относительно успешной: запущенный в 06:54:46 (+02:54:09) ГЦН-2B захватил воду, находившуюся в петле циркуляционного трубопровода, и перекачал её в корпус реактора, что позволило ненадолго замедлить рост температуры топлива. Однако нагнетание в перегретую активную зону около 28 м³ воды вызвало её мгновенное вскипание и резкий рост давления в установке с 8,2 МПа до 15,2 МПа, а внезапное охлаждение разогретого топлива привело к «тепловому удару» и охрупчиванию конструкционных материалов. В результате верхняя часть активной зоны, состоящая из серьёзно повреждённых ТВЭЛ, потеряла устойчивость и просела вниз, сформировав каверну (пустое пространство) под блоком защитных труб (БЗТ).

Компенсируя возмущение в первом контуре, вызванное последствиями включения ГЦН-2B, операторы в 07:13:05 (+03:12:28) кратковременно открыли отсечной клапан для сброса давления. Затем, по-видимому с целью его поддержания в пределах рабочего диапазона, в 07:20:22 (+03:19:45) примерно на 20 минут была вручную включена система аварийного охлаждения (к этому моменту теплоноситель покрывал не более 0,5м высоты активной зоны). Хотя охлаждающая вода поступала в реактор, центр активной зоны практически не охлаждался из-за окружавшей его корки из ранее расплавленного и затвердевшего материала, температура расплава достигла 2500°C и в 07:47:00 (+03:46:23) произошло резкое изменение геометрии активной зоны: жидкая топливная масса из центра активной зоны, содержащая около 50% её материалов, проплавила окружавшие её конструкции и распределилась в полостях внутрикорпусных устройств и на дне реактора, а пустое пространство под БЗТ увеличилось в объёме до 9,3 м³. Интересно отметить, что несмотря на то, что температура расплава не достигла точки плавления UO₂ (2875°C), часть керамического топлива всё равно перешла в жидкую фазу при взаимодействии с цирконием и его оксидами.

В 07:56:23 (+03:55:46) произошло очередное автоматическое включение системы аварийного охлаждения реактора, теперь уже по сигналу повышения давления в гермооболочке свыше 0,03 МПа. На этот раз было принято принципиальное решение: не мешать автоматической работе систем безопасности пока не будет полного понимания состояния реакторной установки. С этого момента процесс разрушения активной зоны был остановлен.