Czarnobyl: jak do tego doszło?

prof. dr inż. Andrzej Strupczewski

1. Ogólna charakterystyka reaktora RBMK

Aby lepiej zrozumieć, co było przyczyną katastrofy w Czarnobylu musimy omówić konstrukcję reaktora typu, który tam pracował. RBMK jest skrótem nazwy - Kanałowy Reaktor Dużej Mocy (Реактор Большой Мощчности Канальный). W Związku Radzieckim wybudowano 17 reaktorów opartych na tej konstrukcji – również w Czarnobylu, miejscu największej awarii w energetyce jądrowej. Dwanaście reaktorów tego typu działa do dziś: 11 w Rosji i jeden na Litwie. Reaktory tego typu budowano wyłącznie na terenie byłego ZSRR. Od czasu uruchomienia pierwszych reaktorów dokonano w nich wiele ulepszeń zwiększających bezpieczeństwo działania i kolejne generacje różnią się istotnie od swoich poprzedników. Widok typowego reaktora RBMK pokazano na rys. 1, zaczerpniętym ze strony internetowej http://www.ptbr.org.pl/Bezpieczenstwo%20elektrowni.pdf

Rys. 1 Widok reaktora RBMK (rysunek zaczerpnięty ze strony internetowej http://www.ptbr.org.pl/Bezpieczenstwo%20elektrowni.pdf )

Główną cechą opisywanego typu reaktora jest jego modułowość. Rdzeń reaktora nie jest zamknięty we wspólnym dla wszystkich jednostek paliwowych zbiorniku wysokociśnieniowym, lecz składa się z dostawionych do siebie bloków grafitowych z kanałami, do których wprowadza się pręty paliwowe, i do których to kanałów doprowadzana jest woda zamieniająca się w rdzeniu w parę. W reaktorze RBMK woda pełni tylko rolę chłodziwa- jako moderator służy grafit. Ma to ujemne skutki dla stabilności reaktora, co doprowadziło do fatalnych następstw w czasie awarii czarnobylskiej.

2. Wady konstrukcyjne reaktora RBMK

Reaktory pracujące w Czarnobylu, zwane RBMK – (Reaktor Bolszoy Moszcznosti Kanalnyj - kanałowy reaktor wielkiej mocy) - miały konstrukcję odmienną od reaktorów PWR i BWR, budowanych w krajach OECD i na całym świecie. Jedną z przyczyn tego stanu było oparcie konstrukcji reaktora RBMK na wcześniej budowanych w ZSRR uranowo-grafitowych reaktorach przeznaczonych do produkcji plutonu do celów wojskowych, uruchamianych od 1948 roku. Pierwszy reaktor tego typu o mocy 5 MWe uruchomiono w ZSRR w Obnińsku w roku 1954. Od tej pory wprowadzono wiele ulepszeń i zwiększano moc tych reaktorów - najnowsze konstrukcje (Ignalina na Litwie) osiągają moc 1300 MWe.

Z punktu widzenia możliwości inwestycyjnych wielką zaletą reaktorów RBMK była możliwość montowania ich na placu budowy prawie bez ograniczenia mocy maksymalnej. Miały one jednak i poważne wady, szczególnie z punktu widzenia bezpieczeństwa jądrowego. Jak wykazało gorzkie doświadczenie z awarii w Czarnobylu, główną słabością reaktora RBMK było odizolowanie twórców tego reaktora od światowego dorobku w zakresie bezpieczeństwa reaktorów i utrzymywanie w tajemnicy zastosowanych w nim rozwiązań. Nie tylko specjaliści zachodni, ale nawet inżynierowie z krajów demokracji ludowej takich jak Czechy czy Polska nie mieli dostępu do informacji o reaktorach RBMK. Rosjanie pytania kwitowali krótkim stwierdzeniem, że nie ujawnią ich budowy, bo nie zamierzają eksportować tych reaktorów jako „zbyt trudnych do eksploatacji w krajach poza ZSRR”.

Rys. 2 Schemat obiegu pierwotnego reaktora RBMK

Reaktory RBMK to reaktory z rurami ciśnieniowymi otaczającymi zestawy paliwowe z uranu wzbogaconego, z moderatorem grafitowym i chłodzeniem wodnym. Cylindryczny rdzeń reaktora RBMK o średnicy 12 m i wysokości 7 m składał się w elektrowni jądrowej (EJ) Czarnobyl z 1659 zestawów paliwowych zawierających łącznie 190 ton uranu.

Konstrukcja reaktora pozwalała na miejscową wymianę paliwa w czasie pracy reaktora, tak że wypalenie paliwa usuwanego z reaktora mogło być bardzo małe. Rozwiązanie to stosowano uprzednio w reaktorach wojskowych, przystosowanych do produkcji plutonu nadającego się do wykorzystania w bombie jądrowej (spośród wielu izotopów plutonu wytwarzanych w reaktorze jądrowym najlepiej do broni jądrowej nadaje się pluton 239, produkowany na początku wypalania paliwa. W miarę wzrostu wypalenia powstają też inne długożyciowe izotopy plutonu, które znacznie utrudniają budowę bomb atomowych). Rdzeń reaktora otoczony był osłoną biologiczną w postaci współosiowego zbiornika wodnego o średnicy 16.6 m, od góry i od dołu zamkniętego szczelnie cylindrycznymi pokrywami, przez które przechodziły liczne rurociągi. System regulacji i zabezpieczeń reaktora obejmował 211 prętów pochłaniających neutrony, przesuwających się w specjalnych kanałach i mających za zadanie automatyczne utrzymywanie zadanej mocy reaktora, szybkie obniżanie mocy w razie sygnału o uszkodzeniu urządzeń reaktora i awaryjne wyłączenie reaktora w razie niebezpiecznego odchylenia wskazań przyrządów.

Ciepło odebrane od elementów paliwowych powodowało częściowe odparowanie wody chłodzącej, która przez rdzeń przepływała w kanałach ciśnieniowych, oddzielonych od otaczającego je grafitu pierścieniową szczeliną izolacyjną, a po wyjściu z rdzenia odprowadzana była kolektorami do walczaka, w którym następowało oddzielenie wody od pary. Para przesyłana była do turbiny, natomiast woda pompowana była z powrotem do rdzenia reaktora. Układ chłodzenia był więc rozwiązaniem pośrednim między reaktorem PWR, w którym obieg pierwotny przekazuje ciepło do obiegu wtórnego w wytwornicy pary, a reaktorem BWR, w którym para wytworzona w rdzeniu oddziela się od wody w reaktorze i przepływa do turbiny.

Rys. 3 Układ reaktora RBMK. 1- stos grafitowy, 2-7 struktury metalowe, 8 walczak separatora pary, 9 główne pompy cyrkulacyjne, 10- silnik pompy, 11 zawory odcinające, 12 kolektor wlotowy.

Ze względu na duże rozmiary reaktora konstruktorzy zadecydowali, że jeśli dojdzie w nim do awarii rozerwania obiegu pierwotnego to spowoduje ona utratę wody tylko z części kanałów paliwowych. Ograniczyli więc oni rozmiary układu awaryjnego chłodzenia rdzenia budując go tak, by dostarczał wodę do tej połowy rdzenia, która narażona była na utratę chłodziwa po awarii. Specjalny układ detekcji przecieków miał niezawodnie wykrywać, w której połówce reaktora nastąpiła awaria i kierować odpowiednio wodę z układu chłodzenia awaryjnego. Pozwalało to na oszczędności – ale moc układu chłodzenia awaryjnego była zmniejszona, co oznaczało, że do jego prawidłowego działania trzeba było wskazać, do której części rdzenia ma on wtryskiwać wodę. Ponadto, w razie awarii obejmującej cały reaktor układ chłodzenia awaryjnego byłby niewystarczający do chłodzenia paliwa – a awaria w Czarnobylu objęła cały rdzeń.

Brak obudowy bezpieczeństwa

Od początku budowy reaktorów jądrowych w USA przyjmowano zasadę, że reaktor wraz ze wszystkimi obiegami zawierającymi produkty rozszczepienia musi być otoczony obudową bezpieczeństwa, potężną kopułą z betonu zbrojonego, zapewniającą szczelność i chroniącą przed awaryjnym uwolnieniem substancji radioaktywnych poza elektrownię. W ślad za USA również i inne kraje uznały obudowy bezpieczeństwa za niezbędny element elektrowni i dzisiaj wszystkie elektrownie budowane są z obudowami bezpieczeństwa.

Rys. 4 Widok z zewnątrz reaktorów RBMK w elektrowni Smoleńsk

W przypadku reaktora RBMK sprawa wyglądała inaczej. Przepisy rosyjskie zawierały wprawdzie sformułowanie o potrzebie obudowy bezpieczeństwa, ale z zastrzeżeniem „chyba że konstruktor reaktora udowodni, że nie jest ona potrzebna do zapewnienia bezpieczeństwa elektrowni”. Z zastrzeżenia tego skorzystały zespoły projektantów RBMK.

Paliwo reaktora RBMK znajdowało się w wielu równoległych kanałach pod ciśnieniem, a nie było zamknięte w zbiorniku ciśnieniowym jak w reaktorach PWR, WWER czy BWR. Dzięki temu moc reaktora mogła być bardzo duża, bo nie ograniczały jej trudności w spawaniu grubych ścian dużego zbiornika mieszczącego rdzeń reaktora. Rdzeń reaktora RBMK zbudowany jest na zasadzie modułowej. Liczbę rur ciśnieniowych w których umieszczone są zestawy paliwowe można zwiększać, osiągając duże moce reaktora, stąd w jego nazwie znalazły się słowa „Bolszoy Moszcznosti” – wielkiej mocy. W reaktorze RBMK do zwiększenia mocy wystarczała decyzja projektanta i zapewnienie przepływu chłodziwa, a trudności spawalnicze pozostawały na tym samym poziomie niezależnie od liczby kanałów. I rzeczywiście, konstruktorzy radzieccy wykorzystywali tę szansę budowy dużych jednostek i moc podstawowego bloku z reaktorem RBMK wynosiła 1000 MWe, a największe bloki miały po 1500 MWe. Ze względu na ich wielkie rozmiary trudno byłoby otoczyć je obudową bezpieczeństwa, więc konstruktorzy zrezygnowali z pełnej obudowy, zamykając w pomieszczeniach szczelnych tylko część obiegu chłodzenia reaktora, ale bez rdzenia i bez przylegających do niego rur pierwotnego obiegu chłodzenia. [1].

System lokalizacji wody radioaktywnej w zamkniętej przestrzeni pod rdzeniem przeznaczony był do skraplania i zbierania przecieków z obiegu pierwotnego i nie był zaprojektowany tak by działał w razie zniszczenia rdzenia i uwolnienia znacznych ilości materiałów radioaktywnych. Było to w jaskrawej sprzeczności z praktyką na całym świecie, według której obudowa bezpieczeństwa jest niezbędnym składnikiem systemu barier powstrzymujących w razie awarii uwolnienia produktów rozszczepienia do otoczenia.

Maszyna przeładowcza przesuwająca się w hali nad reaktorem może korek nad elementem paliwowym podnieść, paliwo wymienić i korek ponownie załadować na miejsce. Hala, w której przesuwa się maszyna przeładowcza, jest normalnie dostępna podczas pracy reaktora, jak widać na zdjęciu z elektrowni w Smoleńsku. Oczywiście jest to rozwiązanie zupełnie odmienne niż w elektrowni jądrowej z reaktorem chłodzonym i moderowanym wodą, czy to typu PWR czy BWR, jakie będziemy budować w Polsce.

W sumie – w reaktorach RBMK stosowano zamknięcie w pomieszczeniach szczelnych części obiegu pierwotnego reaktora, ale zarówno elementy paliwowe jak i część obiegu ponad rdzeniem nie były odizolowane od otoczenia. Obudowy bezpieczeństwa – nie było.

Rys. 5 Widok hali z maszyną przeładowczą reaktora RBMK w EJ Smolensk

W efekcie tego, gdy po awarii rdzeń reaktora został zniszczony, produkty rozszczepienia wydobywały się ze zniszczonego budynku reaktora i z dymem z płonącego grafitu unosiły się wysoko w powietrze.

Samoczynny wzrost mocy reaktora RBMK w pewnych sytuacjach awaryjnych

Najważniejszą jednak różnicą między reaktorem RBMK a reaktorami z moderatorem wodnym było zachowania reaktora w przypadku zaburzeń przepływu chłodziwa, prowadzących do wzrostu temperatury wody.

W reaktorze PWR lub WWER podgrzanie lub odparowanie wody powoduje zmniejszenie stopnia spowalniania neutronów, ich zwiększoną ucieczkę poza rdzeń i w konsekwencji obniżenie intensywności łańcuchowej reakcji rozszczepienia. Natomiast w reaktorze RBMK rolę spowalniacza neutronów pełni grafit, a woda między prętami paliwowymi służy głównie do przenoszenia ciepła, do spowalniania nie jest potrzebna. Co więcej, wobec tego że pewna część neutronów ulega pochłanianiu w wodzie, zmniejszenie gęstości wody wskutek podgrzania a tym bardziej jej częściowego odparowania powoduje zmniejszenie liczby tych pochłonięć, a co za tym idzie - wzrost liczby neutronów które wracają jako spowolnione do paliwa i powodują nowe rozszczepienie (rys. 6).

 

 

Dlatego w reaktorze RBMK spadek przepływu chłodziwa prowadzi do podgrzania wody, wzrostu gęstości rozszczepień, wzrostu mocy reaktora, dalszego podgrzewu wody i dalszego wzrostu mocy. To dodatnie sprzężenie zwrotne powoduje gwałtowny wzrost mocy reaktora, o ile nie zatrzyma go wprowadzenie do rdzenia prętów bezpieczeństwa.

Błąd konstrukcyjny w układzie prętów bezpieczeństwa

Niestety, w Czarnobylu występowało dodatkowe niebezpieczeństwo, z którego nie zdawano sobie sprawy aż do czasu awarii, mianowicie wprowadzenie prętów bezpieczeństwa nie zawsze powodowało od razu wyłączenie reaktora. Pręty bezpieczeństwa w reaktorze RBMK są wprowadzane z góry, z wyjątkiem 24 skróconych prętów wprowadzanych z dołu i służących do wyrównania rozkładu generacji mocy w rdzeniu. Na końcu pręta bezpieczeństwa umocowany jest pręt grafitowy zwany wypełniaczem, który zabezpiecza przed napływem wody do obszaru, z którego wyciągnięto pręt bezpieczeństwa. Zwiększa to efekt reaktywnościowy pręta. W czasie awarii czarnobylskiej wypełniacze grafitowe we wszystkich reaktorach RBMK były połączone z prętem pochłaniającym przy pomocy tzw. teleskopu, tj. konstrukcji mechanicznej o długości 1,25 m wypełnionej wodą.

Wymiary pręta i wypełniacza grafitowego były dobrane tak, że gdy pręt bezpieczeństwa był w pełni wyciągnięty z rdzenia, wypełniacz umieszczony był centralnie w rdzeniu, mając 1,25 m wody nad i pod sobą. Gdy sygnał awaryjny powodował spadek w pełni wyciągniętego pręta bezpieczeństwa do rdzenia, wypychanie wody z dolnej części kanału przy ruchu wypełniacza w dół powodowało miejscowe wprowadzania reaktywności dodatniej w dolnej części rdzenia. Wielkość tego przejściowego efektu dodatniego zależała od przestrzennego rozkładu mocy reaktora i jego parametrów.

Przebieg zmian reaktywności w czasie awarii w Czarnobylu pokazano na rys. 7. W momencie zrzutu pręta z górnego położenia ponad rdzeniem przedłużacz z wkładką grafitową przesuwał się w dół, usuwając wodę z kanału. Spowodowało to wzrost mocy reaktora w rejonie dolnym rdzenia, jak pokazano na rys. 7 znakiem + w kolumnie „ c „. Jednocześnie powyżej wypełniacza napływ wody na miejsce grafitu powodował lokalne obniżenie mocy, a ostatecznie do rdzenia wpadała część pochłaniająca neutrony i wygaszająca reakcję łańcuchową (znak „ – „ w kolumnie ”c”) [3].

Rys. 7 Skutki wprowadzania pręta bezpieczeństwa do rdzenia reaktora RBMK. Wprowadzanie przedłużacza grafitowego powoduje wzrost mocy; dopiero zalanie wodą przestrzeni nad grafitem a potem spadek pochłaniacza dają spadek mocy (patrz znaki + i – w kolumnie „c”) [3].

 

Jednakże wskutek wspomnianego powyżej przekoszenia rozkładu mocy w reaktorze w Czarnobylu przed samą awarią, moc w dolnej części rdzenia była dużo większa niż w górnej. W związku z tym lokalne zwiększanie mocy w dolnej części rdzenia dawało dużo większy efekt niż zmniejszanie mocy w górnej części rdzenia. Tak więc, w chwili wrzucania do rdzenia pręta wiszącego nad rdzeniem, zmiana położenia wypełniacza spowodowała przejściowy wzrost mocy reaktora. Wobec wielkich rozmiarów rdzenia RBMK czas potrzebny na pełne wprowadzenie pręta bezpieczeństwa do rdzenia wynosił 18 sekund. Stan, w którym lokalnie reaktywność w dolnej części rdzenia była znacznie zwiększona, trwał kilka sekund.

W analizach bezpieczeństwa zakładano, że duża część prętów bezpieczeństwa powinna być częściowo zanurzona w rdzeniu, tak by nie występowało jednoczesne wypieranie wody z dolnej części rdzenia przy ich wprowadzaniu prętów do rdzenia. Według oświadczenia konstruktorów reaktora po awarii, dla zapewnienia bezpiecznego sterowania reaktorem przynajmniej 30 prętów bezpieczeństwa powinno było być zanurzonych w rdzeniu. Ale operatorzy nie zdawali sobie z tego sprawy - z pewnością nie było postawione jako warunek kategoryczny – „jeśli doprowadzisz do stanu gdzie w rdzeniu będzie mniej niż 30 prętów, to nastąpi awaria” . W dążeniu do uzyskania sukcesu operatorzy zlekceważyli zalecenia – jeśli były one nawet sformułowane - i w chwili tuż przed awarią niemal wszystkie pręty bezpieczeństwa były całkowicie wyciągnięte ponad rdzeń...

Miało to spowodować tragiczne skutki w czasie awarii.

Możliwość odłączenia układu zabezpieczeń reaktora

Reaktor RBMK miał i inne niebezpieczne cechy konstrukcyjne. Jak wspomnieliśmy powyżej, układ awaryjnego chłodzenia rdzenia włączał się po otrzymaniu sygnału, w której części rdzenia wystąpił przeciek. Stwarzało to możliwość odłączenia układu – i operatorzy to zrobili...

Sygnały układu zabezpieczeń reaktora w Czarnobylu powinny były wyłączyć reaktor długo przed awarią, gdy więcej prętów bezpieczeństwa znajdowało się w rdzeniu, co wykluczało przejściowy wzrost mocy. Ale sygnały te można było odłączyć – i operatorzy to zrobili...

Obecność grafitu i niedobór wody

W rdzeniu reaktora znajdowało się wiele ton grafitu o bardzo wysokiej temperaturze. W normalnych warunkach eksploatacyjnych znajdował się on w otoczeniu gazu obojętnego, ale po rozerwaniu rdzenia mógł do niego dostać się tlen powodując pożar – i nastąpiło to w Czarnobylu...

Ilości wody w reaktorze RBMK były stosunkowo małe, ograniczane przez konstruktorów by nie powiększać i tak bardzo dużych rozmiarów elektrowni (długość hali reaktorów w Czarnobylu wynosiła ponad kilometr!). W reaktorach PWR i BWR w razie awarii woda zalewa obudowę bezpieczeństwa rozpuszczając i zatrzymując jod, cez i inne produkty rozszczepienia. Dlatego po awarii w TMI (TMI - Three Mile Island – nazwa elektrowni w USA, gdzie doszło do jedynej w reaktorach PWR awarii ze stopieniem rdzenia, nie spowodowała ona żadnych szkodliwych skutków zdrowotnych ani wśród załogi ani wśród ludności), gdzie zniszczeniu uległ rdzeń reaktora PWR, frakcja jodu, która wydostała się poza obudowę, była mniejsza od jednej milionowej. W reaktorze RBMK brak wody uniemożliwił zatrzymanie cezu i jodu po awarii. Frakcja jodu wyrzucona w powietrze wynosiła około 20%, a cezu około 13%.

3. Brak kultury bezpieczeństwa

Zasadniczą cechą kultury bezpieczeństwa jest nadanie sprawom bezpieczeństwa takiej wagi, na jaką one zasługują, a więc stawianie ich na pierwszym miejscu, PRZED produkcją energii elektrycznej i wszelkimi względami politycznymi. Za bezpieczeństwo elektrowni jądrowej winien odpowiadać jej dyrektor, który musi mieć do tego odpowiednie uprawnienia i środki. Dozór jądrowy musi być niezależny od operatora i właściciela elektrowni i mieć odpowiednie narzędzia do kontroli bezpieczeństwa elektrowni, a w razie potrzeby do jej ukarania włącznie z zatrzymaniem pracy reaktora. Analizy bezpieczeństwa winny obejmować wszystkie przypadki objęte projektem i przedstawiać ich konsekwencje aż do momentu doprowadzenia reaktora do wyłączenia i osiągnięcia stanu stabilnego i bezpiecznego.

W dawnym ZSRR żadne z tych wymagań nie było spełnione. Sprawą nadrzędną była realizacja wytycznych partyjnych, produkcję energii elektrycznej traktowano jako dużo ważniejszą niż bezpieczeństwo jądrowe, a chęć przedstawienia w dniu 1 maja meldunku o udanym doświadczeniu wystarczała jako uzasadnienie pośpiechu i odstępstw od programu pracy. Za bezpieczeństwo odpowiadało ministerstwo, do którego należały reaktory i które ustalało zadania dla dyrektora i załogi. Dozór jądrowy był słaby i praktycznie pozbawiony wpływu na działania ministerstwa. Przepisy bezpieczeństwa zawierały sformułowania pozwalające na odstępstwa, np. wymaganie, że po wzroście temperatury moc reaktora powinna maleć, opatrzono uwagą „chyba że projektant udowodni, że nie jest to konieczne dla zachowania bezpieczeństwa jądrowego”. W praktyce oznaczało to, że organizacje projektowe mogły opracowywać projekty tak jak im to było wygodne, w celu osiągania np. maksymalnej mocy bloku, z krótkim omówieniem środków ostrożności wymaganych dla bezpiecznej pracy. W ten sposób konstruktor przerzucał odpowiedzialność za bezpieczeństwo na operatora.

Analizy bezpieczeństwa były niekompletne, wiele sytuacji traktowano jako nieprawdopodobne lub wykluczone przez przepisy administracyjne i w związku z tym nie analizowano ich wcale. Na przykład nie opisano przypadku pracy z dużą liczbą prętów bezpieczeństwa w położeniu górnym nad rdzeniem. W związku z tym operatorzy nie wiedzieli jak groźna jest taka sytuacja. Po awarii władze radzieckie twierdziły, że przepisy zabraniały pracy z małą liczbą prętów bezpieczeństwa częściowo wsuniętych do rdzenia, natomiast operatorzy twierdzili, że usłyszeli o takim zakazie po raz pierwszy dopiero po awarii. Dozór jądrowy, który powinien był otrzymać wszystkie analizy bezpieczeństwa do oceny i zatwierdzenia, nie spełniał swojej roli i nie wymagał uzupełnienia raportu bezpieczeństwa, ani nie kontrolował znajomości przepisów przez operatorów.

Samo podejście do doświadczenia zaplanowanego na 25 kwietnia 1986 r. było też przykładem pogwałcenia zasad bezpieczeństwa. Chociaż obejmowało ono symulację stanu awaryjnego po utracie zasilania elektrycznego, program eksperymentu przygotował inżynier elektryk bez konsultacji ze specjalistami w zakresie bezpieczeństwa w elektrowni i bez uzgodnienia z dozorem jądrowym. W czasie samego doświadczenia wprowadzono reaktor w stan niebezpieczny przez odłączenie awaryjnego układu chłodzenia rdzenia (UACR), co było oczywiście sprzeczne z elementarnymi przepisami bezpieczeństwa. Wobec tego, że dyspozytor zażądał utrzymania dostaw energii elektrycznej, reaktor utrzymywano na mocy przez wiele godzin z wyłączonym UACR [1]. Później, gdy wskutek długotrwałej pracy na zmniejszonej mocy reaktor wszedł w stan niestabilny, operatorzy odłączyli układy awaryjnego wyłączania reaktora by nie został on przedwcześnie wyłączony, co uniemożliwiłoby realizację eksperymentu [1]. W całym postępowaniu zespołu eksploatacyjnego dominowało lekceważenie zagrożeń – postawa dokładnie odwrotna niż wymagana przez filozofię bezpieczeństwa.

4. Przebieg awarii

26 kwietnia 1986 r. o godzinie 1:23 rano, starszy operator bloku nr. 4 w Czarnobylu, Aleksander Akimov postąpił zgodnie z tym, czego uczono jego i setki innych operatorów elektrowni jądrowych. Stojąc w obliczu niepokojących i niejasnych informacji o stanie reaktora, zainicjował on awaryjne wyłączenie bloku. Przyciskając przycisk zrzutu prętów bezpieczeństwa spowodował on wzrost mocy reaktora i wybuch, którego skutki ciągle jeszcze są przedmiotem niepokoju na całym świecie [5].

Zanim operatorzy spowodowali zrzut prętów bezpieczeństwa, Akimov i jego koledzy byli zajęci przeprowadzaniem specjalnego badania. IV blok w EJ Czarnobyl pracował od grudnia 1983 r. W końcu kwietnia 1986 rdzeń zawierał 1659 zestawów paliwowych o średnim wypaleniu 10,3 MWd/kg.

Blok nr. 4 w EJ Czarnobyl miał zostać wyłączony 25 kwietnia 1986 roku w celu rutynowych prac konserwacyjnych. Korzystając z tej okazji, zdecydowano przeprowadzić test, czy układy EJ mogą zapewnić dostarczanie mocy elektrycznej dostatecznej do utrzymania w ruchu układu awaryjnego chłodzenia rdzenia i układów zabezpieczeń w okresie od chwili utraty zasilania elektrycznego do chwili dostarczenia mocy przez generatory z napędem diesla.

Zgodnie z obliczeniami inżynieryjnymi, moment bezwładności turbin elektrycznych o mocy 500 MW wystarczał do wytwarzania energii elektrycznej o mocy potrzebnej do utrzymania w ruchu pomp obiegu pierwotnego przez około 30 do 50 sekund, a więc przez okres potrzebny na uruchomienie awaryjnych generatorów diesla.

Niestety badanie to, które jak uważano dotyczyło głównie układów elektrycznych nie związanych z reaktorem jądrowym, przeprowadzono bez odpowiedniego przygotowania, bez wymiany informacji i koordynacji między personelem odpowiedzialnym za badania a załogą zmianową reaktora, odpowiadającą za jego bezpieczeństwo. Wskutek tego środki ostrożności przewidziane w programie były niewystarczające a operatorzy nie byli świadomi możliwych zagrożeń [1, 3].

Inżynierowie, którzy zaprojektowali to badanie byli specjalistami w zakresie generatorów elektrycznych, a nie w zakresie reaktorów jądrowych. Historia wskazuje, że w przygotowaniach do badań nie kontaktowano się ze specjalistami w zakresie bezpieczeństwa jądrowego. Ten brak koordynacji i czujności, wynikający z niedostatecznego poziomu "kultury bezpieczeństwa" wśród personelu EJ, spowodował, że operatorzy podjęli szereg działań, które były niezgodne z obowiązującymi procedurami i doprowadziły do niebezpiecznej sytuacji.

Badania zaplanowano na czas, gdy reaktor miał być wyłączony dla przeprowadzenia rutynowych zabiegów konserwacyjnych, a jego moc nie była potrzebna dla sieci energetycznej. Jednakże osiągnięcie warunków początkowych do przeprowadzenia eksperymentu okazało się trudniejsze i zajęło więcej czasu niż pierwotnie planowano.

25 kwietnia rano moc reaktora zmniejszono z 3000 do 1600 MWt, o 13 odłączono 1 turbogenerator i UACR ( wbrew zasadom bezpieczeństwa). Ze względu na potrzeby energetyczne sieci elektrownia nie otrzymała jednak pozwolenia na wyłączenie reaktora. Trwała praca na zmniejszonej mocy. Dostawy energii elektrycznej z IV bloku EJ Czarnobyl do sieci były potrzebne przez okres dłuższy niż pierwotnie planowano. Minęła północ, zanim elektrowni zezwolono ostatecznie na przeprowadzenie eksperymentu, a nowa zmiana operatorów, która właśnie przejęła odpowiedzialność za elektrownię, nie znała dobrze warunków eksperymentu i nie otrzymała pełnego instruktażu od poprzedniej zmiany.

Działania operatorów z poprzedniej zmiany wprowadziły elektrownię w niezwykły stan, ponieważ przebieg zmian mocy reaktora i wynikające stąd stężenie produktów rozszczepienia były inne niż przewidywane przy projektowaniu układu zabezpieczeń reaktora. Człowiek odpowiedzialny za eksperyment, Anatoli Dyatlow, zastępca głównego inżyniera w elektrowni, brał udział w przygotowaniu doświadczenia i ustaleniu warunków początkowych. Nowy zespół operatorów oczekiwał od niego decyzji, ze względu na jego doświadczenie, stanowisko i znajomość programu doświadczenia.

Wskutek przedłużającej się pracy reaktora na obniżonej mocy, spowodowanej decyzjami dyspozytora sieci, w rdzeniu reaktora gromadziły się produkty rozszczepienia powodujące dodatkowy wychwyt neutronów. Aby mimo to utrzymać reaktor na mocy, operatorzy usuwali z rdzenia pręty pochłaniające, tak że coraz więcej prętów bezpieczeństwa znajdowało się w pozycji nad rdzeniem. Wprowadzenie do rdzenia każdego z tych prętów powodowałoby pewien niewielki przejściowy wzrost reaktywności reaktora – a wprowadzenie naraz wszystkich prętów mogło spowodować nagły skok mocy. Ale operatorzy nie zdawali sobie z tego sprawy, bo takiej sytuacji nie opisano w raporcie bezpieczeństwa reaktora RBMK.

Co więcej, wskutek pracy na małej mocy parametry reaktora ulegały wahaniom, np. zmieniał się silnie poziom wody w wytwornicach pary. Aby nie utracić możliwości wykonania doświadczenia, operatorzy wyłączali sukcesywnie układy bezpieczeństwa reaktora – sygnał na włączenie awaryjnego układu zalewania rdzenia, sygnał awaryjnego wyłączenia reaktora wskutek wahań poziomu wody i sygnał awaryjnego wyłączenia reaktora po zaniku zasilania elektrycznego. Działania te nie były przewidziane w programie eksperymentu. Co więcej, były sprzeczne z obowiązującymi przepisami. Dokonano ich jednak, by umożliwić rozpoczęcie eksperymentu i móc pochwalić się sukcesem w 4 dni później na 1 maja. Operatorzy nie wiedzieli, że nie tylko pozbawili w ten sposób reaktor wszelkiej obrony przed uszkodzeniami, ale i wprowadzili go w stan potencjalnie skrajnie niestabilny i niebezpieczny.

O 23 otrzymano zezwolenie wyłączenia reaktora i zmniejszono moc. Według planu doświadczenia miało zacząć się przy mocy 700-1000 MW. Jednakże po odłączeniu lokalnego systemu regulacji moc reaktora spadła do 30 MW. O 1 w nocy 326 kwietnia ostatecznie ustabilizowano moc na poziomie 200 MW. W związku z uprzednią praca na małej mocy wystąpiło zatrucie ksenonowe i rozkład mocy był przekoszony. Regulacja mocy była bardzo trudna.

Zapas reaktywności w rdzeniu był znacznie mniejszy niż 30 prętów pochłaniających. O 1 w nocy włączono dwie dodatkowe pompy w I obiegu. Przepływ wzrósł powyżej normalnego, kawitacja na wlocie do pomp, drgania elementów I obiegu. Spadek zawartości pary w rdzeniu, spadek ciśnienia pary w separatorach, oscylacje ciśnienia do 0,6 MPa. Poziom wody w separatorze spada poniżej progu wyłączenia reaktora.

Bezpośrednio przed eksperymentem operatorzy elektrowni kilkakrotnie rozważali podjęcie działań, które mogły zapobiec awarii. Nie podobało im się zachowanie reaktora w odpowiedzi na działanie układu regulacji. Jednakże nie było gwarancji, że zostaliby oni pochwaleni za przerwanie doświadczenia. Prawdę mówiąc, wszystko wskazywało na to, że zostaliby oni ukarani za opóźnienie eksperymentu. Dyatlov miał opinię człowieka, który łatwo ulega irytacji, a w noc awarii był szczególnie niecierpliwy [5].

Chociaż radzieccy operatorzy elektrowni nie musieli starać się o maksymalizację dochodów finansowych, system komunistyczny stwarzał silne bodźce by zwiększać do maksimum produkcję dla dobra państwa i partii. Niepowodzenia lub oznaki słabości były często surowo krytykowane lub karane dymisją lub przesunięciem na gorszą pozycję w pracy. Podczas nocy 26 kwietnia jedynym, co operatorzy w Czarnobylu mogli przedstawić na usprawiedliwienie chęci przerwania eksperymentu, było uczucie niepewności co do zachowania reaktora.

Prawdopodobnie Akimov pocieszał się świadomością, że wie gdzie znajduje się przycisk do zrzutu prętów bezpieczeństwa i był gotów nacisnąć go w razie potrzeby. Nie mógł on wiedzieć, że naciśnięcie tego guzika spowoduje niebezpieczny wzrost mocy reaktora. Ci z czytelników, którzy nigdy nie mieli do czynienia z reaktorem jądrowym, mogą sobie łatwiej wyobrazić ten scenariusz, gdy pomyślą o przyczynie awarii jako o pedale hamulca w samochodzie, który bez wiedzy kierowcy przeobraził się w pedał gazu, podczas gdy samochód zjeżdża ze wciąż rosnącą prędkością ze stromej góry.

By zapobiec przedwczesnemu wyłączeniu reaktora, operator odłącza sygnały ciśnienia i poziomu wody od układu awaryjnych zabezpieczeń reaktora. O 1.22.30 zapas reaktywności wynosi około 6-8 prętów. Oznacza to, że współczynnik reaktywności przestrzeni parowych jest większy niż możliwości jego kompensacji. Ale operator nie zdaje sobie z tego sprawy i kontynuuje program.

O 1.22 operator zmniejsza gwałtownie dopływ wody zasilającej do bębnów separatorów pary. Temperatura wody na wlocie do rdzenia rośnie z opóźnieniem równym czasowi przepływu wody z separatorów do rdzenia. 1.23.04 operator odcina dopływ pary do turbiny. Przepływ wody przez rdzeń maleje, ponieważ 4 z 8 pomp są napędzane silnikiem zasilanym z wyłączonego turbozespołu.

Reaktor jest w stanie niestabilnym. Moc neutronowa rośnie.

1.23.10 operator wciska przycisk powodujący zrzut prętów bezpieczeństwa do rdzenia. Ale wskutek poprzednich błędów układ wyłączania awaryjnego jest mało skuteczny. Co więcej, w czasie pierwszych sekund, gdy przedłużacze prętów wypychają wodę z kanału, współczynnik próżni rośnie i moc reaktora gwałtownie rośnie.

Nadmiar reaktywności rośnie. Po 3 sekundach moc reaktora osiąga 530 MW. Operator słyszy odgłos prętów regulacyjnych uderzających o elementy rdzenia i odcina zasilanie elektryczne elektromagnesów, by spowodować awaryjny zrzut prętów bezpieczeństwa pod wpływem siły ciężkości.

Jest już jednak za późno. Przepływ chłodziwa maleje, frakcja pary rośnie, kryzys wrzenia, temperatura paliwa rośnie. Gdy ciepło zakumulowane w paliwie przekroczyło 1300 kJ/kg koszulki pękają, a ciekłe paliwo wytryskuje do chłodziwa. Następuje gwałtowne odparowanie wody, skok ciśnienia jest tak silny, że zawory zwrotne na liniach tłocznych za pompami zatrzaskują się.

Kanały paliwowe pękają, para i woda napływa do grafitu. Zawory za pompami otwierają się i woda płynie na nowo.

Połączenie dodatniego sprzężenia mocy z rosnącą temperaturą chłodziwa i przejściowym wzrostem mocy wskutek błędu konstrukcyjnego w układzie prętów bezpieczeństwa doprowadziło do nagłego i gwałtownego wzrostu mocy, która spowodowała stopienie paliwa, wyrzucenie go do wody, gwałtowną eksplozję parową i niemal całkowite zniszczenie reaktora. Skutki tej awarii były tym gorsze, że moderator grafitowy i inne materiały w budynku reaktora zapaliły się, co przyczyniło się do długotrwałych i dużych uwolnień produktów radioaktywnych do otoczenia.

Rys. 8 Przebieg zmian parametrów reaktora w Czarnobylu w chwili awarii 1. Moc względna, P/Po, %, zmiany najpierw wg skali po lewej stronie, 0-120%, potem wg skali po prawej stronie wykresu, od 0 do 48 000%, 2. reaktywność Δk/k od -1% do +5%,, 3 objętościowa zawartość pary wodnej, od 0 do 1,2 Dane wg. [1]

 

W wysokich temperaturach występuje gwałtowna reakcja Zr-para wodna:

Zr + 2 H₂O = ZrO₂ + 2H₂ + ciepło

To wydzielanie ciepła podczas reakcji egzotermicznej cyrkonu z parą wodną przyczynia się do samoczynnego grzania koszulki i wzrostu tempa reakcji. Procesy decydujące o przebiegu awarii przebiegają w reaktorze samorzutnie, z dodatnim sprzężeniem zwrotnym. Temperatura gwałtownie rośnie. Uwolniony wodór wydziela się z rdzenia.

O 1.23.48 usłyszano dwa wybuchy. To wodór wydzielony w reakcji Zr-H2O przepłynął do reflektora grafitowego i tam połączył się z powietrzem, które napłynęło po rozerwaniu zbiornika zawierającego grafit. Wybuchy niszczą reaktor i część budynku. Zaczyna się pożar.

Eksplozje wyrzuciły paliwo, elementy rdzenia i elementy konstrukcyjne wraz z silnie radioaktywnymi produktami rozszczepienia wysoko w powietrze i odsłoniły rdzeń na działanie atmosfery. Obłok dymu, produktów radioaktywnych i pyłu z rdzenia i z budynku uniósł się na wysokość kilometra nad EJ. Cięższe odłamki opadły w pobliżu EJ, ale lżejsze, łącznie z produktami rozszczepienia i wszystkimi gazami szlachetnymi zostały uniesione przez panujące wiatry na północny-zachód.

W zniszczonym bloku nr 4 trwa pożar, powodujący unoszenie obłoków dymu, pary i kurzu, a mniejsze ogniska pożaru występują także w sąsiedniej hali turbin i w różnych składach paliwa. Z pożarem walczy ponad 100 strażaków z elektrowni i wezwanych z sąsiedniej Prypeci i ci ludzie otrzymali największe dawki promieniowania. Pierwsi strażacy byli na miejscu pożaru o 1.28, do 2.20 ugaszono największe ogniska pożaru w hali turbin, a do 2.30 na dachu budynku reaktora. Pożar na zewnątrz ugaszono ostatecznie o 5.00, ale grafit palił się nadal. Intensywne spalanie grafitu powodowało wyrzucanie produktów rozszczepienia wysoko do atmosfery. Wobec braku obudowy zakrycie reaktora i przerwanie emisji było bardzo trudne. Dokonano tego zrzucając materiały osłonowe na płonący reaktora z helikopterów, z czym wiązało się znaczne narażenie radiacyjne lotników.

Fot. 1. Zniszczony blok nr 4 w elektrowni w Czarnobylu.

 

5. Działania poawaryjne i budowa sarkofagu

Po awarii stan reaktora był nieznany. Obawiano się, że w razie połączenia stopionego rdzenia z wodą może dojść do powtórnego stanu krytycznego i samoczynnego wzrostu mocy reaktora. Aby zmniejszyć to zagrożenie, na płonący reaktory zrzucano nie tylko worki z piaskiem mające powstrzymać emisję materiałów radioaktywnych, ale i bor, mający zabezpieczyć przed powtórną krytycznością reaktora. Ostatecznie po 10 dniach udało się zasypać reaktor i znacznie zmniejszyć szybkość emisji.

Zniszczony blok otoczono prowizorycznym sarkofagiem, budowanym w bardzo trudnych warunkach ze względu na silne promieniowanie.

W późniejszych latach stan sarkofagu pogarszał się, powstawały w nim duże pęknięcia i dziury, umożliwiające napływ deszczu do wnętrza sarkofagu, a nawet wejście zwierząt. Przez otwory w sarkofagu wydostaje się na zewnątrz pył radioaktywny. W dalszej perspektywie grozi zawalenie się jego struktury, co spowodowałoby dodatkowe uwolnienie materiałów radioaktywnych, głównie w postaci pyłu.

Nieczynna elektrownia jądrowa w Czarnobylu, obecnie w fazie likwidacji. Na zdjęciu (2006 r.) widoczny stary sarkofag nad blokiem nr 4 (fot. Vadim Mouchkin/IAEA, www.iaea.org)

Stany Zjednoczone we współpracy krajami grupy G-7, z Komisją Europejską i Rosją podjęły działania dla zbudowania nowej struktury osłonnej i usunięcia części istniejącego sarkofagu tak by zapewnić jego długotrwałą stabilność. W sierpniu 1996 r. rozpoczęto realizację „Międzynarodowego Projektu Schron”, który będą budować wspólnie instytucje ukraińskie, specjaliści z Czarnobyla i firm Unii Europejskiej. W maju 1997 roku międzynarodowy zespół fachowców zaproponował Plan Realizacji Schronu, w którym określono środki zabezpieczenia pracowników i środowiska, uchronienia sarkofagu przed zawaleniem się i zbudowania nowego schronu mającego otoczyć istniejący sarkofag. W planie przewidziano także opracowanie strategii usunięcia radioaktywnego paliwa z sarkofagu i umieszczenia go w bezpiecznej obudowie. Łączne koszty tych zadań oceniono na 758 mln. USD. Suma ta nie obejmuje kosztu samego usunięcia paliwa ani dekontaminacji i przywrócenia używalności terenu Czarnobyla.

W czerwcu 1997 roku Ukraina i kraje G7 zaakceptowały Plan Realizacji Schronu. Kraje G-7 zobowiązały się dać 300 mln USD dla pokrycia ogólnych kosztów schronu. W listopadzie 1997 r. przedstawiciele ponad 40 krajów wzięli udział w konferencji w Nowym Jorku i zobowiązali się dostarczyć dalsze 37 mln USD na budowę schronu.

Kraje G-7 wybrały Europejski Bank Odbudowy i Rozwoju do zarządzania finansami i zaangażowania firmy, która będzie zarządzać pracami przy budowie schronu. Przetarg na tę pracę wygrało konsorcjum firm Bechtel, Battelle i EDF. Ich personel pracuje w Czernobylu od maja 1998 roku.

Następna konferencja mająca na celu ustalenie zobowiązań finansowania schronu odbyła się w lipcu 2000 roku w Berlinie. Uczestnicy tej konferencji zobowiązali się dostarczyć dalsze 378 mln USD. Łącznie na potrzeby projektu zebrano 715 mln USD, co stanowi 93% potrzebnej sumy. Dzięki temu bank EBRD mógł kontynuować realizację planu budowy schronu.

Stabilizacja istniejącego sarkofagu i wzniesienie nowego schronu miały zakończyć się w 2005 roku. Dotychczas jednak projektu nie skończono, chociaż prace trwają i szereg etapów zostało już zakończonych i rozliczonych.

6. Działania dla poprawienia bezpieczeństwa pracujących jeszcze reaktorów RBMK

Awaria w Czarnobylu zapoczątkowała intensywne analizy w ówczesnym Związku Radzieckim, a także w innych krajach, zmierzające do odtworzenia przebiegu awarii i określenia jej przyczyn. Pierwszy raport przedstawiony przez Związek Radziecki i przyjęty jako podstawa raportu MAEA [1] nie wyjaśnił w pełni przyczyn awarii, między innymi nie przedstawił wpływu prętów bezpieczeństwa na przejściowy pozytywny skok reaktywności i mocy reaktora. Jednakże wkrótce potem analizy specjalistów zachodnich pozwoliły uzyskać pełniejszy obraz awarii, przedstawiony w drugim raporcie MAEA na ten temat [3].

Znalezienie technicznej przyczyny awarii trwało dłużej niż powinno, a to w dużej mierze wskutek wysiłków kół oficjalnych w dawnym ZSRR, które dążyły do osłaniania projektantów reaktora i ich potężnych szefów, a przerzucenia winy na mniej politycznie ustosunkowanych operatorów.

Błędy projektowe, które spowodowały wybuch parowy, można było usunąć przy pomocy kilku prostych poprawek, które obecnie wprowadzono już we wszystkich reaktorach RBMK. Zmniejszono także wielkość dodatniego współczynnika reaktywności. Dokonano tego kosztem zwiększenia wzbogacenia paliwa, czyli podwyższenia kosztów paliwa. Jak widać na rysunku 9, współczynnik reaktywności zmienia się w zależności od gęstości chłodziwa, czyli od zawartości pary w rdzeniu. Krzywa 1 pokazuje wyniki obliczone podczas projektowania reaktora, krzywa 2 to rzeczywista zależność w chwili awarii reaktora 26 kwietnia 1986 roku, a krzywa 3 pokazuje aktualne zmiany po wprowadzeniu modyfikacji do rdzenia reaktorów RBMK.

 

 

 

 

Różnica jest ogromna – przy obecnych parametrach wzrost mocy reaktora RBMK byłby znacznie wolniejszy, możliwy do opanowania przy pomocy prętów bezpieczeństwa. Na rysunku 10 widać jak wprowadzone zmiany wpływają na przebieg czasowy zamian reaktywności, a co za tym idzie – mocy reaktora.

Najwyżej leżąca krzywa to rzeczywisty przebieg zmian reaktywności podczas awarii, gdy w rdzeniuj było tylko 7 prętów bezpieczeństwa. Jak widać po około 2 sekundach od naciśnięcia przycisku mającego wyłączyć awaryjnie reaktor reaktywność wzrosła i zmalała poniżej zera dopiero po upływie 8 sekund, gdy już rdzeń reaktora uległ zniszczeniu. Krzywa 2 przedstawia zmiany reaktywności jakie zachodziłyby w przypadku gdyby w rdzeniu reaktora RBMK w chwili awarii było nie 7, ale 15 prętów, a dalsze krzywe pokazują (3) zmiany reaktywności przy działaniu zmodernizowanego obecnie układu awaryjnego wyłączenia rdzenia z 30 prętami bezpieczeństwa i (4) układu zmodernizowanego działającego łącznie z szybko działającym układem zabezpieczeń.

Charakter zmian jest oczywiście zupełnie inny. Tym niemniej, reaktory RBMK pozostają typem reaktorów, który w przypadku awarii z odparowaniem części wody samoczynnie zwiększa swą moc, zamiast zmniejszyć moc i wyłączyć się, jak to dzieje się w reaktorach z moderatorem wodnym (PWR, WWER i BWR). Niekorzystne charakterystyki neutronowe układu paliwo – woda - grafit pozostają nadal, choć zmniejszone przez wprowadzenie zwiększonego wzbogacenia paliwa, które nieco pogorszyło wskaźniki ekonomiczne rektora. Reaktorom RBMK brakuje też nadal pełnej obudowy bezpieczeństwa. Unia Europejska udziela pomocy technicznej krajom posiadającym reaktory RBMK dla podniesienia ich bezpieczeństwa, a Litwę i Ukrainę nakłoniła już do podjęcia decyzji o zamknięciu EJ z tymi reaktorami.

Obecnie wszystkie reaktory RBMK na Ukrainie zostały wyłączone. Bok nr. 4 został zniszczony podczas awarii w 1986 roku, blok nr. 2 zamknięto w pięć lat później po poważnym pożarze w maszynowni, a blok nr. 1 zamknięto w listopadzie 1996 roku. Ostatni pracujący reaktor w Czarnobylu, blok nr. 3, wyłączono 15 grudnia 2004 roku. Dla zastąpienia elektryczności utraconej wskutek zamknięcia Czarnobyla Komisja Europejska przyznała Ukrainie pożyczkę w wysokości 385 mln USD na zakończenie budowy dwóch reaktorów, które mają spełniać zachodnio europejskie wymagania w zakresie bezpieczeństwa jądrowego. EBRD ma zapewnić dalsze 215 mln USD.

Pierwszy z dwóch reaktorów RBMK w EJ Ignalina na Litwie wyłączono w grudniu 2004, drugi ma być wyłączony do końca 2009 roku. Reaktory RBMK w Federacji Rosyjskiej pracują nadal, ale nowych reaktorów RBMK już się nie buduje, a nowy blok projektowany dla EJ Sosnowy Bór będzie wyposażony w reaktor WWER z pasywnymi układami bezpieczeństwa.

Tak więc reaktory RBMK znikną ze sceny energetyki jądrowej, jako nieudana próba stworzenia oryginalnej konstrukcji reaktorów o dużej mocy, pozbawionych cech i systemów bezpieczeństwa uznawanych za niezbędne na całym świecie. Jednakże skutki zdrowotne, społeczne i polityczne awarii w Czarnobylu zaważyły silnie na rozwoju całej energetyki jądrowej, również tych typów reaktorów, które oparte były na zupełnie odmiennych zasadach i nie mogły ulec awarii takiej jak ta w Czarnobylu.

7. Jakie byłyby konsekwencje podobnych błędów operatorów w reaktorze PWR?

Po awarii w Czarnobylu, ówczesne władze ZSRR opublikowały oświadczenie, w którym winę za awarię złożono na operatorów. Aby dobitnie przekonać opinię publiczną, wytoczono im proces o pogwałcenie przepisów i skazano na kary więzienia. Jednakże później, między innymi wskutek analiz przeprowadzonych przez ośrodki bezpieczeństwa jądrowego w krajach OECD, okazało się, że choć operatorzy popełnili błędy, to jednak nie oni ponosili zasadniczą winę.

Dziś jasne jest, że potencjalne zagrożenie powodowane przez konstrukcję reaktora RBMK było ogromne. Zasadniczą odpowiedzialność za awarię ponoszą konstruktorzy reaktora i władze, które stworzyły warunki, w których bezpieczeństwo jądrowe i dozór jądrowy były bez znaczenia wobec względów politycznych.

Tym niemniej, to pierwotne oświadczenie władz radzieckich pozostaje do dziś w pamięci ludzi, którzy sądzą, że to głównie błędy operatorów doprowadziły do awarii. W konsekwencji, bezpieczeństwo wszystkich elektrowni jądrowych poddawane jest w wątpliwość, bo możliwość błędów ludzkich zawsze istnieje i jest nieodłącznym elementem analizy ryzyka.

W rzeczywistości, w przypadku gdyby w reaktorze PWR – najczęściej stosowanym na świecie - operatorzy popełnili wszystkie błędy, które wystąpiły w Czarnobylu, reaktor wyłączyłby się samoczynnie wskutek wewnętrznych sprzężeń zwrotnych. Do żadnej awarii nie doszłoby w ogóle. Możemy to sprawdzić krok po kroku, analizując kolejno błędy, jakie operatorzy popełnili, zgodnie z wyliczeniem w oficjalnym raporcie radzieckim przedstawionym w MAEA po awarii [1].

1. Obniżenie liczby prętów bezpieczeństwa w rdzeniu reaktora poniżej wartości dopuszczalnej. W reaktorach RBMK powoduje to obniżenie skuteczności układu zabezpieczeń, a w rozwiązaniu stosowanym w Czarnobylu doprowadziło do gwałtownego wzrostu mocy. W reaktorach PWR nie istnieje pojęcie minimalnego dopuszczalnej liczby prętów bezpieczeństwa w rdzeniu, układ zabezpieczeń zawsze działa skutecznie, niezależnie od pozycji początkowej prętów bezpieczeństwa. Błąd operatorów dotyczący liczby prętów nie miałby żadnego znaczenia w reaktorze PWR.

2. Obniżenie mocy poniżej wartości zaplanowanej. Było to związane z przełączeniem regulacji z układu lokalnego na integralny i wprowadziło reaktor RBMK w sytuację utrudniającą sterowanie. W reaktorze PWR taka sytuacja nie wystąpiłaby, bo nie ma lokalnego systemu sterowania. Gdyby jednak wskutek innych przyczyn moc spadła, to reaktor uległby wyłączeniu lub zostałby utrzymany w pracy, ale bez niestabilności, jakie wystąpiły w RBMK.

3. Włączenie dodatkowych pomp w pierwotnym obiegu chłodzenia. Spowodowało to podniesienie wydatku chłodziwa powyżej wartości dozwolonej i przybliżenie temperatury wody do temperatury nasycenia. Wskutek tego reaktor stał się niestabilny. W reaktorze PWR wszystkie pompy zawsze pracują, nie ma dodatkowych pomp, które operator mógłby włączyć, a co więcej podniesienie temperatury chłodziwa do temperatury nasycenia nie powoduje utraty stabilności, bo wystąpienie pary w rdzeniu powoduje obniżenie mocy reaktora, a nie jej wzrost. Ten błąd nie mógłby więc wystąpić w reaktorze PWR, a gdyby się zdarzył, to spowodowałby wyłączenie reaktora, a nie jego niestabilność.

4. Wyłączenie awaryjnego układu chłodzenia rdzenia (UACR). Operatorzy RBMK wyłączyli go by uchronić się przed niepożądanym zalewaniem rdzenia podczas eksperymentu. Praca bez UACR była pogwałceniem zasad bezpieczeństwa. Utrudniło to opanowanie sytuacji po uszkodzeniu paliwa. Błąd ten był możliwy dlatego, że w reaktorze RBMK UACR nie działa samoczynnie po spadku ciśnienia, lecz wymaga sterowania zdalnego zależnego od operatora. Wyłączenie UACR nie miało istotnego znaczenia w awarii w Czarnobylu, ale w reaktorze PWR byłoby po prostu niemożliwe.

5. Wyłączenie sygnałów powodujących awaryjne wyłączenie reaktora od wahań poziomu wody i od braku zasilania elektrycznego. Było to jaskrawe pogwałcenie zasad bezpieczeństwa. W reaktorze PWR operatorzy nie mają możliwości wyłączyć sygnałów awaryjnych, tak że błędy te nie mogłyby zaistnieć.

6. Błąd konstrukcyjny w układzie prętów bezpieczeństwa pokazany na rys. 7, który spowodował dalszy gwałtowny wzrost mocy w chwili, gdy moc reaktora już szybko rosła. Skutki tego błędu wynikały to ze sprzężeń neutronowych pokazanych na rys. 6, powodujących wzrost mocy po zmniejszeniu ilości wody w rdzeniu. W reaktorze PWR nawet w razie błędu w układzie zabezpieczeń wzrost mocy nie mógłby po prostu wystąpić.

7. Najważniejsze: zdolność RBMK do samoczynnego zwiększania swej mocy w warunkach awaryjnych. Choć wszystkie specjalne okoliczności wymienione powyżej wpłynęły na fatalny przebieg awarii w Czarnobylu, najważniejszym powodem awarii było dodatnie sprzężenie zwrotne między temperaturą a mocą reaktora. I rzeczywiście, moc reaktora nr 4 w Czarnobylu wzrosła 100 - krotnie zanim wybuch parowy przerwał ten proces. Był to proces gwałtowny, który przebiegał w ciągu kilku sekund. W reaktorze PWR lub BWR jest to fizycznie niemożliwe [4].

Porównanie cech reaktora RBMK w Czarnobylu i reaktorów PWR budowanych w krajach OECD pokazano w tablicy 1.

Tabl. 1 Porównanie cech reaktora RBMK w Czarnobylu i reaktorów PWR budowanych w krajach OECD

W Czarnobylu	W reaktorze PWR
Po wzroście temperatury moc reaktora
Rośnie	Maleje
Zrzut prętów bezpieczeństwa powoduje
Przejściowy wzrost mocy!	Wyłączenie reaktora
Układy bezpieczeństwa
Były zależne od operatora	Działają samoczynnie
Po błędach ludzi
Moc wzrosła aż do stopienia paliwa	Moc maleje, reeaktor wyłącza się
Reaktor zawiera
Rozżarzony grafit, pali się długo	Wodę, naturalne chłodziwo
W razie stopienia paliwa
Cez i jod wydzielały się z suchego rdzenia	Woda rozpuszcza i zatrzymuje cez i jod
Obudowa bezpieczeństwa
Nie istniała. Jod i cez unosiły się w górę w powietrze	Pełna obudowa bezpieczeństwa zatrzymuje wszystkie produkty rozszczepienia
Rozwiązania reaktora
Były tajne, nieznane poza ZSRR. Oparte na reaktorach wojskowych. Nie wykorzystano w nich doświadczeń innych krajów	Są szeroko znane, analizowane w setkach ośrodków, dostępne dla krytyków i przeciwników EJ, usprawniane przy wykorzystaniu doświadczeń całego świata
Urząd dozoru jądrowego
Słaby, podporządkowany celom politycznym	Silny, niezależny, oddzielony od produkcji
Zagrożenie po awarii
Objęło dużą część Ukrainy i Białorusi	Jest ograniczone do kilku kilometrów

 

 

LITERATURA:

1. 75 INSAG-1, Post-Accident Review Meeting on the Chernobyl Accident, IAEA, Vienna, 1986.

2. A. Strupczewski: Ochrona przed zagrożeniami po awariach w elektrowniach jądrowych, Biuletyn PSE, wrzesień 2005

3. The Chernobyl Accident: Updating of INSAG-1 A Report By The International Nuclear Safety Advisory Group, International Atomic Energy Agency, SAFETY SERIES No. 75-INSAG-7, Vienna, 1992

4. A. Strupczewski: Czy awaria taka jak w Czarnobylu może powtórzyć się w polskiej elektrowni jądrowej? Biuletyn PSE, październik 2005

5. Atomic, Energy insights, Volume 2, Issue 1, The Accident at Chernobyl, April 1996.