Безопасность АЭС: три функции, пять уровней защиты, пассивные системы

• 3основные функции безопасности
• 5уровней глубокоэшелонированной защиты по МАГАТЭ
• ≈ 6–7 %прежней мощности выделяет топливо сразу после остановки реактора
• 7уровней Международной шкалы ядерных событий INES

Три функции безопасности

Атомная станция отличается от любой другой тем, что её топливо остаётся опасным и после остановки: в нём накоплены радиоактивные продукты деления. Поэтому вся система безопасности АЭС сводится к трём задачам, которые нормы МАГАТЭ называют основными функциями безопасности:

1. Управление реактивностьюдержать цепную реакцию под контролем, в любой момент надёжно заглушить реактор и не дать реакции возобновиться.
2. Отвод тепла от топливав реакторе и в бассейне выдержки отработавшего топлива, причём не только во время работы, но и после остановки.
3. Удержание радиоактивных веществне выпустить их за пределы барьеров и защитить людей от излучения.

Функции связаны в цепочку. Если реакцию не заглушить, тепла станет больше, чем способно унести охлаждение. Если тепло не отвести, топливо перегреется, оболочки твэлов разрушатся, и под угрозой окажется удержание. Поэтому для каждой функции в проекте предусмотрено несколько независимых способов её выполнить.

Тепло, которое не выключается

Заглушить реактор просто: поглощающие стержни под собственным весом за несколько секунд падают в активную зону — как это устроено, рассказано в статье «Как устроен ядерный реактор». Но продукты деления продолжают распадаться и греть топливо. Это остаточное тепловыделение: сразу после остановки — около 6–7 % прежней мощности, через час — около 1 %, через сутки — около 0,5 %.

Проценты кажутся скромными, пока не перевести их в мегаватты. Тепловая мощность реактора ВВЭР-1200 — около 3200 МВт. Значит, сразу после остановки он выделяет около 200 МВт тепла, через час — около 30 МВт, через сутки — около 15 МВт, и отводить это тепло нужно днями и неделями. Если охлаждение пропадёт, топливо может перегреться и разрушиться без всякой цепной реакции. Именно так развивалась авария на японской АЭС «Фукусима-1» в 2011 году.

Остаточное тепловыделение ВВЭР-1200 после остановки

• ≈ 200 МВтсразу после остановки (6–7 % мощности)
• ≈ 30 МВтчерез час (≈ 1 %)
• ≈ 15 МВтчерез сутки (≈ 0,5 %)

Тепловая мощность реактора ВВЭР-1200 — около 3200 МВт; отводить остаточное тепло нужно днями и неделями

Глубокоэшелонированная защита

Главный принцип безопасности АЭС называется глубокоэшелонированной защитой. Термин пришёл из военного дела: оборона строится из нескольких линий, и прорыв одной ещё не означает поражения. На атомной станции «линии обороны» бывают двух видов — физические барьеры и уровни защиты.

Физические барьеры стоят между радиоактивными веществами и окружающей средой: топливная таблетка, оболочка твэла, граница первого контура и герметичная оболочка вокруг реакторной установки. Подробно о них — в статье «Радиация и защита от неё». Барьеры отвечают на вопрос, что удерживает радиоактивность. Уровни защиты — на вопрос, как сберечь сами барьеры.

МАГАТЭ выделяет пять уровней. Следующий вступает в дело, если не справился предыдущий, а сами уровни делают по возможности независимыми, чтобы отказ на одном не ослаблял другие.

Проектной называют аварию, которую проектировщики заранее рассматривают и для которой предусматривают системы безопасности. Для ВВЭР самая тяжёлая из них — разрыв главного циркуляционного трубопровода полным сечением; на неё, в частности, рассчитана гермооболочка. Запроектные аварии выходят за эти рамки — по исходному событию или по числу наложившихся отказов, а самые тяжёлые из них сопровождаются плавлением активной зоны. Четвёртый уровень исходит из того, что даже крайне маловероятные сценарии нужно продумать заранее.

В российских федеральных нормах и правилах НП-001-15 уровней тоже пять, и логика та же. Первый уровень начинается задолго до пуска станции — с качества каждого изделия, которое на неё поставляют; о том, как его обеспечивают, рассказано в статье «Оборудование для АЭС».

Как проектируют системы безопасности

Системы безопасности — насосы аварийного охлаждения, дизель-генераторы, клапаны, датчики, автоматика — вступают в работу, когда что-то пошло не так. Поэтому главный вопрос к ним: что будет, если откажут они сами. Ответ дают несколько принципов.

• Резервирование. Система состоит из нескольких одинаковых независимых каналов, и каждый способен выполнить задачу в одиночку. Например, системы аварийного охлаждения активной зоны энергоблока с ВВЭР-1000 трёхканальные.
• Принцип единичного отказа. Система должна выполнить свою функцию при любой аварии, для которой она предназначена, даже если в этот момент откажет любой один её элемент: не запустится насос, не откроется клапан.
• Разнообразие. Одинаковые каналы могут отказать разом по одной причине — из-за ошибки в конструкции, дефекта партии комплектующих, общего внешнего воздействия. Это отказ по общей причине, и против него одну функцию поручают устройствам, работающим на разных принципах. Реактор глушат и стержнями, и вводом раствора бора, тепло отводят и насосами, и естественной циркуляцией, электропитание дают и дизель-генераторы, и аккумуляторные батареи.
• Физическое разделение. Каналы размещают в разных помещениях, разделённых противопожарными преградами, а кабели прокладывают разными трассами. Пожар, затопление или разрыв трубопровода должны вывести из строя не больше одного канала.
• Отказобезопасность. Конструкцию строят так, чтобы отказ переводил её в безопасное состояние. Классический пример — аварийная защита: стержни удерживают электромагнитные приводы, и при пропадании питания стержни сами падают в активную зону.

Есть и защита, заложенная в физику самого реактора. ВВЭР проектируют так, что при росте температуры и при вскипании воды цепная реакция ослабевает сама, без вмешательства автоматики. Такие свойства называют внутренней самозащищённостью.

Активные и пассивные системы

Активным системам безопасности нужна внешняя энергия: насосы и вентиляторы работают от электросети, а включает их сигнал автоматики или оператор. Они мощные и гибкие, но зависят от электроснабжения, поэтому его на АЭС резервируют многократно: внешняя сеть, резервные дизель-генераторы, аккумуляторные батареи.

Пассивные системы работают без электропитания и без вмешательства персонала. Их движущие силы — сила тяжести, давление заранее сжатого газа и естественная циркуляция. Последняя знакома по старым домовым системам отопления без насосов: нагретая вода легче холодной и поднимается, остывшая опускается, и в замкнутом контуре сам собой устанавливается поток.

Активные и пассивные системы безопасности

В современных проектах пассивные системы не заменяют активные, а дополняют их

Простой пример — гидроёмкости системы аварийного охлаждения активной зоны: большие сосуды с раствором борной кислоты под давлением азота. От реактора их отделяют обратные клапаны. Пока давление в первом контуре высокое, клапаны закрыты. Если при течи оно упадёт ниже давления азота, клапаны откроются сами, и раствор пойдёт в реактор.

У пассивных систем есть и слабые стороны. Движущие силы у них невелики, поэтому теплообменники и баки получаются крупными, а работу системы труднее проверить на действующем блоке. Запас воды в баках рассчитан на определённое время, за которое персонал должен подключить другие средства. Да и пассивность бывает разной: некоторые такие системы запускает сигнал — заслонку или клапан открывает привод от аккумуляторов, — а дальше они работают сами. Поэтому в современных проектах пассивные системы не заменяют активные, а дополняют их.

Что защищает энергоблок с ВВЭР-1200

Энергоблоки с ВВЭР-1200 относят к поколению «3+»: к активным системам безопасности в них добавлены пассивные и средства управления тяжёлыми авариями. Кроме уже описанных гидроёмкостей, главные из них такие.

Двойная гермооболочка. Внутренняя — из преднапряжённого железобетона со стальной облицовкой — держит давление и температуру при самой тяжёлой проектной аварии. Наружная защищает реакторную установку от внешних воздействий: урагана, взрывной волны, падения самолёта. Воздух из пространства между оболочками выходит через фильтры, поэтому возможные протечки из внутренней оболочки не попадают наружу напрямую.

Система пассивного отвода тепла (СПОТ) рассчитана на случай, когда станция полностью потеряла электропитание. На Нововоронежской АЭС-2 она состоит из четырёх независимых каналов. Пар из парогенератора поднимается в теплообменники в верхней части здания реактора, отдаёт тепло атмосферному воздуху и конденсируется, а вода самотёком возвращается обратно. Нагретый воздух по воздуховодам уходит вверх, к выходному коллектору над куполом, — тягу создаёт сама разница температур, как в печной трубе. В проектах других станций с ВВЭР-1200 теплообменники СПОТ стоят в больших баках с водой наверху здания реактора.

Устройство локализации расплава, или ловушка расплава, рассчитано на крайне маловероятную аварию с расплавлением активной зоны. Это стальной сосуд под корпусом реактора, заполненный «жертвенным» материалом — в основном оксидами железа и алюминия. Если расплав проплавит корпус, он стечёт в ловушку, смешается с жертвенным материалом и отдаст ему часть тепла, а сам сосуд снаружи охлаждается водой. Так расплав удерживают внутри гермооболочки. Впервые такую ловушку установили на энергоблоке с ВВЭР-1000 Тяньваньской АЭС в Китае.

Каталитические рекомбинаторы водорода. Если топливо сильно перегреется, циркониевые оболочки твэлов начнут реагировать с паром, и выделится водород. Скопившись под оболочкой, он может взорваться. Рекомбинатор — металлический короб с пластинами, покрытыми катализатором: водород соединяется на них с кислородом воздуха в воду. Нагретый реакцией газ поднимается и сам протягивает через короб новые порции воздуха, так что ни питание, ни сигнал не нужны.

Упрощённый разрез реакторного здания. Двойная гермооболочка удерживает радиоактивные вещества, гидроёмкости заливают активную зону водой без насосов, теплообменники пассивного отвода тепла наверху охлаждаются воздухом за счёт естественной тяги, а под реактором стоит ловушка расплава.

Уроки аварий

Требования к безопасности развиваются в том числе на опыте аварий. Сильнее всего отрасль изменили три из них.

Три аварии, которые сильнее всего изменили отрасль

• 1979Три-Майл-Айленд, США: главный урок — человеческий фактор
• 1986Чернобыльская АЭС: реактор должен сам гасить рост мощности
• 2011«Фукусима-1»: отказ по общей причине пришёл извне — стресс-тесты АЭС

В 1979 году на втором блоке американской АЭС Три-Майл-Айленд клапан компенсатора давления остался открытым, а персонал, неверно поняв показания приборов, уменьшил подачу аварийной воды. Активная зона частично расплавилась, но корпус реактора и гермооболочка выдержали, и выброс был небольшим. Главным уроком стал человеческий фактор: пересмотрели подготовку операторов, устройство щитов управления и аварийные инструкции.

В 1986 году на Чернобыльской АЭС неуправляемый рост мощности разрушил реактор РБМК-1000 — о событиях и выводах рассказано в статье «История атомной отрасли». Для безопасности это прежде всего урок первой функции: реактор должен сам гасить рост мощности, а аварийная защита — срабатывать быстро в любом режиме. После аварии в обиход вошло понятие культуры безопасности.

11 марта 2011 года у побережья Японии произошло сильнейшее за всю историю наблюдений в стране землетрясение. Работавшие реакторы АЭС «Фукусима-1» заглушились автоматически, станция потеряла внешнее электроснабжение, и запустились дизель-генераторы. Меньше чем через час пришло цунами: волна намного превысила высоту, на которую была рассчитана защита площадки, и затопила её. Станция осталась почти без электропитания, охлаждение трёх работавших реакторов в конце концов прекратилось, и топливо в них расплавилось. Взрывы водорода разрушили верхние части зданий нескольких энергоблоков, произошёл выброс радиоактивных веществ, жителей окрестных районов эвакуировали.

Фукусима показала, что отказ по общей причине может прийти извне и затронуть всю площадку сразу. После неё во многих странах, в том числе в России, проверили устойчивость АЭС к экстремальным внешним воздействиям — такие проверки называют стресс-тестами. Станции дополнительно оснастили мобильными дизель-генераторами и насосными установками, подготовили точки их подключения и запасы воды, усилили защиту от водорода. Больше внимания стали уделять охлаждению бассейнов выдержки и авариям, которые затрагивают сразу несколько блоков.

Шкала INES: как оценивают события

Чтобы быстро и понятно сообщать о событиях на ядерных объектах, в 1990 году ввели Международную шкалу ядерных событий — INES. Она устроена так, что каждый следующий уровень примерно в десять раз серьёзнее предыдущего:

• уровни 1–3 — инциденты: аномалия, инцидент, серьёзный инцидент;
• уровни 4–7 — аварии: с локальными последствиями, с широкими последствиями, серьёзная и крупная;
• события, не значимые для безопасности, относят к уровню 0 — «ниже шкалы».

Уровень присваивают по трём признакам: последствиям для людей и окружающей среды, состоянию барьеров и тому, насколько ослабла глубокоэшелонированная защита. Чернобыльская авария и авария на Фукусиме оценены высшим, седьмым уровнем, Кыштымская авария 1957 года на Южном Урале — шестым, Три-Майл-Айленд — пятым. Для анализа безопасности шкала не предназначена: её задача — объяснить масштаб события на понятном языке.

Термины

• Функции безопасностиТри основные задачи защиты АЭС: управление реактивностью, отвод тепла от топлива и удержание радиоактивных веществ.
• Остаточное тепловыделениеТепло от распада продуктов деления, которое топливо выделяет и после остановки реактора.
• Глубокоэшелонированная защитаПринцип безопасности: несколько физических барьеров и несколько независимых уровней мер, чтобы отказ одного не приводил к выбросу радиоактивности.
• Проектная аварияАвария, которую проектировщики заранее рассматривают и для которой предусматривают системы безопасности, ограничивающие её последствия.
• Запроектная аварияАвария, выходящая за рамки проектных по исходному событию или числу отказов; самые тяжёлые сопровождаются плавлением активной зоны.
• Принцип единичного отказаТребование, чтобы система безопасности выполняла свою функцию при отказе любого одного её элемента.
• Отказ по общей причинеОдновременный отказ нескольких элементов или каналов по одной причине — из-за пожара, затопления, общей ошибки в конструкции.
• Пассивная система безопасностиСистема, которая работает без электропитания и действий персонала — за счёт силы тяжести, давления газа, естественной циркуляции.

Частые вопросы

Что такое глубокоэшелонированная защита АЭС?

Это принцип, при котором безопасность обеспечивают несколько последовательных физических барьеров и несколько уровней мер по их сохранению. Если не справится один уровень, в дело вступает следующий, а отказ одного барьера не приводит к выходу радиоактивности наружу.

Почему реактор нужно охлаждать после остановки?

Продукты деления продолжают распадаться и выделять тепло: сразу после остановки — около 6–7 % прежней мощности, через сутки — около 0,5 %. Без охлаждения топливо может перегреться и разрушиться даже без цепной реакции.

Чем пассивные системы безопасности отличаются от активных?

Активным системам, например насосам аварийного охлаждения, нужны электропитание и сигнал на запуск. Пассивные работают без питания и без участия персонала — за счёт силы тяжести, давления сжатого газа и естественной циркуляции.

Что такое ловушка расплава?

Это устройство локализации расплава — стальной сосуд с жертвенным материалом под корпусом реактора. При тяжёлой аварии с расплавлением активной зоны он принимает расплав, удерживает и охлаждает его внутри гермооболочки.

Что означают уровни шкалы INES?

Международная шкала ядерных событий насчитывает семь уровней: с 1 по 3 — инциденты, с 4 по 7 — аварии, а события, не значимые для безопасности, относят к уровню 0. Каждый следующий уровень примерно в десять раз серьёзнее предыдущего.