гладко было на бумаге, да забыли про овраги

[BabyDi]

http://allthingsnuclear.org/

6 июня 2010 операторы смены на АЭС Brunswick в Уилмингтоне, Северная Каролина, объявили тревогу номер-3, третью по 4-бальной шкале ЧП. Причиной был самопроизвольный выпуск пртивопожарного газа Halon (фреон) в подвал здания аварийных дизель-генераторов. Фреон действует ровно как углекислый газ в привычных огнетушителях --- душит огонь, вытесняя кислород. В дизельной огня не было, но из-за стравленного в помещение фреона сотрудникам было бы нечем дышать, так что они покинули помещение.

Само собой, дежурный персонал на станции присутствует круглосуточно и каждодневно. Когда случается ЧП вне дневной смены, как оно было со стравленным фреоном, то кнопка номер-3 запускает процесс немедленного оповещения сотрудников по домам, чтобы они немедленно ехали на станцию и заняли свои боевые посты.

К руководству ЧП немедленно приступают три центра: Технический центр (the Technical Support Center), который направляет действия операторов в ситуации ЧП, Операционный центр (the Operations Support Center) пo ремонту, замене/подмене и перенастойке/переключениям вышедшего из строя оборудования, и Центр Координации (the Emergency Operations Facility) по взаимодействию между АЭC и местными, штатскими и федеральными властями по урегулированию ЧП.

В прошлом веке персонал сзывали на АЭС телефонными звонками, тыча пальцем в списки с их номерами телефонов. В 21-м веке на замену пришла автоматическая система одномоментного электронного оповещения специально отобранных групп сотрудников.

Но в Брансвике в то злополучное лето система 21-го века досталась застрявшим в 20-м веке сoтрудникам. Ответсвенный по безопасности на смене распорядился запустить системy ЧП. После пяти безуспешных попыток служба безопасности доложила, что они без понятия, как активировать систему.

Ответственный по смене отыскал дежурного по безопасности контрольного зала и приказал запустить систему. После трех провальных попыток дежурный развел руками. Наконец, через час после тревоги один сотрудник сумел иницировать посылку вызова персонала на станцию прямо из дому. Наконец, через 2 с половиной часа на всех боевых постах обьявился персонал, на какие-то 1 час 15 минут после положенного времени.

Эх, да если бы это было единственным технологическим глюком на Брансвик!

Примерно когда отеветственный по безопасности на смене распорядился вызывать сотрудников на ЧП, Техническому руководителю смены (the Shift Technical Advisor (STA)) было указано запустить систему аварийного контроля (the emergency response data system (ERDS)). И STA и ERDS были дополнениями к стандартному набору аварийных мер, включенными по урокам аварии на Three Mile Island в 1979. На посту STA круглосуточно сидели сотрудники, хорошо натасканные для технической поддержки операторов зала БЩУ (попросту контрольного зала). А ERDS представляет из себя компьютерную систему, которая запускает непрерывную выдачу ключевых параметров о ЧП на АЭС местным, штатским и федеральным властям.

Но STA был без понятия, как запустить саму ERDS. После нескольких безуспешных попыток он связался по телефону с дежурнам спецом по ядерному ИТ. Спец был беспомощен, но знал еще одного спеца, который может сможет? Тот тоже оказался бестолочью, но позвонил еще одному, кто смог запустить EDRS дистанционно. Это случилось на 80 минуте ЧП, на всего-то 20 минут позже положенного.

После разбора полетов Комиссия по Ядерному Регулированию (NRC) выписала владельцам АЭС Белую Метку (уровень 3 по 4-балльной шкале) за проволочки с аварийным вызовом персонала и Зеленую Метку на балл ниже за проволочки с запуском ERDS.

На зaметку

За десяток лет до этого, на АЭС Indian Point в штате Нью Йорк был затык в аварийной ситуации, так как один сотрудник уволок домой один единственный ключ от комнаты контроля в случае ЧП. Пресонал беспомощно тыкался в закрытую дверь по другую сторону от выключенной системы аварийного контроля. В Брансвике все компьютеры, все-все было доступно, но толку ноль, так как никто не знал, как оно все включается.

Bcе такие затыки возникают только при реальных ЧП, но не всплывают в ходе проверок систем безопасности. Почему? Да потому, что все такие проверки плановые, о них известно за недели до события, все на своем посту и каждый свою фитюльку проверяет до теста не раз и не два. А ЧП случаются непланово, и дежурный персонал вынужден кидаться на аппаратуру, которую никто за сутки до этого не привел в штатное рабочее состояние.

Со всеми планами на случай ЧП все одно и то же: гладко было на бумаге, да забыли про овраги - а по ним ходить.


Еще одна из веселых историй из загашника Дэвида Локбаума:

http://allthingsnuclear.org

Нет дыма без... потопа?

17 июня 1998 планово-профилактический ремонт на Columbia Generating Station in Richland, Washington, близился к конце и реактор должны были вскорости перезапустить. Ремонтники в дизельной резали и сминали в металлолом трубы и в процессе пошел дымок. Детекторы дыма под потолком его почуяли и пошла команда открыть краны спринклеров.

Но из умных сприклеров ничего не потекло: их форсунки были все еще закрыты легкоплавкими мембранами, которые не расплавились, так как огня-то не было. Поскольку вода из резервного бачка ушла в трубы к форсункам, тут же включились четыре противопожарных насоса и закачали воду в бачок в таком пожарном режиме, что он переполнился и вода бурно пошла по длинной трубе к клапану и гидравлическим ударом вырвала его с мясом и пошла заливать помещение. Пока рабочие остановили взбесившиеся насосы, вылилось 163,000 галлонов (примерно 600 кубометров) воды.

Подумаешь? Но вырванный с мясом запор был в вертикальной трубе, что шла вверх по летничной клетке реакторного корпуса. Вода радостно потекла по лестничной клетке и через водонепроницаемую, но толком не закрытую дверь, проникла в помещение в подвале, где сидел насос системы удаления остаточного тепла (то самое, что отказало в Фукусиме и вызвало расплавление топлива в реакторах). Вода лилась и лилась, пока электромотор насоса не ушел под воду.

Так как воды в бачке хватало, то она пошла искать и нашла себе подходящю дренажную дыру в полу насосной. Дренажная дыра через трубу сообщалась с соседней насосной системы низкого давления для опрыскивания активной зоны. Умный клапан в дренажной трубе должен был автоматически перекрыть ее, чтобы потоп из одного зала не мог пройти в другой. Но он этого не сделал, и закрыть его дистанционно из контрольного зала оказалось невозможно. Мотор в зале системы низкого давления для опрыскивания активной зоны благополучно утоп.

В конце концов потоп убил эту систему и все три насоса удаления остаточного тепла - т.е., всю аварийную систему низкого давления на АЭС! Напомним, что реактор был в холодном останове с открытым колпаком, т.е., без давления. По этой причине охлаждение активной зоны системой высокого давления, которую потоп не затронул, было невозможно.

К невероятной удаче, смехотворный вариант когда потоп преградил путь к охлаждению реактора холодной водой, из теории реальностью не стал. Хотя реактор и был в холодном останове, в нем наряду со свежим было и облученное топливо, в котором шло остаточное тепловыделение. От последней цепной реакции прошло уже заметное время, но если бы лопнула подходящая труба и вода из реактора вытекла при беспомощных контурах охлаждения и низкого и высокого давления, то облученное топливо перегрелось бы.

Разбор полетов показал, что плохо прикрытая водонепроницаемая дверь не при делах. Оказывается, по конструкции она должна была не выпускать воду из насосной, но не была сконструирована сдерживать внешний потоп.

Что берем на заметку?

На АЭС многоступенчатая система защиты, много контуров охлаждения воды, запасных насосов, предотвращения выбросов радиоактивности... Но все эти ступени без толку, если какой-то один развороченный затвор может загубить всю систему охлаждения контурами низкого давления, когда система высокого давления беспомощна.

@темы: интересно, не моё