Авария на АЭС Три-Майл-Айленд () — крупнейшая авария в истории коммерческой атомной энергетики США, произошедшая 28 марта 1979 года на втором энергоблоке станции по причине своевременно не обнаруженной утечки теплоносителя первого контура реакторной установки и, соответственно, потери охлаждения ядерного топлива. В ходе аварии произошло расплавление около 50 % активной зоны реактора. Помещения АЭС подверглись значительному радиоактивному загрязнению, однако радиационные последствия для населения и окружающей среды оказались несущественными. Аварии присвоен уровень 5 по шкале INES. Впоследствии энергоблок подвергся дезактивации, но так и не был восстановлен (был законсервирован).
Авария усилила уже существовавший кризис в атомной энергетике США и вызвала всплеск антиядерных настроений в обществе. Хотя всё это и не привело к мгновенному прекращению роста атомной энергетической отрасли США, её историческое развитие было остановлено. После 1979 и до 2012 года ни одной новой лицензии на строительство АЭС не было выдано, а ввод в строй 71 ранее запланированной станции был отменён.
Результаты расследования аварии привели к переосмыслению стандартов безопасности АЭС и роли в ней человеческого фактора. Комиссия по ядерному регулированию США была реорганизована, а надзор за эксплуатацией атомных станций усилен.
Хронологическое описание аварии
Аварийная остановка реактора
В ночь с 27 на 28 марта 1979 года энергоблок № 2 работал на 97 % мощности. Непосредственно перед началом аварийных событий системы энергоблока работали в штатном режиме, за исключением двух известных для персонала проблем. Во-первых, это постоянная небольшая протечка теплоносителя через затворСогласно ГОСТ 24856-2014 «Арматура трубопроводная. Термины и определения», затвор — совокупность подвижных и неподвижных элементов арматуры, образующих проходное сечение и соединение, препятствующее протеканию рабочей среды одного из клапанов компенсатора давления, из-за чего в сбросном трубопроводе держалась повышенная температура, а избыток среды из бака-барботёра приходилось сливать примерно раз в 8 часов. Во-вторых, при осуществлении регулярной процедуры выгрузки (замены) ионообменной смолы из фильтра конденсатоочистки второго контура произошло блокирование (закупоривание) смолой трубопровода выгрузки, и около 11 часов предпринимались попытки продуть его смесью сжатого воздуха и воды. Наиболее вероятно, что возникшие при выполнении этой операции неполадки стали первым звеном во всей последующей цепи аварийных событий.
Предположительно, вода от одного из фильтров конденсатоочистки через неисправный обратный клапан попала в систему сжатого воздуха, который использовался в том числе и для управления пневматическими приводами арматуры. Конкретный механизм воздействия воды на функционирование системы так и не был установлен, известно лишь то, что в 04:00:36 (-0:00:01 — время от условной точки отсчёта) произошло неожиданное единовременное срабатывание пневмоприводов и закрытие всей арматуры, установленной на входе и выходе из фильтров конденсатоочистки. Поток рабочей среды второго контура оказался полностью перекрыт, последовательно отключились конденсатные, питательные насосы и турбогенератор. Мгновенно изменился баланс между тепловой мощностью, потребляемой вторым контуром станции, и мощностью, производимой в реакторной установке, из-за чего в последней стали расти температура и давление.
Возможность возникновения подобной аварийной ситуации была учтена при проектировании станции. Для отвода от реакторной установки теплоты, производимой остаточным энерговыделением, была предусмотрена отдельная система аварийной подачи питательной воды в парогенераторы из баков запаса конденсата, в обход основного оборудования второго контура. Персонал также был специально обучен управлению станцией в таких условиях. Переходный процесс занял несколько секунд, за которые автоматически, без участия операторов, произошло следующее: 04:00:37 (00:00:00) — остановка турбогенератора; 04:00:37 (00:00:00) — запуск насосов системы аварийной подачи питательной воды в парогенераторы; 04:00:40 (00:00:03) — срабатывание электромагнитного клапана компенсатора давления (из-за повышения давления в реакторной установке выше 15,5 МПа); 04:00:45 (00:00:08) — срабатывание аварийной защиты реактора (из-за повышения давления в реакторной установке выше 16,2 МПа), остановка самоподдерживающейся цепной ядерной реакции; 04:00:49 (00:00:12) — снижение давления в реакторной установке ниже 15,2 МПа (так как энерговыделение в реакторе снизилось).
Операторам оставалось лишь убедиться в срабатывании автоматики, произвести необходимые переключения в электрической части станции и приступить к контролируемому расхолаживанию реактора. Необходимость последнего обусловлена наличием остаточного энерговыделения: сразу после остановки тепловая мощность реактора достигает 160 МВт, через час снижается до 33 МВт, через десять часов — до 15 МВт, а затем уменьшается сравнительно медленно.
Утечка теплоносителя
В типовом переходном режиме, связанном с внезапным прекращением циркуляции во втором контуре станции, на этот раз существовало несколько отклонений, о которых персонал станции ещё не догадывался. Во-первых, задвижки на напоре аварийных питательных насосов оказались ошибочно закрыты и охлаждение через парогенераторы было временно потеряно (ошибочное состояние задвижек было определено уже через 8 минут и не оказало значительного влияния на последствия аварии). Во-вторых, что гораздо важнее, электромагнитный клапан компенсатора давления по неизвестной причине не закрылся после снижения давления в реакторной установке, и происходила непрерывная потеря теплоносителя из первого контура с расходом приблизительно 50 /ч (в перерасчёте на жидкость). Фактически это означало, что на станции имелась нераспознанная персоналом авария, связанная с «малой» течью теплоносителя (в противовес «большой» течи, возникающей при разрыве трубопроводов максимального диаметра).
Действуя по стандартной при аварийной остановке реактора процедуре, операторы предприняли шаги для компенсации ожидаемого уменьшения объёма теплоносителя первого контураНапример, при изменении температуры с 300 до 250 °C и давлении 15 МПа удельный объём воды уменьшается на 11 %.: подача воды (подпитка) в реакторную установку была увеличена, а отбор её на очистку (продувка) уменьшен. Несмотря на корректирующие действия операторов, к 04:01:25 (+00:00:48) уровень в компенсаторе давления снизился с номинальных 6300 до 4000 мм, а в 04:02:38 (+00:02:01) давление в реакторной установке упало ниже 11,3 МПа и автоматически включились насосы системы аварийного охлаждения реактора, подающие в первый контур воду под высоким давлением с расходом в 230 /ч и предназначенные для компенсации утечек.
Не подозревая о наличии течи и наблюдая быстрый рост уровня воды в компенсаторе давления (7400 мм к 04:04:05 (+00:03:28)), операторы посчитали такую подпитку явно избыточной. Таким образом, в 04:05:15 (+00:04:38) был отключён один из насосов аварийного охлаждения и снижена подача воды в первый контур до 6 /ч, кроме того, была предпринята попытка кратковременно увеличить отбор теплоносителя через линию продувки вплоть до 36 /ч. Эти действия лишь ухудшили ситуацию, давление продолжило снижаться, и к 04:06:07 (+00:05:30) вода в первом контуре достигла состояния насыщения (кипения) при 9,2 МПа и 305 °C. Образовавшийся в активной зоне пар вытеснял воду в компенсатор давления, создавая иллюзию полного заполнения жидкостью первого контура.
Длительный сброс среды первого контура через неисправный электромагнитный клапан вызвал переполнение бака-барботёра, из-за чего в 04:03:50 (+00:03:15) сначала сработал его предохранительный клапан, а затем в 04:15:25 (+00:14:48) произошло разрушение защитной разрывной мембраны, после чего горячая вода и пар стали поступать в помещения гермооболочки.
Примерно к 04:26:00 (+00:25:00) давление в первом контуре достигло значений около 7 МПа. Однако, с точки зрения операторов, состояние реакторной установки казалось относительно стабильным, хотя и необычным. Это обманчивое впечатление сохранялось до тех пор, пока работа главных циркуляционных насосов не стала ухудшаться из-за перекачивания неоднородной пароводяной среды, плотность которой снижалась в результате продолжавшегося кипения теплоносителя. Сильные вибрации вынудили операторов в 05:14:06 (+01:13:29) отключить насосы со стороны парогенератора «B», а в 05:41:22 (+01:40:45) по той же причине были остановлены насосы со стороны парогенератора «A». К этому времени было потеряно около 120 теплоносителя (более 1/3 от объёма первого контура).
После остановки циркуляции в первом контуре произошло разделение жидкой и паровой сред, пар занял верхние участки контура, а граница кипения теплоносителя в реакторе установилась примерно на 1 метр выше верхней плоскости активной зоны. В дальнейшем в результате кипения и сброса среды через электромагнитный клапан уровень в реакторе неуклонно снижался, и уже с 05:52:04 (+01:51:57) началось осушение активной зоны.
Реакция операторов Сложившаяся ситуация с течью теплоносителя из верхнего (парового) объёма компенсатора давления не была учтена при проектировании АЭС, и подготовка персонала станции для управления реакторной установкой в таких условиях была недостаточной. Операторы столкнулись с симптомами, которых не понимали: сочетание снижавшегося давления и растущего уровня в компенсаторе давления не было описано в эксплуатационной документации и не рассматривалось при их тренировке. С другой стороны, по мнению комиссии, проводившей расследование, правильное понимание базовой информации, предоставляемой приборами, позволило бы операторам исправить положение.
Основной вклад в развитие аварийной ситуации внесли как неспособность операторов вовремя распознать утечку через неисправный клапан, так и их вмешательство в автоматическую работу системы аварийного охлаждения. Устранение любого из этих факторов превратило бы аварию в сравнительно малозначительный инцидент. С точки зрения безопасности, отключение насосов аварийного охлаждения является более значимой ошибкой, так как всегда можно представить себе случай возникновения протечки, которую невозможно устранить закрытием арматуры.
Анализ действий персонала показал неудовлетворительное понимание им основных принципов работы реакторов типа PWR, одним из которых является поддержание достаточно высокого давления в установке для предотвращения вскипания теплоносителя. Обучение операторов было нацелено прежде всего на их работу при нормальной эксплуатации, поэтому, наблюдая конфликтующие симптомы, персонал предпочёл отдать приоритет регулированию уровня в компенсаторе давления, а не обеспечению непрерывной работы системы аварийного охлаждения, способной поддерживать высокое давление в контуре при протечках. Операторы не восприняли всерьёз автоматическое включение системы безопасности ещё и потому, что на Три-Майл-Айленд эта система за последний год срабатывала четыре раза по причинам, никак не связанным с потерей теплоносителя.
Недостатки щита управления и длительная работа станции с неустранёнными дефектами не позволили персоналу быстро определить состояние электромагнитного клапана компенсатора давления. Указателя фактического положения запорного органа клапана предусмотрено не было, а лампа на панели управления сигнализировала лишь о наличии питания на его приводе, соответственно, сигнал указывал на то, что клапан закрыт. Косвенные признаки, такие как повышенная температура в трубопроводе после клапана и состояние бака-барботёра, также не были восприняты однозначно.