Άμυνα σε βάθος: πώς κρατιέται ασφαλής ένας αντιδραστήρας

Τι σημαίνει άμυνα σε βάθος

Η άμυνα σε βάθος ξεκινά από μια παραδοχή που ακούγεται ηττοπαθής: ό,τι κι αν σχεδιάσεις, κάτι θα αστοχήσει. Ένα εξάρτημα θα σπάσει, ένας χειριστής θα διαβάσει λάθος μια ένδειξη, μια μελέτη θα έχει προσπεράσει ένα σενάριο. Η απάντηση της μηχανικής είναι να μπει η μία γραμμή άμυνας πίσω από την άλλη, ώστε καμία μεμονωμένη αστοχία να μη βρίσκει ελεύθερο δρόμο μέχρι τον κόσμο έξω από τον φράχτη.

Τα επίπεδα διαβάζονται σαν αλυσίδα: το καθένα υποθέτει ότι το προηγούμενο μπορεί να μην κρατήσει.

Το κρίσιμο σημείο είναι η ανεξαρτησία των επιπέδων. Οι πιθανότητες πολλαπλασιάζονται μόνο όταν οι αστοχίες δεν έχουν κοινή ρίζα. Αν δύο επίπεδα τρέφονται από τον ίδιο ηλεκτρικό πίνακα, ψύχονται από το ίδιο νερό, στηρίζονται στην ίδια παραδοχή της ανάλυσης ή συντηρούνται από το ίδιο συνεργείο με την ίδια διαδικασία, ένα μόνο συμβάν τα σβήνει μαζί. Το γινόμενο των πιθανοτήτων που δείχνει η μελέτη μένει τότε χωρίς αντίκρισμα.

Οι κοινές ρίζες σπάνια είναι εμφανείς. Φωτιά, πλημμύρα, σεισμός και εξωτερικό συμβάν χτυπούν ταυτόχρονα πράγματα που στο διάγραμμα φαίνονται ξεχωριστά. Το ίδιο κάνει και ένα σφάλμα σχεδιασμού ή λογισμικού που έχει αντιγραφεί πανομοιότυπα σε όλα τα κανάλια. Η δουλειά της ανάλυσης είναι ακριβώς αυτή: να ψάξει πού κρύβεται η κοινή εξάρτηση που κανείς δεν σχεδίασε επίτηδες.

• Συντηρητικός σχεδιασμός και αξιόπιστη κανονική λειτουργία, ώστε η απόκλιση να μη γεννηθεί καν
• Ανίχνευση και διόρθωση της απόκλισης όσο είναι ακόμη μικρή
• Συστήματα ασφαλείας που αναλαμβάνουν το ατύχημα το οποίο έχει προβλεφθεί στη μελέτη
• Διατάξεις που περιορίζουν ένα σοβαρό ατύχημα μέσα στην εγκατάσταση
• Οργανωμένη αντιμετώπιση έκτακτης ανάγκης έξω από την εγκατάσταση

Τα φυσικά φράγματα γύρω από το καύσιμο

Ανάμεσα στα ραδιενεργά προϊόντα της σχάσης και το περιβάλλον στέκεται μια σειρά από υλικά φράγματα, το ένα μέσα στο άλλο. Το ίδιο το κεραμικό υλικό του καυσίμου συγκρατεί το μεγαλύτερο μέρος των προϊόντων μέσα στο πλέγμα του. Γύρω του, το σφραγισμένο μεταλλικό περίβλημα. Πιο έξω, το κλειστό κύκλωμα του ψυκτικού με τα τοιχώματα και τα όριά του υπό πίεση. Και γύρω από όλα, το περιοριστικό κέλυφος με το κτίριο, τα φίλτρα και τα συστήματα παρακολούθησής του.

Η δύναμη αυτών των φραγμάτων είναι ότι πρόκειται κυρίως για ύλη και όχι για μηχανές. Τα περισσότερα δεν περιμένουν σήμα, δεν χρειάζονται ρεύμα, δεν εξαρτώνται από το αν κάποιος πάτησε το σωστό κουμπί τη σωστή στιγμή. Η εξαίρεση είναι η απομόνωση του περιοριστικού κελύφους, που στηρίζεται σε βαλβίδες οι οποίες κλείνουν με σήμα. Η αδυναμία τους είναι ότι αστοχούν με συγκεκριμένους μηχανισμούς: υπερθέρμανση, υπερπίεση, μηχανική καταπόνηση, χημική προσβολή, κόπωση και γήρανση. Τα όρια λειτουργίας υπάρχουν για να κρατούν κάθε φράγμα μακριά από τον δικό του μηχανισμό αστοχίας, με περιθώριο.

Τα φράγματα παρακολουθούνται, και το ένα δείχνει την κατάσταση του άλλου. Η ραδιενέργεια που εμφανίζεται στο ψυκτικό δείχνει σε τι κατάσταση είναι το περίβλημα του καυσίμου. Οι δοκιμές στεγανότητας δείχνουν την κατάσταση του κελύφους. Η σειρά έχει σημασία: θέλεις να διαβάσεις την κατάσταση του εσωτερικού φράγματος πολύ πριν δοκιμαστεί το εξωτερικό.

Ενεργητικά και παθητικά συστήματα

Ενεργητικό είναι το σύστημα που χρειάζεται κάτι για να δουλέψει: αντλίες, βαλβίδες με κίνηση, ηλεκτροπαραγωγά ζεύγη, όργανα και λογική. Δίνει μεγάλη ικανότητα και ελέγχεται εύκολα, αλλά κρέμεται από την τροφοδοσία, από το σήμα και από το αν κάποιος είχε φανταστεί το σενάριο όταν έγραφε τη λογική. Κάθε τέτοιος κρίκος είναι και ένας τρόπος να μη λειτουργήσει.

Παθητικό είναι το σύστημα που δουλεύει με τη βαρύτητα, με τη φυσική κυκλοφορία του ρευστού, με αποθηκευμένη πίεση ή με ιδιότητα του υλικού. Δεν περιμένει τίποτα από το δίκτυο και τίποτα από τον χειριστή. Σε αντάλλαγμα οι δυνάμεις που το κινούν είναι μικρές, η απόκριση πιο αργή, η συμπεριφορά ευαίσθητη στη γεωμετρία και στις επικαθίσεις, και η δοκιμή του πιο δύσκολη από το να ανοίξεις μια βαλβίδα και να δεις παροχή. Η καλή σχεδίαση συνδυάζει και τα δύο.

Η λογική fail-safe, η αστοχία δηλαδή προς την ασφαλή κατάσταση, είναι ξεχωριστή ιδέα και πιο βαθιά από το δίπολο ενεργητικό ή παθητικό. Σημαίνει ότι η απώλεια της συνθήκης που επιτρέπει τη λειτουργία σπρώχνει την εγκατάσταση προς την ασφαλή θέση. Στους αντιδραστήρες πεπιεσμένου ύδατος, PWR και VVER, οι ράβδοι ελέγχου κρατιούνται ψηλά με ρεύμα και πέφτουν με τη βαρύτητα μόλις το ρεύμα χαθεί· στους αντιδραστήρες βρασμού ύδατος (BWR) μπαίνουν από κάτω, με υδραυλική ώθηση. Μια βαλβίδα χάνει τον αέρα της και πηγαίνει από μόνη της στη θέση ασφαλείας.

Το τελευταίο στρώμα αυτής της λογικής βρίσκεται στην ίδια τη φυσική της ενεργού ζώνης. Όταν η ανάδραση της αντίδρασης αντιστέκεται σε μια αύξηση ισχύος, η άνοδος της θερμοκρασίας κόβει μόνη της την αντίδραση πριν προλάβει να ενεργήσει οποιοδήποτε σύστημα. Είναι ιδιότητα του συγκεκριμένου σχεδίου και δεν ισχύει παντού· ακριβώς εδώ διαφέρουν ριζικά οι τύποι αντιδραστήρων μεταξύ τους.

Εφεδρεία, διαφοροποίηση, φυσικός διαχωρισμός

Η εφεδρεία σημαίνει ότι η ίδια λειτουργία υπάρχει περισσότερες από μία φορές, ώστε μια τυχαία βλάβη να μην τη σβήνει. Είναι η απλούστερη απάντηση και τα πρότυπα του Διεθνούς Οργανισμού Ατομικής Ενέργειας τη θέτουν ως απαίτηση, με το κριτήριο της μεμονωμένης αστοχίας: η λειτουργία ασφαλείας πρέπει να επιτυγχάνεται ακόμη κι όταν έχει αστοχήσει οποιοδήποτε μεμονωμένο στοιχείο1. Ορισμένα εθνικά πλαίσια και σχέδια προσθέτουν αυστηρότερο κριτήριο: μεμονωμένη αστοχία ενώ την ίδια στιγμή μία διαδρομή βρίσκεται εκτός για συντήρηση. Η εφεδρεία μόνη της όμως έχει τυφλό σημείο. Όμοιες μονάδες κουβαλούν το ίδιο ελάττωμα σχεδιασμού, την ίδια παρτίδα υλικού, το ίδιο λάθος στη ρύθμιση από το ίδιο συνεργείο.

Η διαφοροποίηση κλείνει αυτό το κενό. Άλλη αρχή λειτουργίας για την ίδια δουλειά, άλλος κατασκευαστής, άλλη πηγή ενέργειας, άλλο μέγεθος που μετριέται για να ανιχνευθεί το ίδιο συμβάν, αναλογική εφεδρική διάταξη πίσω από την ψηφιακή λογική. Κοστίζει σε πολυπλοκότητα, σε ανταλλακτικά και σε εκπαίδευση, και γι’ αυτό μπαίνει επιλεκτικά εκεί που η κοινή αιτία θα ήταν καταστροφική.

Ο φυσικός διαχωρισμός απαντά σε συμβάντα όπως η φωτιά και η πλημμύρα, που δεν χτυπούν ένα εξάρτημα αλλά ολόκληρο χώρο. Οι όμοιες διαδρομές μπαίνουν σε χωριστά δωμάτια, σε ζώνες χωρισμένες μεταξύ τους ώστε μια φωτιά να μην περνά από τη μία στην άλλη, σε διαφορετικά υψόμετρα, και οι καλωδιώσεις τους δεν συναντιούνται πουθενά. Στην ίδια λογική στηρίζεται και ο διαχωρισμός του συστήματος προστασίας από το σύστημα ελέγχου: αυτό που σταματά την εγκατάσταση δεν πρέπει να είναι το ίδιο με αυτό που τη λειτουργεί, γιατί τότε το σφάλμα που διαταράσσει τη λειτουργία της είναι το ίδιο που εμποδίζει τη διακοπή.

Η παραμένουσα θερμότητα, το πρόβλημα που δεν σβήνει με το κουμπί

Η πιο παρεξηγημένη πλευρά της πυρηνικής ασφάλειας είναι ότι η διακοπή δεν είναι διακόπτης. Οι ράβδοι ελέγχου μπαίνουν, και η ισχύς της αλυσιδωτής αντίδρασης πέφτει απότομα και σβήνει μέσα σε λίγα λεπτά. Το καύσιμο όμως συνεχίζει να παράγει θερμότητα, επειδή τα ραδιενεργά προϊόντα που μαζεύτηκαν μέσα του διασπώνται με τον δικό τους ρυθμό και δεν ρωτούν κανέναν. Αυτή η παραμένουσα θερμότητα φθίνει με τον χρόνο, αλλά δεν μηδενίζεται με εντολή και στην αρχή είναι αρκετή για να καταστρέψει την ενεργό ζώνη αν μείνει χωρίς ψύξη.

Η συνέπεια για τον σχεδιασμό είναι καθοριστική. Μετά τη διακοπή κάτι πρέπει να συνεχιστεί: η απαγωγή της θερμότητας προς την τελική καταβόθρα θερμότητας (ultimate heat sink), αδιάλειπτα και για μεγάλο διάστημα. Γι’ αυτό στη μελέτη ασφάλειας κυριαρχούν τα σενάρια απώλειας ψυκτικού και απώλειας ηλεκτρικής τροφοδοσίας, και όχι κάποια εικόνα ανεξέλεγκτης ανόδου ισχύος. Γι’ αυτό υπάρχουν εφεδρικές πηγές ρεύματος, συσσωρευτές, διαδρομές που λειτουργούν με φυσική κυκλοφορία και μια περίοδος χάριτος μέσα στην οποία η εγκατάσταση πρέπει να αντέχει χωρίς καμία βοήθεια από έξω.

Το ίδιο πρόβλημα, σε πιο αργή μορφή, ακολουθεί και το αναλωμένο καύσιμο μετά την αφαίρεσή του. Παραμένει θερμό και θέλει ψύξη και θωράκιση για πολύ καιρό, οπότε η δεξαμενή και ο χώρος αποθήκευσης μπαίνουν μέσα στην ίδια λογική επιπέδων, με δικά τους φράγματα, δική τους παρακολούθηση και δική τους πρόβλεψη για την απώλεια ρεύματος.

Η κουλτούρα ασφάλειας και ο ανεξάρτητος ρυθμιστής

Τα επίπεδα σχεδιάζονται ανεξάρτητα, αλλά μένουν ανεξάρτητα μόνο αν τα κρατά έτσι κάθε μέρα ο φορέας λειτουργίας. Ένα πρόγραμμα συντήρησης που βγάζει ταυτόχρονα εκτός δύο ισοδύναμες διαδρομές ακυρώνει στην πράξη ό,τι πέτυχε ο σχεδιασμός στο μπετόν. Ένα προσωρινό καλώδιο που περνά από τη λάθος ζώνη καταργεί έναν διαχωρισμό που κόστισε ολόκληρο δωμάτιο. Η κουλτούρα ασφάλειας είναι το σύνολο των συνηθειών που εμποδίζουν αυτά: γραπτές διαδικασίες που ακολουθούνται όπως γράφτηκαν, εκπαίδευση σε προσομοιωτή, συστηματική αξιοποίηση της εμπειρίας λειτουργίας από άλλες εγκαταστάσεις και ερωτηματική στάση απέναντι σε κάθε ένδειξη που δεν εξηγείται.

Το πιο εύθραυστο κομμάτι της είναι η αναφορά. Ένας οργανισμός μαθαίνει από τα μικρά συμβάντα μόνο αν όποιος τα βλέπει τα δηλώνει χωρίς να φοβάται τι θα πάθει, και μόνο αν κάποιος τα διαβάζει και αλλάζει κάτι. Όταν σταματήσουν οι αναφορές, αυτό σχεδόν ποτέ δεν σημαίνει ότι σταμάτησαν τα προβλήματα.

Ο ρυθμιστής είναι η γραμμή που δεν μπορεί να χαλαρώσει από μέσα. Η ανεξαρτησία του είναι θεσμική και οικονομική: χωριστός από τον φορέα που λειτουργεί την εγκατάσταση και χωριστός από όποιον προωθεί την τεχνολογία, με δικό του τεχνικό προσωπικό που κρίνει τις μελέτες αντί να τις εμπιστεύεται, με δικαίωμα πρόσβασης και επιθεώρησης, με εξουσία να απαιτήσει αλλαγές και να σταματήσει τη λειτουργία. Η άδεια είναι διαρκής έγκριση υπό όρους, με περιοδική επανεξέταση της ασφάλειας.

Η φθορά εδώ είναι αργή και αθόρυβη. Πίεση κόστους, εξοικείωση με τις αποκλίσεις, μια μακρά ήσυχη περίοδος χωρίς συμβάν και η σιωπηρή μετατόπιση του ορίου του αποδεκτού είναι τα σημάδια που κοιτά κανείς πρώτα, τόσο στον φορέα όσο και στην αρχή που τον ελέγχει.

Γιατί το σοβαρό ατύχημα δεν είναι αδύνατο

Η ειλικρινής διατύπωση είναι αυτή: σοβαρό ατύχημα δεν είναι αδύνατο. Είναι λιγότερο πιθανό και περιορισμένο στις συνέπειές του. Η άμυνα σε βάθος μειώνει τον κίνδυνο και τον βάζει σε όρια· ό,τι απομένει ονομάζεται υπολειπόμενος κίνδυνος και δηλώνεται. Όποιος υπόσχεται μηδέν δεν κάνει μηχανική, κάνει επικοινωνία.

Η μελέτη χωρίζει τα σενάρια σε αυτά που ο σχεδιασμός αναλαμβάνει να αντιμετωπίσει και σε αυτά που τον ξεπερνούν. Για τα δεύτερα υπάρχει η διαχείριση σοβαρού ατυχήματος, με έναν ξεκάθαρο στόχο: να μείνει το περιοριστικό κέλυφος ακέραιο. Έλεγχος της πίεσης μέσα του, αντιμετώπιση του υδρογόνου που παράγεται όταν το καύσιμο υπερθερμανθεί, ελεγχόμενη και φιλτραρισμένη εκτόνωση αν χρειαστεί, και δυνατότητα να συγκρατηθεί και να ψυχθεί το κατεστραμμένο καύσιμο εκεί που μπορεί να συγκρατηθεί.

Οι τύποι αντιδραστήρων δεν είναι εναλλάξιμοι στην κουβέντα αυτή. Τα σοβαρά ατυχήματα που έχει δει ο κλάδος προήλθαν από διαφορετικά σχέδια, με διαφορετική φυσική και διαφορετικές αλυσίδες αστοχιών, οπότε ένα συμπέρασμα από το ένα δεν μεταφέρεται στο άλλο. Το ίδιο ισχύει και προς την αντίθετη κατεύθυνση: η υπόσχεση ενός κατασκευαστή για ένα νέο σχέδιο είναι πρόβλεψη και μετρά μόνο αφού ελεγχθεί από τον ρυθμιστή και επιβεβαιωθεί στη λειτουργία.

Τα σχέδια έκτακτης ανάγκης γύρω από μια εγκατάσταση υπάρχουν ακριβώς επειδή το υπόλοιπο δεν είναι μηδέν. Δεν είναι ομολογία αποτυχίας του σχεδιασμού, είναι το τελευταίο επίπεδο του ίδιου συλλογισμού. Η απόσταση ανάμεσα στο «δεν μπορεί να συμβεί» και στο «είναι λιγότερο πιθανό και, αν συμβεί, μένει περιορισμένο» είναι όλη η δουλειά.