Three Mile Island: το ατύχημα που άλλαξε τον σχεδιασμό των αιθουσών ελέγχου

Ένα ατύχημα που δεν ξεκίνησε από κακό υλικό

Ο πυρηνικός σταθμός ηλεκτροπαραγωγής στο Three Mile Island της Πενσιλβάνια είναι το σημείο όπου ο κλάδος κατάλαβε κάτι δυσάρεστο: μια μονάδα μπορεί να φτάσει σε ζημιά της ενεργού ζώνης χωρίς να έχει προηγηθεί θεαματική αστοχία. Δεν έγινε σεισμός, δεν έσπασε το δοχείο πίεσης του αντιδραστήρα, δεν αστόχησε το περιοριστικό κέλυφος. Ένα εξάρτημα έμεινε κολλημένο ανοιχτό, το χειριστήριο έδειξε κάτι που δεν ίσχυε, και το προσωπικό έκανε πάνω κάτω αυτό που του είχαν μάθει να κάνει.

Η ανάγνωση «φταίει ο άνθρωπος» είναι βολική και λάθος. Οι χειριστές δεν αγνόησαν τα όργανα. Τα διάβασαν προσεκτικά και ενήργησαν με βάση αυτά. Το πρόβλημα ήταν ότι το χειριστήριο τους έδειχνε την εντολή που είχε σταλεί σε μια βαλβίδα και όχι τη θέση της, ενώ μια άλλη ένδειξη κινούνταν αντίθετα από την πραγματική ποσότητα ψυκτικού μέσα στο κύκλωμα. Με τέτοια δεδομένα, μια λογική απόφαση βγάζει λάθος ενέργεια.

Γι’ αυτό το ατύχημα δεν έμεινε στην ιστορία ως πρόβλημα μεταλλουργίας ή αντοχής. Έμεινε ως ο λόγος που άλλαξε ο τρόπος που σχεδιάζονται οι αίθουσες ελέγχου: τι μετράει ένα όργανο, τι δείχνει τελικά σε έναν άνθρωπο, τι του ζητά η διαδικασία και τι έχει προλάβει να δει στην εκπαίδευσή του.

Το ελάχιστο που χρειάζεται να ξέρει κανείς για τη μηχανή

Η μονάδα ανήκει στην οικογένεια των αντιδραστήρων πεπιεσμένου ύδατος. Έχει δύο κυκλώματα. Στο πρωτεύον, νερό υπό υψηλή πίεση περνά μέσα από την ενεργό ζώνη, παίρνει τη θερμότητα της σχάσης και δεν αφήνεται να βράσει. Στο δευτερεύον, το νερό βράζει και ο ατμός γυρίζει τον στρόβιλο. Ανάμεσά τους στέκονται οι ατμογεννήτριες, που είναι ταυτόχρονα ο εναλλάκτης και το όριο ανάμεσα στο ραδιενεργό και στο μη ραδιενεργό μισό του σταθμού.

Ο pressuriser, το δοχείο που ρυθμίζει την πίεση του πρωτεύοντος κυκλώματος, κρατά τη στάθμη και την πίεση σταθερές, με ατμό στην κορυφή και νερό από κάτω. Στην κορυφή του βρίσκεται βαλβίδα εκτόνωσης: όταν η πίεση ανεβαίνει πάνω από το επιτρεπτό, ανοίγει, εκτονώνει προς δεξαμενή και κλείνει. Είναι εξάρτημα ασφαλείας, σχεδιασμένο να λειτουργεί και να ξαναλειτουργεί.

Ένα ακόμη μέγεθος θα μας χρειαστεί παρακάτω: πόσο μακριά βρίσκεται το νερό του πρωτεύοντος από το σημείο βρασμού του, στην πίεση που επικρατεί εκείνη τη στιγμή. Όσο υπάρχει αυτό το περιθώριο, το ψυκτικό είναι υγρό παντού και η μεταφορά θερμότητας από το καύσιμο γίνεται με τον τρόπο που υποθέτει ο σχεδιασμός. Όταν το περιθώριο μηδενιστεί, μέσα στο κύκλωμα εμφανίζεται ατμός, και από εκεί και πέρα η στάθμη στον pressuriser παύει να λέει την αλήθεια για το πόσο νερό υπάρχει στην ενεργό ζώνη.

Το κρίσιμο για όλη τη συνέχεια είναι η παραμένουσα θερμότητα. Όταν οι ράβδοι ελέγχου πέσουν και η σχάση σταματήσει, το καύσιμο δεν κρυώνει: τα προϊόντα της σχάσης συνεχίζουν να διασπώνται και να βγάζουν θερμότητα, πολύ λιγότερη από την ονομαστική ισχύ αλλά καθόλου αμελητέα, και η πτώση της είναι απότομη στην αρχή και πολύ αργή μετά. Με το σβήσιμο του αντιδραστήρα η δουλειά αλλάζει καθήκον: από την παραγωγή θερμότητας περνά στην απαγωγή της.

Η αλυσίδα: από μια βλάβη στο μη πυρηνικό μισό ως τη βαλβίδα που έμεινε ανοιχτή

Το ατύχημα ξεκίνησε από το δευτερεύον, εκεί που δεν υπάρχει τίποτα ραδιενεργό. Χάθηκε η τροφοδοσία νερού προς τις ατμογεννήτριες. Ο στρόβιλος έπεσε αυτόματα. Χωρίς την απαγωγή θερμότητας από τις ατμογεννήτριες, η πίεση στο πρωτεύον ανέβηκε αμέσως, η βαλβίδα εκτόνωσης άνοιξε για να την κόψει, και ο αντιδραστήρας έπεσε. Ως εδώ, τα συστήματα έκαναν αυτό που τους ζητούσε ο σχεδιασμός. Παράλληλα, το εφεδρικό σύστημα τροφοδοσίας ξεκίνησε, αλλά οι βαλβίδες απομόνωσης στη γραμμή του είχαν μείνει κλειστές από προηγούμενη εργασία συντήρησης, οπότε για τα πρώτα λεπτά το νερό δεν έφτανε στις ατμογεννήτριες.

Η πίεση έπεσε, το σήμα προς τη βαλβίδα κόπηκε, η βαλβίδα όμως δεν ξανάκλεισε.

Έτσι το πρωτεύον απέκτησε ένα μικρό μόνιμο άνοιγμα στο ψηλότερο σημείο του: απώλεια ψυκτικού με αργό ρυθμό, από ένα σημείο όπου φεύγει πρώτα ατμός, μακριά από το θεαματικό σπάσιμο σωλήνα των εγχειριδίων. Για τη διάγνωση αυτό είναι δυσκολότερο από μια μεγάλη ρήξη: τα συμπτώματα μοιάζουν με πολλά άλλα πράγματα ταυτόχρονα.

Η ένδειξη έλεγε την εντολή, όχι τη θέση

Στο χειριστήριο υπήρχε ένδειξη για τη βαλβίδα. Δεν μετρούσε τη θέση της. Έδειχνε ότι είχε σταλεί το σήμα κλεισίματος. Όσο η βαλβίδα κρατούσε ανοιχτό τον δρόμο του ψυκτικού προς τα έξω, το πάνελ έλεγε στους χειριστές ότι το κύκλωμα είναι κλειστό. Όλη η υπόλοιπη λογική της βάρδιας χτίστηκε πάνω σε αυτή τη μία λανθασμένη παραδοχή.

Σε αυτό προστέθηκε και μια ακόμη παγίδα. Καθώς το ψυκτικό χανόταν και άρχιζε να βράζει μέσα στο κύκλωμα, ο ατμός έσπρωξε νερό προς τα πάνω και η στάθμη στον pressuriser ανέβηκε. Οι χειριστές είχαν διδαχθεί έναν κανόνα σχεδόν απόλυτο: μην αφήσεις ποτέ αυτό το δοχείο να γεμίσει τελείως, γιατί χάνεται ο έλεγχος της πίεσης. Βλέποντας τη στάθμη να ανεβαίνει, έκαναν ό,τι τους είχαν μάθει και περιόρισαν την έγχυση νερού υψηλής πίεσης, δηλαδή έκοψαν ακριβώς την ψύξη που κρατούσε το καύσιμο καλυμμένο. Η ένδειξη που κοίταζαν έδειχνε στάθμη σε ένα δοχείο, όχι απόθεμα ψυκτικού στην ενεργό ζώνη.

Ούτε με τους συναγερμούς βοήθησε το χειριστήριο. Οι συναγερμοί άναψαν όλοι μαζί, χωρίς ιεράρχηση, χωρίς να ξεχωρίζει η αιτία από τη συνέπεια, και το καταγραφικό έμεινε πίσω από τα γεγονότα. Καμία οθόνη δεν απαντούσε στο μόνο ερώτημα που μετρούσε πραγματικά εκείνη την ώρα: είναι το καύσιμο καλυμμένο με νερό;

Τι έπαθε η ενεργός ζώνη και γιατί το κέλυφος έκανε τη δουλειά του

Καθώς το ψυκτικό έφευγε και η έγχυση ήταν περιορισμένη, η στάθμη στο δοχείο πίεσης του αντιδραστήρα έπεσε κάτω από την κορυφή του καυσίμου. Το ακάλυπτο τμήμα υπερθερμάνθηκε. Το περίβλημα των ράβδων καυσίμου, κράμα ζιρκονίου, σε υψηλή θερμοκρασία αντιδρά με τον ατμό, οξειδώνεται, γίνεται ψαθυρό και παράγει υδρογόνο. Μέρος της ενεργού ζώνης έλιωσε και ανακατανεμήθηκε προς τα κάτω μέσα στο δοχείο.

Εδώ φαίνεται τι σημαίνει σχεδιασμός σε επάλληλα εμπόδια. Το ραδιενεργό υλικό που ελευθερώθηκε από το καύσιμο βρέθηκε μέσα στο πρωτεύον κύκλωμα και, μέσω της ανοιχτής βαλβίδας, μέσα στο περιοριστικό κέλυφος. Το υδρογόνο που συγκεντρώθηκε στο κέλυφος κάηκε. Η κατασκευή άντεξε την πίεση και κράτησε μέσα της ό,τι ήταν σχεδιασμένη να κρατήσει. Το τελευταίο εμπόδιο στάθηκε στη θέση του ακριβώς τη στιγμή που όλα τα προηγούμενα είχαν παρακαμφθεί.

Αυτό δεν σημαίνει ότι όλα έμειναν μέσα. Μολυσμένο νερό μεταφέρθηκε εκτός κελύφους μέσα από γραμμές βοηθητικών συστημάτων που δούλευαν αυτόματα, και υπήρξε έκλυση προς το περιβάλλον. Οι εκτιμήσεις για το μέγεθος και για τις επιπτώσεις στην υγεία διαφέρουν ανά μελέτη και ανά μεθοδολογία, γι’ αυτό δεν παρατίθενται εδώ αριθμοί. Το σίγουρο συμπέρασμα μηχανικού είναι στενότερο και πιο χρήσιμο: η φιλοσοφία του κελύφους ως ανεξάρτητου τελευταίου φράγματος δικαιώθηκε, ενώ η φιλοσοφία «ο χειριστής θα καταλάβει» δεν δικαιώθηκε καθόλου.

Γιατί το δίδαγμα είναι εργονομικό και οργανωτικό

Αν διαβάσει κανείς το ατύχημα ως πρόβλημα υλικού, καταλήγει στο «βάλε καλύτερη βαλβίδα». Είναι φτηνό συμπέρασμα. Βαλβίδες θα κολλάνε, αντλίες θα σταματάνε, βαλβίδες απομόνωσης θα ξεχνιούνται κλειστές μετά από συντήρηση. Ο σχεδιασμός της ασφάλειας δέχεται ότι τα εξαρτήματα θα αστοχούν και στηρίζεται στο να γίνεται η αστοχία ορατή και αντιμετωπίσιμη έγκαιρα. Στο Three Mile Island κατέρρευσε η αλυσίδα της πληροφόρησης: τι μετρήθηκε, τι εμφανίστηκε, τι ζητήθηκε από τον άνθρωπο, τι είχε προβάρει ο άνθρωπος.

Η εργονομική πλευρά έχει συγκεκριμένο περιεχόμενο. Ένδειξη που δείχνει εντολή αντί για κατάσταση είναι σχεδιαστικό σφάλμα. Συναγερμοί χωρίς προτεραιότητα μετατρέπουν την πληροφόρηση σε θόρυβο ακριβώς όταν χρειάζεται περισσότερο. Πάνελ που δείχνει μεγέθη ενός δοχείου αντί για την κατάσταση της κρίσιμης λειτουργίας ασφαλείας αφήνει τον χειριστή να συμπεράνει μόνος του, με λάθος διαθέσιμα στοιχεία. Η διάταξη των οργάνων, η ονοματολογία τους, ακόμη και η θέση τους μέσα στο δωμάτιο, είναι μέρος του συστήματος ασφαλείας με τον ίδιο τρόπο που είναι και το κέλυφος.

Το ίδιο ισχύει για το κείμενο της διαδικασίας. Μια διαδικασία γράφεται από ανθρώπους που κάθονται ήρεμοι σε γραφείο και εκτελείται από ανθρώπους που στέκονται όρθιοι μέσα σε συναγερμούς. Αν ζητά κρίση εκεί που έπρεπε να ζητά μέτρηση, ή αν αφήνει τον χειριστή να διαλέξει ανάμεσα σε κανόνες που συγκρούονται μεταξύ τους, το κείμενο είναι ελαττωματικό ακόμη κι αν κάθε πρόταση μέσα του είναι τεχνικά σωστή. Στο Three Mile Island ο κανόνας «μη γεμίσεις το δοχείο» και ο κανόνας «κράτα το καύσιμο καλυμμένο» βρέθηκαν αντιμέτωποι, και η εκπαίδευση είχε κάνει τον κανόνα του δοχείου πιο δυνατό.

Η οργανωτική πλευρά είναι εξίσου σκληρή. Παρόμοιο περιστατικό με βαλβίδα εκτόνωσης που δεν ξανάκλεισε είχε ήδη συμβεί σε άλλη μονάδα και είχε αναλυθεί εσωτερικά. Η γνώση δεν έφτασε στους ανθρώπους που τη χρειάζονταν, δεν μπήκε στη διαδικασία, δεν μπήκε στην εκπαίδευση. Ένας κλάδος όπου η εμπειρία μιας μονάδας δεν γίνεται αυτόματα υποχρέωση όλων των άλλων επαναλαμβάνει τα ίδια λάθη με διαφορετικά ονόματα.

Τι γεννήθηκε από αυτό

Η εκπαίδευση άλλαξε ριζικά. Οι προσομοιωτές έγιναν πλήρους κλίμακας και πιστά αντίγραφα του συγκεκριμένου χειριστηρίου κάθε μονάδας, και τα σενάρια έπαψαν να είναι ξεκάθαρα. Ο χειριστής εκπαιδεύεται πλέον σε καταστάσεις με αντιφατικές ενδείξεις, με όργανο που ψεύδεται, με πολλαπλές ταυτόχρονες βλάβες, και η άδειά του συνδέεται με την επίδοσή του εκεί μέσα.

Οι διαδικασίες άλλαξαν λογική. Παλιά ζητούσαν πρώτα διάγνωση: αναγνώρισε ποιο ατύχημα έχεις και μετά άνοιξε το αντίστοιχο εγχειρίδιο. Αυτό απαιτεί από τον άνθρωπο να μην κάνει λάθος ακριβώς τη στιγμή που τα στοιχεία που έχει μπροστά του είναι τα χειρότερα. Οι διαδικασίες βασισμένες σε συμπτώματα αντιστρέφουν το ερώτημα: δεν ρωτούν τι έπαθες, ρωτούν τι μετράς. Πίεση, στάθμη, περιθώριο μέχρι τον βρασμό, κατάσταση κελύφους, ροή ψύξης. Ο χειριστής ακολουθεί βήματα που κρατούν ικανοποιημένες τις κρίσιμες λειτουργίες ασφαλείας, ανεξάρτητα από το πώς θα ονομαστεί τελικά το συμβάν.

Άλλαξε και το ποιος κοιτάζει. Δημιουργήθηκαν συγκεντρωτικές οθόνες που δείχνουν κατευθείαν την κατάσταση των κρίσιμων λειτουργιών ασφαλείας αντί για διάσπαρτα επιμέρους μεγέθη, και θεσπίστηκε ρόλος τεχνικού συμβούλου στη βάρδια, ανθρώπου δηλαδή που δεν χειρίζεται αλλά διαβάζει την εικόνα από απόσταση. Ο κλάδος οργάνωσε δικό του σχήμα ανεξάρτητης αξιολόγησης, με ομάδες που επιθεωρούν τη μια μονάδα με προσωπικό από τις άλλες και με υποχρεωτική διακίνηση της λειτουργικής εμπειρίας. Ο ρυθμιστής, από την πλευρά του, ενίσχυσε τη μόνιμη παρουσία επιθεωρητών στους σταθμούς, έβαλε τους ανθρώπινους παράγοντες μέσα στα κριτήρια αδειοδότησης και αναθεώρησε τον σχεδιασμό έκτακτης ανάγκης εκτός των ορίων του σταθμού.

Τι κρατάμε για ό,τι σχεδιάζεται σήμερα

Τα σύγχρονα σχέδια απαντούν στο τεχνικό κομμάτι με τρόπους που τότε δεν υπήρχαν: άμεση ένδειξη θέσης σε κρίσιμα εξαρτήματα, παθητικά συστήματα που απάγουν την παραμένουσα θερμότητα με βαρύτητα και φυσική κυκλοφορία, μεγαλύτερα αποθέματα νερού, ψηφιακά χειριστήρια με ιεραρχημένους συναγερμούς. Οι αντιδραστήρες γενιάς III+ και τα σχέδια μικρών αρθρωτών αντιδραστήρων ενσωματώνουν αυτή τη γραμμή σκέψης ήδη από τη σχεδίαση.

Το ψηφιακό χειριστήριο όμως αναπαράγει το ίδιο ερώτημα σε νέα μορφή. Η οθόνη δείχνει αυτό που πιστεύει το λογισμικό ότι συμβαίνει. Αν ο αισθητήρας, το φίλτρο ή η λογική της ένδειξης είναι λάθος, ο χειριστής βλέπει πάλι μια πεποίθηση αντί για μια μέτρηση. Το δίδαγμα του Three Mile Island δεν παλιώνει με την τεχνολογία, μεταναστεύει μαζί της.

Χρειάζεται και μια διευκρίνιση που συχνά χάνεται στη δημόσια συζήτηση. Τα σοβαρά πυρηνικά ατυχήματα δεν είναι το ίδιο πράγμα μεταξύ τους: ο μηχανισμός στους αντιδραστήρες τύπου RBMK, ο μηχανισμός στη Φουκουσίμα και ο μηχανισμός εδώ διαφέρουν σε αιτία, σε εξέλιξη και σε συνέπεια. Κανένα σχέδιο, ούτε γενιάς III+ ούτε μικρού αρθρωτού αντιδραστήρα, δεν καθιστά το σοβαρό ατύχημα αδύνατο. Ο στόχος του σχεδιασμού είναι να το κάνει πολύ λιγότερο πιθανό και, αν συμβεί, να το κρατήσει περιορισμένο. Το Three Mile Island έδειξε ότι αυτός ο στόχος περνά από τη σχεδίαση του χειριστηρίου και της διαδικασίας τουλάχιστον όσο και από το πάχος του σκυροδέματος.