Понятие «пороговый эффект» привлекло к себе широкое внимание при обсуждении вопросов, связанных с безопасностью, после аварии на АЭС «Фукусима-Дайичи». В 2016 г. этот термин появился в российских нормативных документах, когда были введены в действие «Общие положения обеспечения безопасности атомных станций» (НП-001-15)1.
Пороговый эффект определяется в [1] как «существенное скачкообразное ухудшение безопасности АС (блока АС), вызванное небольшими изменениями параметров».
Нормативное требование, связанное с пороговым эффектом, в федеральных нормах и правилах в области использования атомной энергии содержится в единственном месте: пункт 1.2.4 НП-001-15 [1] требует, чтобы проектная документация атомной станции (АС) предусматривала меры, направленные на исключение порогового эффекта. Это требование рассматривается в [1] как одна из составляющих глубокоэшелонированной защиты (ГЭЗ) – фундаментальной концепции обеспечения безопасности АС.
Примерно такое же понимание порогового эффекта и необходимости принятия в проекте АС мер по его исключению содержат нормы безопасности МАГАТЭ SSR-2/1 [2]. Здесь под пороговым эффектом понимается «сильно отличающийся от нормального режим поведения станции, к которому приводит резкий переход от одного состояния станции к другому после небольшого отклонения одного из параметров станции; и, таким образом, резкое значительное изменение условий на станции в ответ на небольшое изменение входных воздействующих факторов». Видно, что необходимыми признаками порогового эффекта нормы МАГАТЭ [2] считают его возникновение вследствие «небольшого отклонения» одного из «параметров станции», при котором происходит «резкий переход от одного состояния станции к другому»1
1 (Понятие «состояние станции» (“plant status”), использованное при определении порогового эффекта в [2], является совершенно другим, нежели используемое также в [2] понятие «состояния станции, учитываемые в проекте АС» (“plant states”) (к «состояниям станции, учитываемым в проекте АС», согласно [2], относятся нормальная эксплуатация, ожидаемые при эксплуатации нарушения, проектные аварии и запроектные условия – “design extension conditions”). Русский перевод в [2] понятия “plant status”, чтобы быть точным, должен был использовать другой оборот, нежели «состояние станции», занятый понятием “plant states”) .
Поскольку пороговый эффект – это негативное, с точки зрения безопасности АС, событие, то процитированный нами оборот «резкий переход от одного состояния станции к другому» в [2] следует понимать как резкое негативное изменение статуса АС с точки зрения безопасности. Публикации WENRA [3] и EUR [4] при определении понятия «пороговый эффект» отсылают к нормам МАГАТЭ [2].
Для того, чтобы определить, как обращаться с представленным в [1] термином «пороговый эффект» и каким образом выполнять нормативное требование о принятии в проекте АС мер, направленных на его исключение, требуется понять, что означают использованные при определении данного термина в [1] понятия «существенное ухудшение безопасности», «небольшое изменение», «параметр» и «скачкообразность» (рис. 1). Рассмотрим последовательно каждое из них.
Что такое «существенное ухудшение безопасности»?
Для того, чтобы разобраться, что такое «существенное ухудшение безопасности», обратим еще раз внимание на то, что нормативное требование [1] о наличии в проекте АС мер, направленных на исключение порогового эффекта, является частью требования о реализации на атомной станции глубокоэшелонированной защиты – главного средства обеспечения безопасности АС.
Соответственно, существенное ухудшение безопасности может быть признано таковым, если имеет место значимое негативное влияние на ГЭЗ в частности, на один или несколько уровней ГЭЗ. Рассмотрим данный вопрос более подробно.
Концепция ГЭЗ имеет целью обеспечить АС последовательными и по возможности независимыми уровнями защиты таким образом, чтобы персонал, население и окружающая среда могли подвергнуться вредному радиационному воздействию только после потери эффективности нескольких уровней ГЭЗ. Если происходит потеря эффективности одного уровня ГЭЗ или нарушение целостности одного физического барьера, меры по обеспечению безопасности реализуются последующими уровнями ГЭЗ и оставшимися в работоспособном состоянии физическими барьерами. Современное понимание ГЭЗ предполагает наличие пяти уровней (рис. 2), каждому из которых соответствуют свои технические средства и организационные меры, целью применения которых является защита физических барьеров, а также персонала, населения и окружающей среды через обеспечение основных функций безопасности для той категории состояний АС2 , с которой связан соответствующий уровень ГЭЗ.
2 “Plant states” в терминологии МАГАТЭ
Особняком в структуре ГЭЗ стоит уровень 1 – к нему традиционно принято относить3 не только технические средства и организационные меры, обеспечивающие нормальную эксплуатацию АС и предотвращающие ее нарушения, но и аспекты, в контексте которых осуществляется вся связанная с безопасностью деятельность на АС и которые необходимы для эффективности всех уровней ГЭЗ, а также ГЭЗ в целом – сюда относятся требования обеспечения качества и консервативного подхода, формирования и поддержания культуры безопасности. К числу таких аспектов относится и необходимость принятия в проекте АС мер, направленных на исключение порогового эффекта. Пороговые эффекты могут проявляться на разных уровнях ГЭЗ, но деятельность по принятию в проекте АС мер, направленных на исключение порогового эффекта, правилами [1] отнесена к системообразующим ГЭЗ аспектам, включаемым в состав уровня 1.
3 См., например, [5].
Особо отметим, что существенным условием эффективности ГЭЗ является обеспечение, насколько это практически возможно, независимости технических средств, используемых на последовательных уровнях ГЭЗ (таким образом, чтобы отказ технических средств, используемых на одном уровне ГЭЗ, не приводил к отказу технических средств на последующих уровнях), а также принятие мер по минимизации возможности потери эффективности нескольких уровней ГЭЗ вследствие одного воздействия (отказа)4.
4 На это обращается внимание как в российских нормах [1] (п. 1.2.4), так и нормах безопасности МАГАТЭ [2], а также в публикациях WENRA [3] и EUR [4]. Важность этого аспекта понятна: наибольшая эффективность совокупности резервируемых уровней защиты обеспечивается тогда, когда эти уровни независимы настолько, насколько это достижимо.
ГЭЗ является действенной, если на индивидуальных уровнях ГЭЗ с требуемой надежностью обеспечивается выполнение основных функций безопасности за счет относящихся к соответствующему индивидуальному уровню ГЭЗ технических средств и организационных мер, а возникновение воздействий, при которых деградируют сразу несколько уровней ГЭЗ, тем менее вероятно, чем большее количество уровней ГЭЗ становятся неэффективными вследствие этих воздействий.
В настоящее время в мире сложились два подхода в части выделения уровней (подуровней) ГЭЗ – они проиллюстрированы в табл. 1, составленной с использованием публикации [6].
В соответствии с первым подходом (его используют, в частности, WENRA [3] и EUR [4]) выделяются подуровни 3a и 3b ГЭЗ, при этом на подуровне 3а рассматривается управление проектными авариями, а на подуровне 3b – управление запроектными авариями, не относящимися к тяжелым, с целью предотвращения перехода в тяжелую стадию. В этом подходе на уровне 4 рассматривается управление только тяжелыми авариями. В соответствии же со вторым подходом (он принят, в том числе, в российских нормах и правилах и отражен в [1]), на уровне 3 рассматривается управление проектными авариями, а на уровне 4 – управление запроектными авариями, как не перешедшими в тяжелую стадию, так и тяжелыми.
Рассуждая о том, какие плюсы и минусы есть в обоих подходах, следует обратить внимание на то, что является оправданным выделение в самостоятельные уровни (подуровни) ГЭЗ состояний АС, к которым предполагается впоследствии применять различные требования по управлению авариями (нарушениями в работе АС) либо предъявлять требования по независимости технических средств от технических средств, используемых в иных состояниях АС (относящихся к другим уровням ГЭЗ) – в этом случае формулирование соответствующих нормативных требований можно выполнить менее громоздко и более наглядно.
Как отмечалось выше, разработка в проекте АС мер, направленных на исключение порогового эффекта, является одним из системообразующих ГЭЗ аспектов, которые необходимы для обеспечения функционирования ГЭЗ в целом.
Поскольку ГЭЗ является основой обеспечения безопасности АС, а меры по исключению порогового эффекта имеют целью обеспечить должную работу ГЭЗ как системы в целом, то под существенным ухудшением безопасности – необходимым условием для того, чтобы явление было признано пороговым эффектом – разумно понимать ситуацию, когда ГЭЗ существенно деградирует. В частности, когда вследствие небольшого изменения параметра АС (небольшого отклонения от состояния, которое, в соответствии с проектом АС, покрывается одним из уровней ГЭЗ), становится неэффективным (теряется) не только этот уровень ГЭЗ, но и последующий уровень или уровни (иными словами, относящиеся к этим последующим уровням технические средства и организационные мероприятия становятся не в состоянии обеспечить такую защиту физических барьеров, персонала, населения и окружающей среды, чтобы соблюдались критерии безопасности для состояний АС, покрываемых указанными уровнями ГЭЗ).
В такой ситуации можно говорить о том, что не обеспечена независимость уровней ГЭЗ5 , то есть многоэшелонированная защита деградировала. На тесную связь мер, направленных на исключение порогового эффекта, с обеспечением независимости уровней ГЭЗ указывается, в частности, в [5]. При этом начальное состояние АС, в котором происходит небольшое изменение параметра, приводящее к существенному ухудшению безопасности в виде потери двух и более уровней ГЭЗ, может относиться к самым разным уровням ГЭЗ (таким образом, возможность возникновения порогового эффекта следует рассматривать не только при нормальной эксплуатации АС, но и при других состояниях АС)6 .
5 То есть не выполняются в полной мере положения [1] (п. 1.2.4), в соответствии с которыми должны быть предприняты все разумно достижимые меры, обеспечивающие независимость ГЭЗ друг от друга.
6 Такое же понимание демонстрирует публикация WENRA [3] при формулировке референтного уровня F3.1, где указывается, что в качестве начального состояния могут рассматриваться, в том числе, запроектные условия DEC A (состояния без тяжелого повреждения топлива, учитываемые в проекте АС) и DEC B (учитываемые в проекте АС тяжелоаварийные состояния).
Итак, если в результате небольшого изменения параметра АС оказывается вышедшей не только из состояния, соответствовавшего начальному уровню ГЭЗ, но при этом также нарушается эффективность хотя бы еще одного уровня ГЭЗ, то такое ухудшение безопасности следует признать существенным, так как оно свидетельствует о недостаточной независимости уровней ГЭЗ, то есть о дефиците безопасности, связанном с невыполнением положений [1] (п. 1.2.4).
Должны ли при этом значимо ухудшаться радиационные последствия? Необязательно. Допустим, что произошло небольшое изменение параметра при нормальной эксплуатации АС (уровень 1 ГЭЗ), что привело не только к превышению эксплуатационных пределов (деградация уровня 1), но и к неэффективности уровня 2 ГЭЗ, и для обеспечения безопасности АС потребовалось задействовать системы и процедуры, относящиеся к уровню 3 ГЭЗ (системы безопасности). Можно ли такое положение дел признать приемлемым с точки зрения безопасности? Нет, так как оно свидетельствует о том, что уровни 1 и 2 ГЭЗ не обладают независимостью – и при небольшом отклонении от нормальной эксплуатации АС возникает необходимость во введении в действие технических и организационных средств, обеспечивающих выполнение основных функций безопасности на уровне 3 ГЭЗ. Таким образом, ГЭЗ не имеет нормативного количества уровней защиты. Эта ситуация является проявлением порогового эффекта, и в проекте АС должны быть приняты меры, направленные на ее исключение.
Обратим внимание на важное обстоятельство. Несмотря на все принимаемые меры, всегда будут иметься такие воздействия, которые приводят к нарушению эффективности нескольких уровней ГЭЗ (например, разрыв трубопровода первого контура приводит к нарушению уровней 1 и 2 ГЭЗ, а разрыв корпуса реактора – к потере первых трех и, возможно, уровня 4 ГЭЗ). Однако такие ситуации – это не пороговые эффекты, о которых говорится в [1]. В случае порогового эффекта речь идет о другом – здесь исследуются не значительные воздействия, способные привести к потере нескольких уровней ГЭЗ, а небольшие изменения параметра АС, максимальный допустимый эффект от которых – это нарушение эффективности того уровня ГЭЗ, которому соответствует состояние АС на момент этого небольшого изменения, с последующим вступлением в действие следующего уровня ГЭЗ. Если же видно, что небольшое изменение параметра АС затрагивает эффективность нескольких уровней ГЭЗ, то это повод задуматься, насколько полноценна наша ГЭЗ и не стоит ли принять проектные меры, направленные на исключение порогового эффекта.
Для целей анализа пороговых эффектов можно рекомендовать номенклатуру уровней ГЭЗ, используемую в публикациях WENRA [3] и требованиях EUR [4] (то есть первый из подходов, представленных в табл. 1).
Это объясняется тем, что цели управления авариями при запроектных авариях, не относящихся к тяжелым, и при тяжелых авариях, а также способы управления двумя указанными типами аварий, а в большинстве случаев и применяемые технические средства, являются различными. При использовании первого из подходов к выделению уровней ГЭЗ ситуации, когда небольшое отклонение параметра АС от значения, учитываемого в составе проектных аварий или проектных воздействий, приводит к тяжелой аварии (то есть к неэффективности двух подуровней 3а и 3b ГЭЗ), будут отнесены к пороговым эффектам, что совершенно оправданно, поскольку при этом действительно имеет место существенное ухудшение безопасности АС (отказывает не только набор средств, предназначенных для преодоления проектных аварий, но и средства, предназначенные для управления запроектными авариями на стадии предотвращения тяжелой аварии).
Если же использовать второй из представленных в табл. 1 подходов к выделению уровней ГЭЗ, то описанная ситуация не будет являться потерей эффективности двух уровней ГЭЗ, и для объяснения того, почему она относится к существенному ухудшению безопасности, придется привлекать дополнительные соображения.
Детерминистический и вероятностный аспекты в трактовке понятия «существенное ухудшение безопасности»
Выше было показано, что если небольшое изменение параметра приводит к неэффективности двух и более уровней ГЭЗ, то его можно рассматривать как проявление порогового эффекта (вследствие того, что при этом имеет место существенное ухудшение безопасности АС).
Зададимся вопросом – должно ли явление, для того, чтобы рассматриваться как пороговый эффект, обязательно детерминировано вызывать потерю двух и более уровней ГЭЗ. Не является ли пороговым эффектом также ситуация, когда небольшое изменение параметра приводит к потере эффективности одного уровня ГЭЗ, но, кроме того, к большой (но не стопроцентной) вероятности потери и следующего уровня (следующих уровней) ГЭЗ.
Для ответа на этот вопрос обратим внимание на то, какие аспекты, составляющие понятие безопасности АС, рассматриваются в нормативных документах.
В соответствии с положениями [1] (п. 1.2.1) АС удовлетворяет требованиям безопасности, если выполняются все три условия, показанные на рис. 37.
7 Аналогичный подход к формулировке составляющих безопасности используют нормы безопасности МАГАТЭ SF-1 [7] и SSR-2/1 [2].
Два из трех представленных на рис. 3 условий связаны с реальным радиационным воздействием.
Это воздействие не должно превышать установленных пределов при нормальной эксплуатации АС и ее нарушениях вплоть до проектных аварий и ограничиваться (смягчаться) при запроектных авариях. Третье же условие, в соответствии с которым вероятность аварий (а значит, и вероятность относящегося к ним радиационного воздействия) должна ограничиваться, связано уже не с реальным, а с потенциальным риском радиационного воздействия.
Таким образом, требования обеспечения безопасности АС, в соответствии с положениями [1], полагаются соблюдающимися в случае, если, помимо ограничения радиационного воздействия на людей и окружающую среду, также ограничивается и вероятность аварий, в том числе аварий, сопровождающихся недопустимым радиационным воздействием.
Если в качестве иллюстрации представить гипотетическую АС, на которой происходят проектные аварии каждый месяц, и с ними она успешно справляется без превышения пределов, установленных для таких аварий, то, задаваясь вопросом, безопасна ли такая АС, следует ответить «нет», поскольку в этой ситуации не обеспечено выполнение третьего из рассмотренных нами условий, а именно: не ограничивается должным образом вероятность возникновения аварий8.
8 Может возникнуть вопрос: а какой величиной должна ограничиваться вероятность аварий для того, чтобы полагать, что обеспечено выполнение третьей из представленных на рис. 3 составляющей безопасности? Строгого ответа, как нам видится, нет, но в качестве ориентира можно обратить внимание на имеющуюся европейскую [4], да и отечественную, практику отнесения исходных событий к категориям в зависимости от их частоты. В соответствии с этой практикой, например, компенсируемая течь первого контура относится к событиям категории DBC 2 (имеющим вероятность более 10–2 на интервале в один год, для событий категории DBC 2 устанавливаются самые строгие проектные пределы), в то время как, например, заклинивание главного циркуляционного насоса современная практика относит к событиям категории DBC 4, имеющим на порядки меньшую (менее 10–4 на годичном интервале) вероятность (для событий категории DBC 4 устанавливаются наименее строгие проектные пределы). Если мы вдруг столкнемся с ситуацией, что какая-либо из аварий (в частности, вследствие порогового эффекта) имеет существенно большую вероятность, чем это следует из современной наилучшей практики, то это повод задать вопрос – выполняется ли в таком проекте АС требование [1] (п. 1.2.1) по ограничению вероятности возникновения аварий.
Вне зависимости от возникновения радиационных последствий существенный рост вероятности возникновения аварии – это тоже ухудшение безопасности. Существенность роста такой вероятности следует оценивать и, если связанное с ростом вероятности аварии ухудшение безопасности признано (в соответствии с выбранными при анализе порогового эффекта критериями) существенным и вызывается оно небольшим изменением параметра АС, то перед нами пороговый эффект.
Таким образом, корректным представляется следующий подход: к существенному ухудшению безопасности АС (в рамках анализа пороговых эффектов) относится значимая деградация ГЭЗ в целом, то есть потеря эффективности двух и более уровней ГЭЗ либо значительное увеличение вероятности такой потери.
Отметим, что на необходимость использования, в том числе, вероятностных методов для оценки достаточности мер по предотвращению пороговых эффектов указывают нормы безопасности МАГАТЭ [2] (п. 5.76), требования EUR [4] (п. 2.1.4.3.A) и публикация WENRA [3] (референтный уровень O 3.3), что демонстрирует схожесть понимания данного аспекта с пониманием, который выведен из положений [1] (п. 1.2.1).
Проиллюстрируем правомерность учета наряду с детерминистической (реальной), также и вероятностной (потенциальной) компоненты безопасности при трактовке понятия «существенное ухудшение безопасности» следующим примером. Допустим, что некая АС, защищенная от воздействия высокого уровня океана защитной дамбой, подвергается воздействию землетрясения, приводящего к потере внешнего электроснабжения, и цунами, высота которого немного превышает высоту дамбы и уровень планирования площадки АС. Источники аварийного электроснабжения на АС расположены так неудачно, что отказывают из-за залива водой, что вызывает полное обесточивание АС. После этого тепло от активных зон еще несколько десятков часов отводится пассивно системами, эффективность которых ограничена по времени, и дальнейшее протекание аварийного сценария (переход в тяжелую аварию или предотвращение такого перехода) зависит от успешности действий по восстановлению электроснабжения собственных нужд и отвода тепла к конечному поглотителю от нештатных источников. Вне зависимости от того, увенчаются такие действия успехом или не увенчаются, если вероятность их успешности невысока (например, вследствие того, что персонал АС не имеет соответствующих процедур, а на площадке АС образовались вызванные цунами завалы), то существенное ухудшение безопасности АС следует признать наступившим после возникновения отказов и разрушений, вызванных цунами, так как это привело, во-первых, к неэффективности уровня 3a и предшествовавших ему уровней ГЭЗ, а, во-вторых, также вызвало угрозу наступления с высокой вероятностью тяжелой аварии (то есть после удара цунами АС перешла в состояние с высокой вероятностью потери уровня 3b ГЭЗ).
Принимая во внимание, что безопасность АС на каждом уровне ГЭЗ обеспечивается через поддержание основных функций безопасности9, то с учетом уже изложенного правомерно такое понимание неэффективности уровня ГЭЗ:
Неэффективность уровня ГЭЗ – отказ поддержания одной из основных функций безопасности техническими средствами и организационными мерами, относящимися к рассматриваемому уровню ГЭЗ.
Соответственно, к существенному ухудшению безопасности правомерно относить отказ поддержания основных функций безопасности на нескольких (двух и более) уровнях ГЭЗ (что, как следует из представленного определения, эквивалентно возникновению ситуации неэффективности двух и более уровней ГЭЗ) либо возникновение существенной вероятности такого отказа.
9 К основным (в терминах норм безопасности МАГАТЭ [2] – к фундаментальным) функциям безопасности относятся: а) управление реактивностью; б) отвод тепла от реактора и бассейна выдержки; в) локализация радиоактивных веществ, защита от излучения, контроль плановых выбросов и сбросов радиоактивных веществ, а также ограничение аварийных выбросов и сбросов. На разных уровнях ГЭЗ для поддержания основных функций безопасности проектом предусматриваются разные технические средства. Например, для управления реактивностью на уровне 1 ГЭЗ может предусматриваться автоматический регулятор мощности реактора, на уровне 2 – устройство разгрузки и ограничения мощности и предупредительная защита, на уровне 3а – аварийная защита, на уровне 3b – диверсная аварийная защита или жидкостная система остановки реактора, на уровне 4 ГЭЗ – технические средства, обеспечивающие подкритичность кориума.
Рассуждения о связи порогового эффекта и эффективности уровней ГЭЗ следует уточнить для случаев, когда мы имеем дело с уровнями ГЭЗ, направленными на смягчение аварий (прежде всего, это уровень 4). В частности, в рамках уровня 4 ситуация с безопасностью АС в терминах радиационного воздействия на персонал, население и окружающую среду может меняться весьма значительно в пределах одного уровня ГЭЗ10. Одной из задач обеспечения безопасности АС на этом уровне является защита от явлений, способных вызвать повреждение герметичного ограждения (ГО) реакторной установки (РУ) и, вследствие этого, существенное увеличение радиационного воздействия на людей и окружающую среду (к таким явлениям относятся, в частности, детонация водорода в ГО или разрушение корпуса реактора при высоком давлении).
10 Для других уровней ГЭЗ таких разительных отличий в радиационных последствиях нет, эти отличия имеют меньший масштаб.
Соответственно, для уровней ГЭЗ, связанных со смягчением последствий аварий (прежде всего, для уровня 4) целесообразно сделать уточнение: как существенное ухудшение безопасности разумно в этом случае рассматривать наступление вследствие небольшого изменения параметра АС нарушения эффективности только одного уровня ГЭЗ или существенного увеличения вероятности такого нарушения, если при этом значительно увеличивается радиационное воздействие на людей и окружающую среду или существенно вырастает вероятность такого увеличения радиационного воздействия.
Что такое «параметр»?
Параметры, изменения которых могут привести к ухудшению безопасности АС, могут являться либо внутренними, либо внешними по отношению к АС. При анализе пороговых эффектов внимание следует уделить всем параметрам, изменение значения которых способно нарушить пребывание АС в том или ином состоянии, учитываемом в проекте станции (в частности, нарушить нормальную эксплуатацию АС)11.
11 Как было отмечено, в соответствии с [2], выделяются следующие состояния станции, учитываемые в проекте АС: нормальная эксплуатация, ожидаемые при эксплуатации события, проектные аварии, запроектные условия.
К внутренним параметрам при анализе пороговых эффектов правомерно относить теплофизические, химические, электрические и другие параметры (такие как давление, температура, паросодержание, реактивность, химические показатели технологических сред, напряжение в сети собственных нужд, величины сигналов в контурах регулирования и другие), характеризующие протекающие на АС процессы.
К внешним для АС параметрам следует относить интенсивности (характеристики) внешних воздействий как природного, так и техногенного характера. К ним, в частности, относятся уровни затопления при внешнем наводнении, магнитуда землетрясения, давление во фронте ударной волны, характеристики смерча и другие.
Что такое «небольшое изменение» параметра?
Как отмечалось, любое количество уровней ГЭЗ может быть потеряно, если возмущающее воздействие достаточно велико. При анализе пороговых эффектов выявляются не значительные воздействия, для которых проектом АС допускается потеря нескольких уровней ГЭЗ и предусматривается обеспечение безопасности АС за счет оставшихся в работоспособном состоянии уровней защиты, а ситуации, где «небольшое изменение» параметра приводит к драматическому ухудшению безопасности АС.
Необходимо выяснить, какой смысл вкладывается в понятие «небольшое изменение».
Ответ на этот вопрос, по всей видимости, состоит не в указании универсальной численной меры, связанной с абсолютным или относительным изменением параметра.
Например, при работе РУ на номинальной мощности изменение мощности реактора на 10 % может перевести его из состояния нормальной эксплуатации АС в состояние, когда требуется работа аварийной защиты, то есть в этом случае 10 % номинальной мощности нельзя считать небольшим изменением параметра. В то же время можно привести пример параметров, изменение значений которых при нормальной эксплуатации АС на те же 10 % не приводят к тому, что нормальная эксплуатация АС существенно нарушается.
Изменение некоторых величин вообще невозможно выразить в процентах однозначно. Примером является температура – она может измеряться по шкале Цельсия или по шкале Кельвина. При использовании разных температурных шкал одной и той же величине изменения температуры будут соответствовать разные значения относительного изменения этого параметра.
То же самое можно сказать и об интенсивности ряда внешних воздействий, например, об уровне затопления – одной абсолютной величине изменения уровня будут соответствовать разные значения относительного изменения, если уровень измерять от разных начальных отметок, например от отметки планирования площадки АС, с одной стороны, или от среднего уровня водоема-охладителя, с другой стороны.
Очевидно, нет возможности предложить для рассмотрения изменения параметра АС как небольшого в качестве критерия универсальное численное значение ни абсолютного, ни относительного изменения параметра.
Как же тут поступить?
Для определения подхода в части параметров, являющихся внутренними по отношению к АС, необходимо принять во внимание, что возможны два существенно отличающихся механизма воздействия на состояние АС небольших изменений параметров, связанных с внутренними воздействиями.
Первый механизм. Параметр АС отклоняется за границу проектных пределов, установленных для того или иного состояния АС (например, если речь идет о нормальной эксплуатации, то параметр АС отклоняется за значение эксплуатационного предела).
Второй механизм. Непосредственно при небольшом изменении параметра АС не происходит превышения проектных пределов, установленных для конкретного состояния АС, но возникает переходный процесс (например, вследствие возникновения неустойчивости), который приводит к нарушению установленных для рассматриваемого состояния АС (и соответствующего уровня ГЭЗ) проектных пределов.
В отношении первого механизма в качестве небольшого изменения параметра разумно принять отклонение от предельной величины, соответствующей рассматриваемому уровню ГЭЗ (например, от значения эксплуатационного предела для случая, когда АС находилась в состоянии нормальной эксплуатации), на величину, которая, по меньшей мере, равна точности поддержания значения параметра в соответствующем состоянии атомной станции системами АС и оператором (при определении точности поддержания параметра учитываются как требования проекта АС, так и фактические возможности систем и человека). При этом должны учитываться все возможные режимы АС, относящиеся к рассматриваемому уровню ГЭЗ (например, для состояния нормальной эксплуатации – как режимы с работой реактора на мощности, так и режимы с остановленным реактором; как стационарные, так и переходные режимы нормальной эксплуатации). Разумеется, разработчики проекта АС могут относить к небольшим и более значительные изменения параметров (но в этом случае им придется обеспечивать в проекте АС бόльшие значения проектных запасов).
В отношении второго механизма следует рассматривать возможные для соответствующего состояния АС (например, если речь идет о нормальной эксплуатации, то не противоречащие требованиям Технологического регламента) изменения параметра при допускаемых проектом АС сочетаниях значений других параметров АС и оценивать, может ли возникнуть переходный процесс, приводящий к выходу АС из начального состояния АС (например, из состояния нормальной эксплуатации).
Для формирования подхода к внешним по отношению к АС воздействиям примем во внимание то обстоятельство, что в качестве проектных подлежат учету внешние воздействия природного происхождения с интенсивностью, соответствующей вероятности реализации 10–4 на интервале в 1 год. В то же время, в соответствии с положениями [1] (п. 1.2.17), целевым ориентиром безопасности АС является непревышение вероятности тяжелой аварии величины 10–5 на интервале в 1 год.
Разумно сделать вывод, что увеличение интенсивности внешнего воздействия до величины, соответствующей вероятности реализации на порядок меньшей учитываемой в проекте АС (в составе уровня 3а), не должно приводить к неэффективности уровня 3b, то есть вызывать тяжелую аварию.
Таким образом, в данном случае в качестве малого изменения параметра можно принять изменение интенсивности воздействия, соответствующее изменению вероятности реализации на порядок.
Разработчики проекта АС могут при необходимости рассматривать в качестве небольших и иные величины изменения интенсивности конкретного внешнего воздействия.
«Скачкообразность»
В определении термина «пороговый эффект», представленном в [1], указывается, что при пороговом эффекте существенное ухудшение безопасности АС должно происходить скачкообразно. Это положение означает то, что изменение состояния АС вследствие «небольшого изменения параметра» оценивается непосредственно сразу (или в течение короткого промежутка времени) после того, как произошло упомянутое изменение параметра.
При этом для того, чтобы решить, наступило ли в течение указанного небольшого промежутка времени существенное ухудшение безопасности или нет, следует принимать во внимание (это показано выше) как фактическое снижение эффективности ГЭЗ, так и вероятность его дальнейшего ухудшения.
Таким образом, если, например, небольшое изменение параметра станции привело в течение короткого времени к состоянию, которое само по себе не связано с нарушением эффективности следующего уровня (или уровней) ГЭЗ либо с существенным ухудшением радиационного воздействия на персонал, население и окружающую среду, но несет неотвратимую (или имеющую высокую вероятность реализации) угрозу такой потери или существенного ухудшения в дальнейшем, то такое состояние, соответствующее изложенному в статье пониманию существенного ухудшения безопасности, следует признать возникшим скачкообразно (даже если неотвратимая или имеющая высокую вероятность возникновения потеря функции безопасности на следующем уровне ГЭЗ наступит через много часов или даже через сутки, или несколько).
На рис. 4 рассмотрены ситуации, в которых существенная деградация ГЭЗ или ухудшение радиационного воздействия по-разному во времени отделены от момента небольшого изменения параметра. Тем не менее, если непосредственно после небольшого изменения параметра АС происходит существенное увеличение вероятности указанных последствий (в том числе, если их наступление становится практически неотвратимым), то возникновение существенного ухудшения безопасности происходит именно в этот момент.
Примеры проявления пороговых эффектов
Проиллюстрируем выявленное содержание понятия «пороговый эффект» на примерах (номенклатура уровней ГЭЗ в примерах соответствует первому из подходов, представленных в табл. 1).
Рис. 4. Различные ситуации, при которых существенное ухудшение безопасности наступает скачкообразноПример 1. Исходное состояние АС – нормальная эксплуатация (АС эксплуатируется с соблюдением эксплуатационных пределов и условий, то есть в рамках уровня 1 ГЭЗ). При небольшом отклонении какого-либо технологического параметра АС за величину эксплуатационного предела системы АС и персонал не могут предотвратить переходный процесс, при котором возникает необходимость в работе систем безопасности (то есть технических средств, относящихся к уровню 3a ГЭЗ). Таким образом, небольшое изменение параметра АС привело к неэффективности двух уровней ГЭЗ. Является ли такое поведение АС проявлением порогового эффекта? Да, является.
Проектными мерами, направленными на исключение порогового эффекта, в таких ситуациях являются надлежащее установление проектных пределов и условий (как эксплуатационных пределов и условий, так и других), применение необходимых запасов, применение эффективных технических и организационных мер по восстановлению нормальной эксплуатации АС (регуляторов, блокировок и других), обеспечение устойчивости технологических процессов.
Пример 2. Исходное состояние АС – нормальная эксплуатация. Ограничения по значению нейтронно-физических характеристик установлены так, что небольшое (в пределах допустимого при нормальной эксплуатации АС) изменение какого-либо теплофизического параметра, влияющего на реактивность (плотности теплоносителя, паросодержания в активной зоне или иного), приводит к непрерывному увеличению мощности (или скорости нарастания нейтронного потока реактора) до уставок срабатывания аварийной защиты. Это – пороговый эффект, так как небольшое изменение возмущающего параметра привело (например, вследствие наличия положительных обратных связей) к возникновению переходного процесса, нарушившего нормальную эксплуатацию АС и вызвавшего необходимость введения в действие технических средств, выполняющих на уровне 3а основную функцию безопасности – управление реактивностью.
Мерами, направленными на исключение порогового эффекта в подобных случаях, являются установление таких ограничений по значениям нейтронно-физических характеристик (эксплуатационных пределов), при соблюдении которых исключалась бы описанная реакция РУ на небольшие возмущения (изменения) параметров.
Пример 3. Исходное состояние АС – нормальная эксплуатация находящейся в холодном остановленном состоянии АС с водоохлаждаемым реактором с двухканальной структурой систем безопасности (теплоотвод от активной зоны осуществляется системой расхолаживания). Возникает течь системы промконтура. Допустим, что при возникновении течи поступление воды возможно в помещение работающего канала системы расхолаживания. Проектом АС данная ситуация изначально не рассматривалась как нарушение нормальной эксплуатации, относящееся к уровню 3a ГЭЗ и последующим, поскольку она не оказывает влияния на выполнение основных функций безопасности (не приводит к отказам, вызывающим требования работы систем, выполняющим функции безопасности на указанных уровнях ГЭЗ). Впоследствии при выполнении более детального анализа было установлено, что если исходный объем воды в промконтуре превышает номинальное значение 200 м3 и составляет 210 м3 (физически возможная величина), то объема истекающей жидкости достаточно для того, чтобы привести к отказу работающего канала системы расхолаживания. Если при этом второй канал данной системы выведен из работы (допустим, что при остановленном блоке АС это разрешено технологическим регламентом), то такая ситуация приводит к неэффективности уровня 3а, а также предыдущих уровней ГЭЗ и вызывает необходимость введения в действие систем, осуществляющих теплоотвод от активной зоны на уровне 3b (например, мобильной техники). Эксплуатационных пределов по допустимому отклонению объема промконтура от номинального значения в проекте АС установлено не было, в связи с чем эксплуатация АС в режиме останова могла осуществляться в широком диапазоне значений указанного объема, в том числе и с таким значением, который при возникновении течи промконтура приводил к потере нескольких уровней ГЭЗ.
Является ли данная ситуация пороговым эффектом? Изменение параметра (объем воды промконтура) в представленном примере при эксплуатации АС (до возникновения течи) происходило в рамках одного (первого) уровня ГЭЗ (поскольку проектом АС не установлены соответствующие эксплуатационные пределы) – то есть соответствует критерию небольшого изменения. Изменение значения параметра до 210 м3 привело к тому, что в случае последующего возникновения течи промконтура произойдет потеря эффективности не только уровня 2 ГЭЗ (к которому ситуация с течью промконтура изначально была отнесена проектом АС), но и к потере эффективности уровня 3а. Особенность этого случая в том, что описанное небольшое изменение параметра приведет к существенному ухудшению безопасности (к потере нескольких уровней ГЭЗ) только в случае начального состояния АС, соответствующего уровню 2 ГЭЗ (то есть, если возникнет течь промконтура).
Ситуацию следует расценить как проявление порогового эффекта, поскольку небольшое изменение параметра АС привело в условиях возникновения ожидаемого при эксплуатации нарушения АС к существенному ухудшению безопасности. Проектными мерами, направленными на исключение порогового эффекта, в описанной ситуации являются, как и в рассмотренном выше примере 1, надлежащее установление эксплуатационных пределов и условий (в частности таким образом, чтобы объем воды в промконтуре, равный 210 м3 , не допускался при нормальной эксплуатации АС в режимах останова).
Пример 4. Исходное состояние АС – состояние после учитываемого в проекте АС внешнего воздействия (состояние АС покрывается уровнем 3а ГЭЗ). Допустим, что интенсивность внешнего воздействия несколько превысила интенсивность, учитываемую в проекте АС. Допустим также, что такое воздействие вызвало повреждение систем и элементов АС в таком объеме, что переход аварии в тяжелую стадию становится неотвратимым или практически неотвратимым. В этом случае видно, что небольшое отклонение параметра (интенсивности внешнего воздействия) за величину, покрываемую уровнем 3а ГЭЗ, приводит, помимо потери технических средств, задействованных в выполнении основных функций безопасности на уровне 3а, также и к неэффективности (или к высоковероятной угрозе потери эффективности) технических средств, используемых для управления не являющимися тяжелыми запроектными авариями, то есть технических средств, относящихся к уровню 3b. Если величина превышения интенсивности внешнего воздействия будет расценена как небольшое изменение параметра, то это пороговый эффект. В качестве проектных мер, направленных на исключение таких пороговых эффектов, могут быть рассмотрены применение проектных запасов, а также меры по защите систем и элементов АС от внешних воздействий, имеющих интенсивность, превышающую проектную, применяемые таким образом, что системы и элементы АС, чья работоспособность будет сохранена, были бы достаточны для управления аварией без ее перехода в тяжелую стадию.
Пример 5. Исходное состояние АС – учитываемая в проекте АС тяжелая авария (авария, не являющаяся практически исключенной, то есть авария, для которой в проекте АС предусмотрены технические и организационные меры, обеспечивающие выполнение установленных проектных критериев безопасности, в том числе по ограничению радиационного воздействия). Таким образом, мы рассматриваем состояние АС, покрываемое уровнем 4 ГЭЗ. Предположим, что небольшое отклонение термодинамических параметров водородсодержащей среды в контейнменте (по сравнению с параметрами, при которых в проекте АС для данной тяжелой аварии обоснована водородная взрывозащита) вызывает детонацию среды в ГО, которая приводит к разрушению ГО и большому аварийному выбросу – то есть к неэффективности уровня 4 ГЭЗ и к значительному увеличению радиационного воздействия на население и окружающую среду. Описанную ситуацию следует расценить как проявление порогового эффекта.
Проектными решениями, направленными на исключение такого рода пороговых эффектов, могут служить меры по обеспечению проектных запасов до возникновения детонации, способной привести к утрате ГО своих функций.
Пример 6. Оператор эксплуатирует АС с грубыми нарушениями технологического регламента, например бездумно допускает повышение давления в первом контуре РУ с водоохлаждаемым некипящим реактором, заблокировав действие защитных систем, при этом обладая информацией, что требования технологического регламента нарушаются. При очередном небольшом повышении давления, рано или поздно, можно получить аварию с повреждением границы первого контура.
Будет ли это проявлением порогового эффекта в его нормативном понимании? Нет, не будет. Пороговый эффект – это существенное ухудшение безопасности, являющееся следствием небольшого изменения параметра АС, происходящего при нахождении АС в учитываемом в проекте АС состоянии станции (например, в состоянии нормальной эксплуатации). Оператор же в рассматриваемом примере осознанно эксплуатировал АС вне установленных проектом АС границ (пределов и условий) – нормативное требование по принятию в проекте АС мер, направленных на исключение порогового эффекта, не относится к таким ситуациям.
Однако, если оператор не осознавал и не мог осознавать на основе имеющейся у него информации, что он эксплуатирует станцию вне области, разрешенной технологическим регламентом, то подобную ситуацию следует оценить как пороговый эффект. В последнем случае проектными мерами, направленными на исключение порогового эффекта, будут являться меры по обеспечению оператора во всех режимах АС однозначной информацией о соблюдении или несоблюдении установленных в проекте АС и представленных в Технологическом регламенте пределов и условий.
Алгоритм определения необходимости принятия мер, направленных на исключение порогового эффекта
На основе представленных в статье соображений по трактовке понятия «существенное ухудшение безопасности» (мы показали, что должны учитываться такие последствия небольшого изменения параметра АС, как нарушение эффективности (потеря) уровней ГЭЗ, изменение величины радиационного воздействия на персонал, население, окружающую среду, так и вероятность, с которыми эти события – нарушения эффективности уровней ГЭЗ и изменения величины радиационного воздействия – наступают) можно предложить как материал для последующей дискуссии в среде специалистов матрицу для определения необходимости принятия в проекте АС мер, направленных на исключение порогового эффекта, а также для оценки их важности (табл. 2). Представленная матрица учитывает как детерминистические, так и вероятностные аспекты, связанные с изменением эффективности ГЭЗ, а также с изменением параметров радиационного воздействия.
Данная матрица позволяет, в зависимости от того, вызывает ли небольшое изменение параметра АС увеличение радиационного воздействия (и насколько значительное), деградацию уровней ГЭЗ, а также в зависимости от вероятности (оцененной, как правило, качественно, но возможны и количественные оценки), с которой наступают после небольшого изменения параметра АС такие последствия, принять решение о наличии или отсутствии порогового эффекта, а в последнем случае – также оценить допустимость или недопустимость ситуации, когда принятые в проекте АС меры не исключают, тем не менее, полностью проявление порогового эффекта (то есть оценить важность для безопасности принятия дополнительных проектных мер, направленных на исключение порогового эффекта).
Под изменением вероятности последствий в первом столбце представленной в табл. 2 матрицы понимается разность вероятности реализации последствий (радиационных последствий, а также потери эффективности физических барьеров и уровней ГЭЗ) до и после небольшого изменения параметра. При отсутствии возможности использования или если применение численных вероятностных оценок признано нецелесообразным, градация изменения вероятности наступления последствий («существенное», «малое» или «крайне малое») определяется качественно на основании экспертной оценки (аналогичный подход изложен в [8]). Такой способ определения градации вероятностного компонента представляется основным. Если же выбран способ с использованием численных вероятностных оценок, то численные значения, соответствующие категориям «существенное», «малое», «крайне малое» подлежат установлению при выполнении анализа возможности возникновения порогового эффекта для конкретной АС.
По результатам обсуждения специалистами отрасли и регулирующего органа виделась бы полезной разработка документа (стандарта или руководства по безопасности), излагающего согласованные подходы к выявлению пороговых эффектов и определению актуальности принятия проектных мер, направленных на их исключение. В этом документе было бы целесообразно, в том числе, представить подробные указания по вопросам установления шкал градаций для изменения радиационного воздействия и для изменения вероятности реализации последствий.
Примечания: * Учитывается изменение радиационного воздействия при переходе АС из состояния, имевшегося до небольшого изменения параметра, в состояние после реализации явления, анализируемого на предмет отнесения его к пороговым эффектам. Градации уровней изменения радиационного воздействия устанавливаются при анализе.
Обозначения категорий важности: Нз (незначительная) – пороговый эффект отсутствует либо его влиянием на безопасность АС можно пренебречь. Н (низкая) – пороговый эффект практически отсутствует. Рекомендуется приведение обоснования достаточности мер по предотвращению негативного влияния на безопасность АС. C (средняя) – имеется пороговый эффект. Требуется разработка мер, направленных на исключение порогового эффекта (либо обоснование практической неосуществимости таких мер). В (высокая) – имеется пороговый эффект со значительным негативным влиянием на безопасность АС. Требуется разработка мер, направленных на исключение порогового эффекта.
Заключение
В статье рассмотрено новое нормативное понятие «пороговый эффект», появившееся в [1], и сформулированы подходы, которые могут использоваться при выполнении анализа проекта АС на предмет возможности проявления пороговых эффектов и при оценке необходимости принятия проектных мер, направленных на их исключение.
Показано, что для выполнения положений [1] (пп. 1.2.1, 1.2.4) при анализе пороговых эффектов к существенному ухудшению безопасности следует относить ситуации, когда следствием небольшого изменения параметра АС является потеря эффективности двух и более уровней ГЭЗ, а также ситуации, когда значимо возрастает вероятность такой потери. Также показано, что при анализе существенности ухудшения безопасности следует оценивать изменение величины радиационного воздействия на персонал, население и окружающую среду. Рассмотрены значение понятия «параметр», трактовка оборота «небольшое изменение параметра», а также, какова роль при анализе пороговых эффектов скачкообразности изменения состояния АС.
По результатам представленного в данной статье анализа для последующей дискуссии в среде специалистов предложена матрица оценки актуальности принятия проектных решений, направленных на исключение порогового эффекта. В соответствии с предложенной матрицей решения об актуальности принятия в проекте АС мер, направленных на исключение порогового эффекта, принимаются с учетом как реальных последствий в виде изменения эффективности уровней ГЭЗ и состояния физических барьеров, изменения радиационного воздействия на персонал, население и окружающую среду, так и с учетом возрастания вероятности наступления подобного рода последствий.
Авторы:
М. Ю. Ланкин, Г. А. Ершов, М. А .Быков, А. В. Любарский
Литература
- Федеральные нормы и правила в области использования атомной энергии. Общие положения обеспечения безопасности атомных станций. НП-001-15: утв. приказом Ростехнадзора от 15.12.2015 № 522.
- Безопасность атомных электростанций: проектирование. Конкретные требования безопасности. № SSR-2/1 (Rev. 1). МАГАТЭ, Вена. 2016.
- WENRA Safety Reference Levels for Existing Reactors. Report 2020. WENRA, 2021.
- European Utility Requirements for LWR Nuclear Power Plants. Volume 2. Generic Nuclear Island Requirements. Chapter 1. Safety Requirements. Revision E. 2016.
- Руководство по безопасности при использовании атомной энергии. Комментарии к федеральным нормам и правилам «Общие положения обеспечения безопасности атомных станций» (НП-001-15). РБ-152-18: утв. приказом Ростехнадзора от 3.10.2018 № 486.
- Considerations on the Application of the IAEA Safety Requirements for the Design of Nuclear Power Plants. IAEA TECDOC-1791. IAEA, Vienna. 2016.
- Основополагающие принципы безопасности. Основы безопасности № SF-1. МАГАТЭ, Вена. 2007.
- Руководство по безопасности при использовании атомной энергии. Анализ несоответствий блока атомной станции требованиям действующих нормативных документов. РБ-028-04: утв. Постановлением Федеральной службы по атомному надзору от 25.05.2004 № 5.