Причины задержки в обнаружении неисправного ПККО
Время - 00:00:12 - 02:18:00
Состояние станции. После останова турбины последовал ожидаемый рост давления в КО и, соответственно, открытие ПККО. Когда, давление упало до уставки закрывания ПККО (156 кгс/см2), последовавшее за сбросом A3 реактора, электрическое напряжение на сервопривод ПК было автоматически отключено, давая команду на его закрытие. ПК, однако, остался в открытом состоянии, что привело к образованию пузыря в зоне и значительному снижению уровня и давления в системе первого контура.
Оператор. Спустя 48 с от исходного события уровень в КО достиг максимально допустимого значения (4 м) и стал быстро расти. Время 3 мин 28 с - уровень приблизился к максимально допустимой верхней уставке (6,6 м) и все еще продолжал расти. В этот момент оператор посмотрел на индикатор положения ПККО, который ошибочно показывал, что клапан закрыт, и исключил из дальнейшего рассмотрения ПККО как возможную причину неправильного функционирования КО, отключил пусковой насос IC (MU-P-IC), а подпиточные насосы высокого давления задросселировал при помощи клапанов (MU-V- A, B, C, D). Цель этих действий - избежать полного заполнения водой КО (00:04:38).
В последующие 134 мин. операторы продолжали полагаться на правильность индикации о закрытом ПККО, что послужило причиной выработки неправильных гипотез и действий с целью избежать потери управления первым контуром при полном заполнении КО.
Конструктивные проблемы. Следующие недостатки конструкции существенно повлияли на действия оператора:
Неадекватная информация. Индикатором состояния ПККО является единственная красная лампочка на 4-й панели. Она зажигается, когда электрический сигнал идет на команду открытия ПК, и выключается, когда идет сигнал на закрытие. Надпись при этом такова "Горит - ПК открыт". Это является грубым нарушением основных инженерно-психологических принципов, отраженных в MIL- STD-1472B, § 5.2.2.1.4:
"Отсутствие или гашение сигнала или визуальной индикации не должно использоваться для обозначения "готовность", "дошел (достиг)", "в пределах допуска", или условий выполнения... Изменения в статусе сигнализации должны обозначать изменения в функциональном состоянии, а не результат самого управляющего воздействия".
Отсутствие информации. Отсутствует индикация расхода в сбросном трубопроводе ПККО, поэтому оператор должен судить о расходе в линии по температуре на выходе ПК.
Неудачное размещение индикации. Панель состояния барботера размещена, на панели 8А, которая находится вне главной рабочей зоны пультовой. Аварийная инструкция 2202-1.5 "Выход из строя системы КО" характеризует давление и температуру в барботере как главные симптомы неисправности ПККО.
Надписи. Панель ПККО имеет ряд надписей, добавленных операторами, что характеризует неадекватность первичного исполнения.
Обучение и инструкции
· Операторы были приучены не допускать полного заполнения КО, поэтому они следили за уровнем и пренебрегли давлением в первом контуре. Это проистекало из Технической спецификации TMI-2, которая гласит, что КО не должен заполняться водой полностью (10 м), за исключением случаев гидростатических испытаний;
· Операторы полагали, что падение давления в 1 контуре следует за утратой парового пузыря в КО, однако этот вариант никогда не изучался ими на тренажере;
· Аварийные инструкции на случай обезвоживания активной зоны (потеря теплоносителя) утверждают, что признаками этого является падение давления в первом контуре и уровня в КО. Обучение предполагало, что утечка теплоносителя должна сопровождаться снижением уровня;
· Операторы были обучены так, что верили, что пока теплоноситель находится в КО, он заполняет активную зону;
· Операторы были приучены к тому, что отсутствие горящей лампочки индикации ПККО обозначает его закрытие, тогда как это просто характеризовало отсутствие управляющего сигнала на открытие клапана;
· Операторы ожидали более высоких, чем нормальные, температур на выпускной трубе ПККО, так как знали, что ПК раньше давал течь и был открыт на третьей секунде. Это является примером перенесения первичного опыта на новые условия в отсутствие надлежащего обучения. В дополнение к этому, они не знали, какими должны быть эти температуры или насколько велико может быть приемлемое различие между реальной температурой на выходе ПК и температурой на выходе стандартных клапанов безопасности.
Анализ. Неспособность операторов обнаружить открытый ПККО в течение первых 150 мин. аварии имела решающее значение и привела к тяжелым последствиям. Однако причины этого лежат в конструкции и инструкциях, поскольку операторы ориентировались на неадекватную или ошибочную информацию.
Индикатор положения ПККО ввел в заблуждение операторов. В отсутствие прямой индикации расхода по сбросному трубопроводу ПК в барботер операторы были вынуждены опираться на показания по температуре, чтобы по ним судить о расходе. Этот метод оказался неадекватным, т.к. ожидалось, что температура на выпускной трубе канала должна расти вслед за открытием клапана, а операторы не были снабжены информацией относительно температурного режима этой линии. Наконец, информация по контролируемым параметрам барботера была вынесена на панель вне главной рабочей области пультового помещения.
Для осмотра панели барботера операторы должны были покидать главную рабочую зону, что было нежелательно, учитывая состояние ручного управления во время аварии. Кроме того, информация на этой панели не записывалась на ленточные самописцы, поэтому, когда операторы, наконец, подошли к ней, то не смогли определить изменение параметров барботера.