Принцип глубокоэшелонированной защиты: почему у реактора несколько барьеров
Глубокоэшелонированная защита звучит как лозунг из презентации, а на деле это конкретная инженерная схема: несколько физических барьеров на пути радиоактивных веществ и несколько уровней защиты этих барьеров. Разбираем, из чего состоят барьеры и уровни, какие принципы их удерживают и что из этого следует для проектировщика.
На вводном совещании новому в отрасли проектировщику говорят: у нас всё строится на глубокоэшелонированной защите. Звучит как слоган. Через месяц тот же человек получает замечание: ваше решение нарушает независимость каналов и обесценивает третий уровень защиты. Оказывается, за лозунгом стоит конкретная инженерная схема, из которой выводятся требования к компоновке, к кабельным трассам, к вентиляции и даже к расположению щитов. Разберём эту схему.
Два измерения одной концепции
Глубокоэшелонированная защита состоит из двух наложенных друг на друга структур. Первая — последовательность физических барьеров на пути выхода радиоактивных веществ из топлива в окружающую среду. Вторая — последовательность уровней защиты, каждый из которых оберегает барьеры и вступает в работу, когда предыдущий уровень не справился.
Смысл в том, что ни один барьер и ни один уровень не считается абсолютно надёжным. Защита строится на предположении, что отказы будут, и задача проекта — сделать так, чтобы отказ на одном рубеже не приводил к выходу радиоактивных веществ. Требования закреплены в федеральных нормах и правилах из каталога ФНП; аналогичный подход лежит в основе международных принципов безопасности МАГАТЭ.
Физические барьеры
| Барьер | Что удерживает | Чем повреждается |
|---|---|---|
| Топливная матрица | Основную часть продуктов деления внутри таблетки | Перегрев топлива, превышение допустимой мощности |
| Оболочка твэла | Газообразные продукты деления, вышедшие из матрицы | Потеря охлаждения, термические и механические нагрузки |
| Граница контура теплоносителя | Активность теплоносителя и продукты, вышедшие из негерметичных твэлов | Разрыв трубопровода, дефект корпуса или парогенератора |
| Защитная оболочка | Всё, что вышло при повреждении предыдущих барьеров | Избыточное давление, внешние воздействия, потеря герметичности проходок |
Барьеры работают последовательно: чтобы радиоактивные вещества попали в окружающую среду, должны быть повреждены все. Отсюда простое проектное правило: любое решение, которое ослабляет хотя бы один барьер, требует отдельного обоснования. Каждая проходка через гермооболочку, каждый фланец на границе контура теплоносителя, каждое отверстие в защитной конструкции — потенциальное ослабление барьера, и за него кто-то отвечает.
Уровни защиты
| Уровень | Содержание | Что обеспечивает |
|---|---|---|
| Первый | Качественный проект, надёжное оборудование, культура безопасности, дисциплина эксплуатации | Предотвращение нарушений нормальной эксплуатации |
| Второй | Системы контроля, управления и защиты, регламенты действий персонала | Обнаружение отклонений и возврат в нормальное состояние |
| Третий | Системы безопасности: останов, аварийное охлаждение, локализация | Управление проектными авариями, удержание барьеров |
| Четвёртый | Технические средства и руководства по управлению запроектными авариями | Ограничение последствий тяжёлых аварий, сохранение защитной оболочки |
| Пятый | Противоаварийное планирование за пределами площадки | Защита населения, если выход за пределы площадки всё же произошёл |
Первый уровень для проектировщика важнее, чем кажется. Именно на нём работает большая часть его труда: правильно выбранные запасы, качественные материалы, продуманная компоновка, отсутствие ошибок в расчётах. Ни один последующий уровень не компенсирует систематическую ошибку проекта.
Глубокоэшелонированная защита — это не запас прочности, а отказ полагаться на один рубеж. Каждый уровень проектируется в предположении, что предыдущий уже не сработал.
Принципы, на которых держится эшелонирование
Сама по себе многослойность не работает, если слои зависят друг от друга. Поэтому на системы безопасности накладываются дополнительные принципы.
- Резервирование: функция выполняется несколькими каналами, каждого из которых достаточно для выполнения задачи.
- Независимость: отказ или отключение одного канала не влияет на остальные, включая общие источники питания, охлаждения и управления.
- Физическое разделение: каналы разнесены в пространстве или отделены барьерами, чтобы пожар, затопление или падение конструкции не поразили их разом.
- Разнообразие: параллельные функции реализуются на разных принципах или на оборудовании разных типов, чтобы исключить отказ по общей причине.
- Принцип единичного отказа: система выполняет функцию при отказе любого одного элемента дополнительно к исходному событию.
- Безопасный отказ: при потере питания или сигнала элемент переходит в состояние, благоприятное для безопасности.
Отдельно рассматриваются отказы по общей причине — ситуации, когда один фактор выводит из строя все резервные каналы сразу. Классические источники: одинаковое оборудование с одинаковым дефектом, общая ошибка в программном обеспечении, общая среда — затопление, пожар, высокая температура, общий персонал, совершивший одну и ту же ошибку обслуживания на всех каналах.
Что из этого следует для проектировщика
- Каждый элемент проекта получает класс безопасности, и от него зависят требования к материалам, расчётам, контролю и оценке соответствия.
- Резервные каналы разводятся по разным помещениям, разным кабельным трассам, разным системам вентиляции и разным источникам питания.
- Проходки через защитную оболочку минимизируются, а каждая оставшаяся оснащается средствами герметизации и подлежит контролю.
- Элементы низких классов не должны при разрушении повреждать элементы высоких классов: отсюда требования к креплениям, подвескам и защитным экранам.
- Любое изменение решения проверяется на влияние на барьеры и уровни, а не только на прочность и стоимость.
- Для запроектных аварий предусматриваются подключения для мобильной техники, пути подачи воды и электроэнергии, доступные при разрушенной инфраструктуре.
Как принцип проверяется
В обосновании безопасности глубокоэшелонированная защита не декларируется, а показывается. Для каждого исходного события прослеживается цепочка: какой барьер под угрозой, какие уровни защиты вступают в работу, какие системы выполняют функцию, что происходит при единичном отказе, что происходит при отказе по общей причине. Отдельно выполняется анализ надёжности систем и вероятностный анализ безопасности, который показывает слабые места в этой цепочке.
Регулятор смотрит именно на это. Деятельность по проектированию, сооружению и эксплуатации объектов использования атомной энергии лицензируется по 170-ФЗ, и предметом проверки становится не красота решения, а доказанная работоспособность каждого эшелона.
Где принцип чаще всего нарушают непреднамеренно
- Резервные каналы объединяются в одном кабельном коридоре ради экономии.
- Резервные насосы питаются от общей системы охлаждения или общего маслохозяйства.
- Все каналы обслуживает одна и та же бригада по одной и той же процедуре в один и тот же день.
- В разных каналах применяется идентичное программное обеспечение без анализа общего отказа.
- Оборудование низкого класса подвешено над оборудованием высокого класса.
- Число проходок через гермооболочку растёт от изменения к изменению без сводного контроля.
- Изменение рабочей документации выпускается без проверки влияния на классификацию по безопасности.
Как удержать принцип в повседневной работе
Практический приём: при каждом проектном решении задавайте два вопроса. Первый — какой барьер это решение защищает или ослабляет. Второй — какой уровень защиты оно обеспечивает и что произойдёт, если этот уровень не сработает. Если ответ на оба вопроса неочевиден, решение нужно обсуждать, а не согласовывать. Закрепите проверку влияния на безопасность как обязательный шаг процедуры изменений в программе обеспечения качества — именно там чаще всего теряется контроль над эшелонированием.
Атом-Плюс помогает организациям, входящим в атомную отрасль, разобраться в требованиях к безопасности на практическом уровне: подбираем применимые федеральные нормы и правила, готовим комплект документов на лицензию Ростехнадзора, разрабатываем программу обеспечения качества с процедурами классификации элементов и оценки влияния изменений на безопасность. Если вам нужно перевести принципы безопасности в конкретные внутренние процедуры, оставьте заявку в форме ниже.
Фото: USAID Vietnam, Wikimedia Commons, Public domain
.jpg){kind=link}