Вышла в свет книга Б.И.Нигматулина и В.А.Пивоварова «Реакторы с тяжелым жидкометаллическим теплоносителем. История трагедии и фарса». Подробнее 

 Профессор Б.Г. Гордон  

1. Однажды на ленте новостей и комментариев, посвящённых использованию атомной энергии, была опубликована прямая речь двух авторитетных работников атомной отрасли, касающаяся безопасности атомных станций (АС). Так, директор одной из них заявил, что двойная защитная оболочка и системы безопасности современного водо-водяного энергетического реактора (ВВЭР) обеспечивают такие условия эксплуатации, при которых «новый объект электрогенерации будет абсолютно безопасным для человека и природы».

А руководитель другого предприятия Росатома, рассуждая об одном из тоже современных проектов, утверждал, что «в целом мы на 100% уверены в безопасности данного реактора».

Конечно, такие безапелляционные мнения можно было бы отнести на счёт индуцированной СМИ ажитации их авторов или патетики самих корреспондентов, если бы время от времени подобные заявления не звучали из уст разнообразных и влиятельных  специалистов отрасли. Я ещё застал те времена, когда крупные аварии на АС считались невозможными, и хорошо помню период между Чернобылем и Фукусимой, когда немолодые лидеры заверяли общество в выученных назубок уроках, позволяющих преодолеть последствия любых аварий. И разве не та же уверенность  питала слова известных мировых учёных, подписавших уже после Фукусимы декларацию: «Никогда больше»?  

Давно подмечен дуализм подобных заявлений. Когда просят деньги на «повышение безопасности», оперируют недостатками в имеющихся знаниях, когда отчитываются за их расходование, трубят в фанфары успеха.  Хотя специалистам хорошо известно, что существуют разные виды безопасности, что ловушка расплава, бесспорно, повышает радиационную безопасность человека, но не влияет на ядерную безопасность АС, а  «абсолютной» безопасности просто не бывает. Последнее понятие ни в научной, ни в нормативной документации не определено, так как постулируется и не является предметом доказательств и, по существу, представляет собой метафору. На эту тему имеется целая литература, в которой нашлось место и моим книгам, например, /1/. Но несмотря на это, довольно часто неряшливое словоупотребление проскальзывает даже в конвенционных текстах и поэтому приходится возвращаться к проблематике оценок безопасности, которые будут рассмотрены далее в несколько необычном аспекте.

2. Многие технические специалисты сталкивались с филологическим явлением  полисемии, когда одно и то же понятие имеет несколько значений в зависимости от  контекста и области применения. Так, например, в законе /2/ даётся следующее определение ключевого термина: «Авария - разрушение сооружений и (или) технических устройств, применяемых на опасном производственном объекте, неконтролируемые взрыв и (или) выброс опасных веществ». Для большинства отраслей промышленности это определение служит образцом, юридическим паттерном, существо которого раскрывается в подзаконных актах. Так, в одном из важнейших стандартов /3/ даётся следующее определение: "...транспортная авария: Авария на транспорте, повлекшая за собой гибель людей, причинение пострадавшим тяжелых телесных повреждений, уничтожение и повреждение транспортных сооружений и средств или ущерб окружающей среде..."

В основном законе, регулирующем отношения в области использования атомной энергии,  термин «авария» упоминается многократно, хотя его определение отсутствует.  Зато в основополагающем подзаконном акте /4/ можно найти несколько определений этого понятия. Так, для самых крупных аварий, сопровождающихся опасными радиационными последствиями, даётся следующее определение: «Тяжелая авария – запроектная авария с повреждением твэлов выше максимального проектного предела».

Если вдуматься в эти определения и сопоставить их содержание, то оказывается, что термин «авария» в разных отраслях имеет кардинально различные значения. В атомной области под крупнейшей и опаснейшей аварией понимается нарушение эксплуатации всего лишь одного из элементов оборудования. Пусть важного, наиболее серьёзного, но такого,  от которого в цепочке событий от первого нарушения эксплуатации может быть ещё очень далеко до «телесных повреждений или гибели людей». От  нарушения нормативов повреждения твэлов до разрушения объекта и радиационного воздействия на человека, как говорится «дистанции огромного размера».

Это принципиальное отличие атомной отрасли от всей остальной техносферы, в которой аварии представляют собой разрушение сооружений, технических устройств, неконтролируемый взрыв или выброс опасных веществ. Причём в произошедших на АС авариях разрушение технических элементов не всегда сопровождалось выбросом опасных веществ и воздействием на человека.

Так, например, на Три-Майл-Айленд, где произошла тяжёлая авария, твэлы частично разрушились, но за счёт эффективной работы последних барьеров глубоко эшелонированной защиты радиационное воздействие за пределами энергоблока не превысило нормы. То есть, имела место ядерная авария, которая, к счастью, не переросла в радиационную.

На Фукусиме также произошла ядерная авария, при которой большую часть персонала эвакуировали, чем предотвратили радиационное воздействие на человека. Там, несколько дней,  к сожалению,  неудачно боролись с последствиями ядерных аварий на трёх энергоблоках до тех пор, пока после взрывов гремучей смеси не разрушились технические устройства и сооружения.

Только на Чернобыле, практически, одновременно разрушение твэлов и сооружений совпало с радиационным, тепловым и другими воздействиями на человека и окружающую среду. И не раз говорилось о том, что все три аварии были математически смоделированы, предсказаны загодя, но эти сценарии казались столь невероятными, что в них никто так и не поверил, оказавшись не готовым к их возникновению.

3.  Существуют два основных вида анализов аварий. Детерминистские анализы моделируют состояния систем и элементов АС в различных аварийных режимах, а с помощью вероятностных анализов безопасности (ВАБ) рассчитываются вероятности тех или иных конечных состояний аварий, в том числе, тяжёлых. В упомянутом нормативном документе /4/ установлены численные значения вероятности: «Целевыми ориентирами безопасности АС являются: непревышение суммарной вероятности тяжелых аварий для каждого блока АС на интервале в один год, равной 10^-5»» .

Эта величина чаще всего обозначается как λ, имеет размерность частоты на один реактор 1/(реактор х год) и иногда называется  частотой сверхнормативного повреждения твэлов. Используемая до сих пор английская аббревиатура CDF (core damage frequency) несколько неточна, так как твэлы могут размещаться и разрушаться не только в активной зоне, но и в бассейне выдержки, и в хранилищах топлива.

На моей памяти много лет велись споры о том, чтобы в нормативных определениях  целевых ориентиров использовался термин «частота тяжёлой аварии», а не «суммарная вероятность тяжелых аварий для каждого блока АС на интервале в один год». Победила точка зрения, реализованная в /4/, хотя по сути оба словосочетания означают одно и то же, просто первое короче.

Естественно, те же определения использованы в других документах, таких как /5/, где подробно описаны цели ВАБ: расчёты вероятностных показателей энергоблоков АС, выявление наиболее значимых для безопасности АС исходных событий, определения приоритетов при разработке мероприятий, направленных на обеспечение безопасности блока АС и т.д.

В частности, в нём установлено, что вероятностный анализ безопасности блока АС предназначен для оценки важных характеристик безопасности:

- расчета вероятностных показателей безопасности блока АС;

- проверки соответствия вероятностных показателей безопасности блока АС целевым ориентирам;

- выявления наиболее значимых для безопасности АС исходных событий,

- определения приоритетов при разработке и реализации мероприятий, направленных на обеспечение безопасности блока АС;

- оценки влияния мероприятий по модернизации систем АС на безопасность блока АС.

Но до сих пор встречаются исследования, в которых вероятность аварии используется без наименования как безразмерная величина. Это создаёт путаницу в понимании, причём ни в одной работе не встречалось установление связи между рассчитываемой ВАБом частотой повреждения твэлов λ и собственно вероятностью ядерной аварии Р, которая характеризует ядерную безопасность и по определению должна быть безразмерной величиной.

4. В упомянутой монографии /1/ была осуществлена попытка найти эту связь,  воспользовавшись теорией массового обслуживания /6/.  В результате удалось построить математическую модель, описывающую изменение вероятности аварии в конкретной группе АС во времени в виде уравнения (1):

P =1 – exp (−Nλτ)                                                                                                (1),

где Р – вероятность ядерной аварии, характеризующая ядерную безопасность группы из N энергоблоков АС, τ – время в годах. Эта формула, кстати сказать, вполне соответствует теории надёжности, где λ обозначает интенсивность отказов и также измеряется в 1/(объект х год).

Для того чтобы применить теорию массового обслуживания к построению этой модели, были сделаны допущения, существенно идеализирующие реальные взаимосвязи между функцией и её аргументами. Дело в том, что строгое математическое решение задачи об установлении связи между частотой и вероятностью единичных событий, к которым относится тяжёлая ядерная авария, неизвестно. К таким редким событиям нельзя даже применить используемое в теории вероятностей понятие «поток», а уж тем более назвать его простейшим, однородным, пуассоновским, так как после наступления первой же тяжёлой аварии объект, по сути, перестаёт существовать.

Поэтому уравнение (1) не следует рассматривать как формулу для расчёта вероятности аварии, а именно как модель, позволяющую примерно очертить искомую взаимосвязь и оценить тенденции её изменений. Атомные станции были выбраны из всех типов объектов использования атомной энергии потому, что для них в разных институтах, в том числе, и в НТЦ ЯРБ собирались и поддерживались базы данных по отказам оборудования для некоторых энергоблоков и существовали математические модели этих блоков. На основании таких данных  в рамках ВАБа строились деревья отказов, с помощью которых рассчитывались значения  λ, входящие в формулу (1). Таким образом, ВАБ рассчитывает вероятностные показатели ядерной безопасности АС на основании статистических сведений об отказах оборудования.

Как всякий математический аппарат ВАБ имеет ограничения по точности расчётов, которая зависит, в частности, от количества и частоты исходных событий, могущих привести к тяжёлым авариям. По мнению большинства специалистов, значения  λ, меньшие 10^-5 1/(реактор х год), не заслуживают доверия. Это отчасти объясняется тем, что в /4/ установлена норма: «Допускается не включать в перечень исходных событий для анализа проектных аварий, представляемый в ООБ АС, внутренние события, имеющие оцененную вероятность возникновения на интервале в один год 10^-6 или ниже». Здесь ООБ – отчёт по обоснованию безопасности.

Мы специально не будем далее пользоваться понятием риска, чтобы не увеличивать число неизвестных сущностей. Отметим только, что риск аварии, как правило, измеряется произведением вероятности аварии на величину её последствий, а значит, его размерность должна совпадать с размерностью последствий. А так как последствия тяжёлых аварий особенно велики, их вероятность оказывается столь малой, что при выполнении ВАБа величинами такого порядка согласно данной норме пренебрегают.

В этом-то и состоит основная проблема ВАБа: сценарии всех произошедших в действительности тяжёлых аварий были просчитаны, но казались невероятными. Так что значения  λ, рассчитанные на ограниченном числе сценариев, нельзя считать достоверными, если они меньше указанного нормативного ориентира.

На рисунке представлена наглядная иллюстрация этой модели. Суть этого рисунка многократно описана и очевидна. Если количество объектов возрастает, как показано на верхней кривой, то вероятность аварии в системе этих объектов будет возрастать в соответствие с нижней кривой. То есть, чем больше объектов и дольше время их эксплуатации, тем выше вероятность аварии в этой системе. А это значит, что ядерная безопасность – это такое свойство АС, которое по мере эксплуатации закономерно снижается. Из этого следует важное умозаключение: естественной оказывается не безопасность, как полагают некоторые коллеги, а её неизбежное уменьшение в процессе нормальной эксплуатации АС и при росте количества объектов атомной энергетики.

Такой вывод особенно полезен при обоснованиях безопасности системы проектируемых  АС, когда для всех энергоблоков используется общая база данных по отказам. Он  вполне согласуется со здравым смыслом и наличным опытом и его можно выразить  в такой форме: если существует возможность аварии в системе объектов, то авария произойдёт непременно, рано или поздно. И об этом следует помнить всем работникам отрасли, так как на этом принципе строится культура безопасности. Атомщикам ещё очень повезло, что аварии на объектах использования атомной энергии происходят чрезвычайно редко благодаря особенностям технологии.

Рис. Изменение вероятности аварии для N энергоблоков

5. Но, строго говоря, такой императивный вывод относится к любой системе техносферных объектов, только вероятности аварий и величины их последствий различны. Ведь допущения, при которых выводилось уравнение (1), не относятся к категориям объектов, а только к описанию событий. Так что эту модель можно попробовать применить для других не атомных объектов. Например, было бы весьма интересно в продолжение исследований /1/ использовать её для оценки аварийности  в гражданской авиации, где всё-таки существует статистика не только отказов, но и самих аварий.

Человечество более века осваивало этот вид транспорта. Особенно совершенствовались те системы и элементы, от которых зависят надёжность полётов и безопасность эксплуатации самолётов. Наряду с техническими достижениями в ход шли самые разнообразные средства для привлечения пассажиров вплоть до установления стандартов внешнего вида и веса стюардесс. Благодаря этому, можно отметить, что в авиации утвердилось общественное согласие на то, что происходящие в действительности авиакатастрофы являются приемлемой и неизбежной платой за быстроту, комфорт и другие достоинства воздушных перевозок. Эти катастрофы в отличие от тяжёлых аварий на АС происходят с большей частотой, поэтому для оценки вероятности погибнуть в авиационной аварии можно использовать детерминированную статистику таких событий, а не методы вероятностного анализа безопасности.

То есть, для АС с помощью ВАБ можно вычислить частоту тяжёлых аварий λ, и по уравнению (1) можно рассчитать изменение их вероятности Р в зависимости от времени. Но используя статистику событий в гражданской авиации, где аварии происходят чаще, чем в атомной энергетике, интересно решить обратную задачу: в уравнении (1) Р можно рассчитать по статистике авиакатастроф, а λ получить как искомый показатель социальной приемлемости аварий, сложившийся по мере развития и совершенствования воздухоплавания. Во всяком случае, такой показатель мог бы послужить ориентиром и для атомной энергетики, и для других отраслей техносферы. Конечно, использование статистики сопряжено с комплексом специфических особенностей, хорошо знакомых специалистам по гражданским перевозкам, к которым я не отношусь. Но и моя задача – произвести не расчёт, а оценку хотя бы порядка искомой величины.

Хорошо известно, что при малых показателях экспоненты уравнение (1) ещё  упрощается и приводится к виду:

P =Nλτ                                (2).                                                               

Все последующие выкладки будем производить из расчёта на один год, то есть τ = 1. Понятно, что вероятности можно рассчитывать разными способами, например, по относительному количеству аварийных полётов. Но нас интересует вероятность человеческой гибели в аварии. Поэтому в качестве ещё одного допущения примем, что вероятность погибнуть в авиационной аварии за год рассчитывается как отношение количества погибших к общему числу перевезённых авиапассажиров.

В интернете существует множество весьма противоречивых данных по количеству гражданских самолётов, объёму пассажирских перевозок и количеству погибших в авариях. Не все самолёты, выполняющие рейсы в нашей стране, зарегистрированы в России. Некоторые относятся к оффшорам и другим странам. Наши самолёты летают за границу, зарубежные самолёты давно стали частью нашего авиапарка, один и тот же лайнер за год используется по-разному  и т.п.

Тем не менее, для оценки вполне можно принять, что на территории России эксплуатируются порядка тысячи пассажирских самолётов. В 2018 году они перевезли 116 млн. человек, а в 2019 году 128 млн. человек. При этом в 2018г. погибло 534, а в 2019г. – 257 пассажиров. Таким образом, если N=1000, а Р изменяется в диапазоне 2 – 5 х 10^-6 , то из этого следует, что λ оказывается в диапазоне (от 2-х до 5-и) х 10^-9  1/(объект х лет). Вот какова социально приемлемая частота авиационных катастроф.

В вышеупомянутой монографии /1/ была сделана оценка предельной частоты тяжёлой аварии при условии, что все продукты деления, накопленные к концу кампании ВВЭР-1000, мгновенно будут выброшены в окружающую среду. Так вот эта величина как раз попала в указанный диапазон, хотя у нас нет оснований полагать это чем-то большим, чем совпадением. Но мы все помним, что крупнейшие аварии как раз и характеризовались невероятным совпадением разнообразных факторов и, если частота тяжёлых аварий, действительно,  оказывается в таком диапазоне, то рассчитывать её с помощью ВАБа – это подобно измерению толщины волоса обычной рулеткой.

6. Завершая эту статью, хотелось бы поделиться одним поразившим меня эпизодом в истории техногенных аварий. Мы все понимаем, что причинами крупнейших аварий в атомной энергетике было невероятное стечение обстоятельств, приведших к аварии. И после Чернобыля, и после Фукусимы многим искренно казалось, что подобное уже не может повториться. Но высказанные выше соображения способствуют опасениям, что однажды тяжёлая авария на АС опять произойдёт по немыслимому сценарию, который был предсказан, но ему никто не поверил. Тем более, что история катастроф содержит примеры совершенно невероятных, невообразимых совпадений.

Когда человеку нравится его работа, любая новая информация, откуда бы она ни происходила, используется в профессиональной деятельности. Каждое лыко идёт в строку, свежие сведения сочетаются с имеющимися знаниями. Так, однажды мне попалась работа, в которой обсуждались условия, приведшие к трагедии на Титанике. В ней интересно несколько моментов, но самое поразительное состояло в следующем.

Оказалось, что за 14 лет до катастрофы, в 1898г., была выпущена книга Моргана Робертсона «Тщетность», в которой описывалось столкновение с айсбергом парохода под названием «Титан». Далее в таблице приведена сравнительная характеристика реального и литературного объекта и события. Некоторые совпадения в ней представляются совершенно фантастическими, перед которыми здравый смысл просто оказывается в тупике. И. тем не менее, они произошли, что наводит на мысль о возможности такого стечения обстоятельств, при котором реализуются самые невероятные события, в том числе, и тяжёлые аварии на АС.

Характеристика	Титан 1898г.	Титаник 1912г.
Количество пассажиров	3000	2228
Водоизмещение тыс.тонн	45	52
Мощность двигателя тыс. л.с.	40	55
Материал корпуса	Сталь	Сталь
Длина, м.	244	269
Количество отсеков	19	16
Количество гребных винтов	3	3
Количество мачт	2	2
Скорость при столкновении, узел	25	22,5
Количество шлюпок	24	20
Борт удара айсберга	Правый	Правый
Месяц аварии	Апрель	Апрель
Время аварии	Около полуночи	23 40
Маршрут	США – Англия	Англия – США
Количество выживших	13	705

Самое простое отношение – объявить эту книгу фейком, написанным задним числом. Но тогда что делать с англоязычной литературой, посвящённой этому совпадению и достаточно распространённой по миру. Вместе с тем, в упомянутой работе также указано, что в те годы лет за десять по маршруту Англия – Америка было сделано более, чем 32 тысячи рейсов без столкновений, и делался вывод, что вероятность катастрофического столкновения с айсбергом  могла бы оцениваться хорошо известным нам диапазоном 10^-5  – 10^-6  .

Высказанные соображения могут быть применены и к другим отраслям. Так, например,  последние годы существенно возросло количество космических полётов, организуемых за счёт частных инвесторов с разнообразными приватными целями, как в США, или за государственный счёт с научными целями, как в России. То один, то другой миллиардер взмывает в космос да ещё берёт с собой политкорректный состав персонала из любителей приключений, то наши лоялисты затеяли первыми в мире снять в космосе полнометражный художественный фильм. Как-то в интернете я прочёл, что компании только одного И. Маска проводят больше сотни пусков в год.

Создаётся впечатление, будто все научные и технические проблемы, включая обеспечение безопасности, решены, и полёты в космос уже освоены передовой и замечательной промышленностью. Мне кажется, что подобная реакция на новую технологию весьма напоминает дочернобыльское благодушие общества в отношении к атомной энергетике и совместное межпрофессиональное обсуждение поднятых проблем может принести несомненную пользу при формировании космических развлекательных программ.

К сожалению, давно открыт счёт трагедиям, произошедшим в космосе. Если следующая авария на космическом корабле произойдёт, то скорей всего количество полётов сначала сократится, а потом опять начнёт возрастать. «Никого ещё опыт не спасал от беды». Чужая практика легко забывается, и со временем, может быть, в других странах, другие экстремалы-адреналинщики будут искать новые способы  возобновления полётов, воздействующих на их надпочечники. Ведь аварии – это редкие, штучные события, интенсивность которых, практически, невозможно сопоставлять и рассчитывать, так как оборудование космических объектов, также как и на АС, весьма разнообразно, постоянно совершенствуется, а значит, изменяется.

Но общий вывод никто не отменял и сказанное выше можно облечь в такую форму: чем больше космических ракет и чем чаще они будут летать, тем выше вероятность аварии. А потом к авариям ракет привыкнут, как привыкли к авиакатастрофам, и они будут восприниматься как неизбежная дань прогрессу. И сохраняется вопрос о размере такой дани: сколькими жизнями человечество будет готово заплатить за развитие новой, полезной и удобной технологии?  

Литература

1. Гордон Б.Г.  Идеология безопасности. М.: НТЦ ЯРБ, 2006.

2. № 116-ФЗ от 21. 07 1997. «О промышленной безопасности опасных производственных объектов».

3. "ГОСТ Р 22.0.05-2020. Национальный стандарт Российской Федерации. Безопасность в чрезвычайных ситуациях. Техногенные чрезвычайные ситуации. Термины и определения". (утв. и введен в действие Приказом Росстандарта от 11.09.2020 N 644-ст).

4. Общие положения обеспечения безопасности атомных станций. (НП-001-15). Утверждены приказом Федеральной службы по экологическому, технологическому и атомному надзору от 17 декабря 2015 г. № 522.

5.  Основные требования к вероятностному анализу безопасности блока атомной станции. НП-095-15. Утверждены приказом Ростехнадзора от 12.08.2015 г. №311.  

6 . Вентцель Е.С. Теория вероятностей. М.: Наука, 1969.