Άμυνα σε βάθος: πώς κρατιέται ασφαλής ένας αντιδραστήρας

Τι σημαίνει άμυνα σε βάθος

Η άμυνα σε βάθος ξεκινά από μια παραδοχή που ακούγεται ηττοπαθής: ό,τι κι αν σχεδιάσεις, κάτι θα αστοχήσει. Ένα εξάρτημα θα σπάσει, ένας χειριστής θα διαβάσει λάθος μια ένδειξη, μια μελέτη θα έχει προσπεράσει ένα σενάριο. Η απάντηση της μηχανικής δεν είναι το κυνήγι του τέλειου εξαρτήματος. Είναι να μπει η μία γραμμή άμυνας πίσω από την άλλη, ώστε καμία μεμονωμένη αστοχία να μη βρίσκει ελεύθερο δρόμο μέχρι τον κόσμο έξω από τον φράχτη.

Τα επίπεδα διαβάζονται σαν αλυσίδα, με το καθένα να υποθέτει ότι το προηγούμενο μπορεί να μην κρατήσει.

Η ανεξαρτησία είναι το κρίσιμο σημείο, όχι η αρίθμηση των επιπέδων. Οι πιθανότητες πολλαπλασιάζονται μόνο όταν οι αστοχίες δεν έχουν κοινή ρίζα. Αν δύο επίπεδα τρέφονται από τον ίδιο ηλεκτρικό πίνακα, ψύχονται από το ίδιο νερό, στηρίζονται στην ίδια παραδοχή της ανάλυσης ή συντηρούνται από το ίδιο συνεργείο με την ίδια διαδικασία, ένα μόνο συμβάν τα σβήνει μαζί. Το γινόμενο των πιθανοτήτων που δείχνει η μελέτη μένει τότε χωρίς αντίκρισμα.

Οι κοινές ρίζες σπάνια είναι εμφανείς. Φωτιά, πλημμύρα, σεισμός και εξωτερικό συμβάν χτυπούν ταυτόχρονα πράγματα που στο διάγραμμα φαίνονται ξεχωριστά. Το ίδιο κάνει και ένα σφάλμα σχεδιασμού ή λογισμικού που έχει αντιγραφεί πανομοιότυπα σε όλα τα κανάλια. Η δουλειά της ανάλυσης είναι ακριβώς αυτή: να ψάξει πού κρύβεται η κοινή εξάρτηση που κανείς δεν σχεδίασε επίτηδες.

• Συντηρητικός σχεδιασμός και αξιόπιστη κανονική λειτουργία, ώστε η απόκλιση να μη γεννηθεί καν
• Ανίχνευση και διόρθωση της απόκλισης όσο είναι ακόμη μικρή
• Συστήματα ασφαλείας που αναλαμβάνουν το ατύχημα το οποίο έχει προβλεφθεί στη μελέτη
• Διατάξεις που περιορίζουν ένα σοβαρό ατύχημα μέσα στην εγκατάσταση
• Οργανωμένη αντιμετώπιση έκτακτης ανάγκης έξω από την εγκατάσταση

Τα φυσικά φράγματα γύρω από το καύσιμο

Ανάμεσα στα ραδιενεργά προϊόντα της σχάσης και το περιβάλλον δεν στέκεται ένα εμπόδιο, στέκεται μια σειρά από υλικά φράγματα, το ένα μέσα στο άλλο. Το ίδιο το κεραμικό υλικό του καυσίμου συγκρατεί το μεγαλύτερο μέρος των προϊόντων μέσα στο πλέγμα του. Γύρω του, το σφραγισμένο μεταλλικό περίβλημα. Πιο έξω, το κλειστό κύκλωμα του ψυκτικού με τα τοιχώματα και τα όριά του υπό πίεση. Και γύρω από όλα, το περιοριστικό κέλυφος με το κτίριο, τα φίλτρα και τα συστήματα παρακολούθησής του.

Η δύναμη αυτών των φραγμάτων είναι ότι πρόκειται για ύλη και όχι για μηχανές. Δεν περιμένουν σήμα, δεν χρειάζονται ρεύμα, δεν εξαρτώνται από το αν κάποιος πάτησε το σωστό κουμπί τη σωστή στιγμή. Η αδυναμία τους είναι ότι αστοχούν με συγκεκριμένους μηχανισμούς: υπερθέρμανση, υπερπίεση, μηχανική καταπόνηση, χημική προσβολή, κόπωση και γήρανση. Τα όρια λειτουργίας υπάρχουν για να κρατούν κάθε φράγμα μακριά από τον δικό του μηχανισμό αστοχίας, με περιθώριο.

Τα φράγματα παρακολουθούνται και το ένα λέει κάτι για το άλλο. Η ραδιενέργεια που εμφανίζεται στο ψυκτικό μιλά για την κατάσταση του περιβλήματος του καυσίμου. Οι δοκιμές στεγανότητας μιλούν για το κέλυφος. Η σειρά έχει σημασία: θέλεις να διαβάσεις την κατάσταση του εσωτερικού φράγματος πολύ πριν δοκιμαστεί το εξωτερικό.

Ενεργητικά και παθητικά συστήματα

Ενεργητικό είναι το σύστημα που χρειάζεται κάτι για να δουλέψει: αντλίες, βαλβίδες με κίνηση, ηλεκτροπαραγωγά ζεύγη, όργανα και λογική. Δίνει μεγάλη ικανότητα και ελέγχεται εύκολα, αλλά κρέμεται από την τροφοδοσία, από το σήμα και από το αν κάποιος είχε φανταστεί το σενάριο όταν έγραφε τη λογική. Κάθε τέτοιος κρίκος είναι και ένας τρόπος να μη λειτουργήσει.

Παθητικό είναι το σύστημα που δουλεύει με τη βαρύτητα, με τη φυσική κυκλοφορία του ρευστού, με αποθηκευμένη πίεση ή με ιδιότητα του υλικού. Δεν περιμένει τίποτα από το δίκτυο και τίποτα από τον χειριστή. Σε αντάλλαγμα οι δυνάμεις που το κινούν είναι μικρές, η απόκριση πιο αργή, η συμπεριφορά ευαίσθητη στη γεωμετρία και στις επικαθίσεις, και η δοκιμή του πιο δύσκολη από το να ανοίξεις μια βαλβίδα και να δεις παροχή. Η καλή σχεδίαση δεν διαλέγει στρατόπεδο, τα συνδυάζει.

Το «αποτυγχάνει προς την ασφαλή κατάσταση» είναι ξεχωριστή ιδέα και πιο βαθιά από το δίπολο ενεργητικό ή παθητικό. Σημαίνει ότι η απώλεια της συνθήκης που επιτρέπει τη λειτουργία σπρώχνει την εγκατάσταση προς την ασφαλή θέση, όχι μακριά της. Οι ράβδοι ελέγχου κρατιούνται ψηλά με ρεύμα και πέφτουν με τη βαρύτητα μόλις το ρεύμα χαθεί. Μια βαλβίδα χάνει τον αέρα της και κλείνει από μόνη της.

Το τελευταίο στρώμα αυτής της λογικής βρίσκεται στην ίδια τη φυσική της ενεργού ζώνης. Όταν η ανάδραση της αντίδρασης δουλεύει ενάντια σε μια αύξηση ισχύος, η άνοδος της θερμοκρασίας κόβει μόνη της την αντίδραση πριν προλάβει να ενεργήσει οποιοδήποτε σύστημα. Πρόκειται για ιδιότητα του συγκεκριμένου σχεδιασμού και όχι για νόμο που ισχύει παντού, και ακριβώς εδώ διαφέρουν ριζικά οι τύποι αντιδραστήρων μεταξύ τους.

Εφεδρεία, διαφοροποίηση, φυσικός διαχωρισμός

Η εφεδρεία σημαίνει ότι η ίδια λειτουργία υπάρχει περισσότερες από μία φορές, ώστε μια τυχαία βλάβη να μην τη σβήνει. Είναι η απλούστερη απάντηση και μπαίνει ως απαίτηση: η λειτουργία ασφαλείας πρέπει να επιτυγχάνεται ακόμη κι όταν το πιο κρίσιμο μεμονωμένο στοιχείο έχει αστοχήσει, ακόμη κι αν την ίδια στιγμή κάτι άλλο βρίσκεται εκτός για συντήρηση. Η εφεδρεία μόνη της όμως έχει τυφλό σημείο. Όμοιες μονάδες κουβαλούν το ίδιο ελάττωμα σχεδιασμού, την ίδια παρτίδα υλικού, το ίδιο λάθος στη ρύθμιση από το ίδιο συνεργείο.

Η διαφοροποίηση κλείνει αυτό το κενό. Άλλη αρχή λειτουργίας για την ίδια δουλειά, άλλος κατασκευαστής, άλλη πηγή ενέργειας, άλλο μέγεθος που μετριέται για να ανιχνευθεί το ίδιο συμβάν, αναλογική εφεδρική διάταξη πίσω από την ψηφιακή λογική. Κοστίζει σε πολυπλοκότητα, σε ανταλλακτικά και σε εκπαίδευση, και γι' αυτό μπαίνει επιλεκτικά εκεί που η κοινή αιτία θα ήταν καταστροφική.

Ο φυσικός διαχωρισμός απαντά στα συμβάντα που δεν ξεχωρίζουν εξαρτήματα αλλά καίνε ή πλημμυρίζουν χώρους. Οι όμοιες διαδρομές μπαίνουν σε χωριστά δωμάτια, σε χωριστές πυροδιαμερισματοποιημένες ζώνες, σε διαφορετικά υψόμετρα, με τις καλωδιώσεις τους να μη συναντιούνται πουθενά. Στην ίδια λογική στηρίζεται και ο διαχωρισμός του συστήματος προστασίας από το σύστημα ελέγχου: αυτό που σταματά την εγκατάσταση δεν πρέπει να είναι το ίδιο με αυτό που τη λειτουργεί, γιατί τότε το σφάλμα που τη βγάζει εκτός ρυθμού είναι και το σφάλμα που εμποδίζει τη διακοπή.

Η παραμένουσα θερμότητα, το πρόβλημα που δεν σβήνει με το κουμπί

Η πιο παρεξηγημένη πλευρά της πυρηνικής ασφάλειας είναι ότι η διακοπή δεν είναι διακόπτης. Οι ράβδοι ελέγχου μπαίνουν και η αλυσιδωτή αντίδραση της σχάσης σταματά σχεδόν ακαριαία. Το καύσιμο όμως συνεχίζει να παράγει θερμότητα, επειδή τα ραδιενεργά προϊόντα που μαζεύτηκαν μέσα του διασπώνται με τον δικό τους ρυθμό και δεν ρωτούν κανέναν. Αυτή η παραμένουσα θερμότητα φθίνει με τον χρόνο, αλλά δεν μηδενίζεται με εντολή και στην αρχή είναι αρκετή για να καταστρέψει την ενεργό ζώνη αν μείνει χωρίς ψύξη.

Η συνέπεια για τον σχεδιασμό είναι καθοριστική. Το ζητούμενο μετά τη διακοπή δεν είναι να σταματήσει κάτι, είναι να συνεχίσει κάτι: η απαγωγή θερμότητας προς μια τελική δεξαμενή, αδιάλειπτα και για μεγάλο διάστημα. Γι' αυτό η μελέτη ασφάλειας κυριαρχείται από την απώλεια ψυκτικού και την απώλεια ηλεκτρικής τροφοδοσίας, όχι από κάποια εικόνα ανεξέλεγκτης ανόδου ισχύος. Γι' αυτό υπάρχουν εφεδρικές πηγές ρεύματος, συσσωρευτές, διαδρομές που δουλεύουν με φυσική κυκλοφορία και μια περίοδος χάριτος μέσα στην οποία η εγκατάσταση πρέπει να αντέχει χωρίς καμία βοήθεια από έξω.

Το ίδιο πρόβλημα, σε πιο αργή μορφή, ακολουθεί και το αναλωμένο καύσιμο μετά την αφαίρεσή του. Παραμένει θερμό και θέλει ψύξη και θωράκιση για πολύ καιρό, οπότε η δεξαμενή και ο χώρος αποθήκευσης μπαίνουν μέσα στην ίδια λογική επιπέδων, με δικά τους φράγματα, δική τους παρακολούθηση και δική τους πρόβλεψη για την απώλεια ρεύματος.

Η κουλτούρα ασφάλειας και ο ανεξάρτητος ρυθμιστής

Τα επίπεδα σχεδιάζονται ανεξάρτητα, αλλά μένουν ανεξάρτητα μόνο αν τα κρατά έτσι μια οργάνωση κάθε μέρα. Ένα πρόγραμμα συντήρησης που βγάζει ταυτόχρονα εκτός δύο ισοδύναμες διαδρομές ακυρώνει στα χαρτιά ό,τι πέτυχε ο σχεδιασμός στο μπετόν. Ένα προσωρινό καλώδιο που περνά από τη λάθος ζώνη καταργεί έναν διαχωρισμό που κόστισε ολόκληρο δωμάτιο. Η κουλτούρα ασφάλειας είναι το σύνολο των συνηθειών που εμποδίζουν αυτά: γραπτές διαδικασίες που ακολουθούνται όπως γράφτηκαν, εκπαίδευση σε προσομοιωτή, συστηματική αξιοποίηση της εμπειρίας λειτουργίας από άλλες εγκαταστάσεις, και ερωτηματική στάση απέναντι σε κάθε ένδειξη που δεν εξηγείται.

Το πιο εύθραυστο κομμάτι της είναι η αναφορά. Ένας οργανισμός μαθαίνει από τα μικρά συμβάντα μόνο αν όποιος τα βλέπει τα δηλώνει χωρίς να φοβάται τι θα πάθει, και μόνο αν κάποιος τα διαβάζει και αλλάζει κάτι. Όταν σταματήσουν οι αναφορές, αυτό σχεδόν ποτέ δεν σημαίνει ότι σταμάτησαν τα προβλήματα.

Ο ρυθμιστής είναι η γραμμή που δεν μπορεί να χαλαρώσει από μέσα. Η ανεξαρτησία του είναι θεσμική και οικονομική: χωριστός από τον φορέα που λειτουργεί την εγκατάσταση και χωριστός από όποιον προωθεί την τεχνολογία, με δικό του τεχνικό προσωπικό που κρίνει τις μελέτες αντί να τις εμπιστεύεται, με δικαίωμα πρόσβασης και επιθεώρησης, με εξουσία να απαιτήσει αλλαγές και να σταματήσει τη λειτουργία. Η άδεια δεν είναι εφάπαξ σφραγίδα αλλά διαρκής υπό όρους έγκριση, με περιοδική επανεξέταση της ασφάλειας.

Η φθορά εδώ είναι αργή και αθόρυβη. Πίεση κόστους, εξοικείωση με τις αποκλίσεις, μια μακρά ήσυχη περίοδος χωρίς συμβάν και η σιωπηρή μετατόπιση του ορίου του αποδεκτού είναι τα σημάδια που κοιτά κανείς πρώτα, τόσο στον φορέα όσο και στην αρχή που τον ελέγχει.

Γιατί το σοβαρό ατύχημα δεν είναι αδύνατο

Η ειλικρινής διατύπωση είναι αυτή: σοβαρό ατύχημα δεν είναι αδύνατο. Είναι λιγότερο πιθανό και περιορισμένο στις συνέπειές του. Η άμυνα σε βάθος δεν καταργεί τον κίνδυνο, τον μειώνει και τον βάζει σε όρια, και ό,τι απομένει ονομάζεται υπολειπόμενος κίνδυνος και δηλώνεται. Όποιος υπόσχεται μηδέν δεν κάνει μηχανική, κάνει επικοινωνία.

Η μελέτη χωρίζει τα σενάρια σε αυτά που ο σχεδιασμός αναλαμβάνει να αντιμετωπίσει και σε αυτά που τα ξεπερνούν. Για τα δεύτερα υπάρχει η διαχείριση σοβαρού ατυχήματος, με έναν ξεκάθαρο στόχο: να μείνει το περιοριστικό κέλυφος ακέραιο. Έλεγχος της πίεσης μέσα του, αντιμετώπιση του υδρογόνου που παράγεται όταν το καύσιμο υπερθερμανθεί, ελεγχόμενη και φιλτραρισμένη εκτόνωση αν χρειαστεί, και δυνατότητα να συγκρατηθεί και να ψυχθεί το κατεστραμμένο καύσιμο εκεί που μπορεί να συγκρατηθεί.

Οι τύποι αντιδραστήρων δεν είναι εναλλάξιμοι στην κουβέντα αυτή. Τα σοβαρά ατυχήματα που έχει δει ο κλάδος προήλθαν από διαφορετικά σχέδια, με διαφορετική φυσική και διαφορετικές αλυσίδες αστοχιών, οπότε ένα συμπέρασμα από το ένα δεν μεταφέρεται στο άλλο. Το ίδιο ισχύει και προς την αντίθετη κατεύθυνση: η υπόσχεση ενός κατασκευαστή για ένα νέο σχέδιο είναι πρόβλεψη, όχι επίδοση που έχει επιτευχθεί, και μετρά μόνο αφού ελεγχθεί από τον ρυθμιστή και επιβεβαιωθεί στη λειτουργία.

Τα σχέδια έκτακτης ανάγκης γύρω από μια εγκατάσταση υπάρχουν ακριβώς επειδή το υπόλοιπο δεν είναι μηδέν. Δεν είναι ομολογία αποτυχίας του σχεδιασμού, είναι το τελευταίο επίπεδο του ίδιου συλλογισμού. Η απόσταση ανάμεσα στο «δεν μπορεί να συμβεί» και στο «είναι λιγότερο πιθανό και, αν συμβεί, μένει περιορισμένο» είναι όλη η δουλειά.