Three Mile Island: το ατύχημα που άλλαξε τον τρόπο που σχεδιάζουμε ελέγχους

Ένα ατύχημα που δεν ξεκίνησε από κακό υλικό

Ο πυρηνικός σταθμός ηλεκτροπαραγωγής στο Three Mile Island της Πενσιλβάνια είναι το σημείο όπου ο κλάδος κατάλαβε κάτι δυσάρεστο: μια μονάδα μπορεί να φτάσει σε ζημιά της ενεργού ζώνης χωρίς να έχει προηγηθεί θεαματική αστοχία. Δεν έγινε σεισμός, δεν έσπασε το δοχείο πίεσης, δεν αστόχησε το περιοριστικό κέλυφος. Ένα εξάρτημα κόλλησε ανοιχτό, το χειριστήριο έδειξε κάτι που δεν ίσχυε, και το προσωπικό έκανε πάνω κάτω αυτό που του είχαν μάθει να κάνει.

Η ανάγνωση «φταίει ο άνθρωπος» είναι βολική και λάθος. Οι χειριστές δεν αγνόησαν τα όργανα. Τα διάβασαν προσεκτικά και ενήργησαν με βάση αυτά. Το πρόβλημα ήταν ότι το χειριστήριο τους έδειχνε την εντολή που είχε σταλεί σε μια βαλβίδα και όχι τη θέση της, ενώ μια άλλη ένδειξη κινούνταν αντίθετα από την πραγματική ποσότητα ψυκτικού μέσα στο κύκλωμα. Με τέτοια δεδομένα, μια λογική απόφαση βγάζει λάθος ενέργεια.

Γι' αυτό το ατύχημα δεν έμεινε στην ιστορία ως πρόβλημα μεταλλουργίας ή αντοχής. Έμεινε ως ο λόγος που άλλαξε ο τρόπος με τον οποίο σχεδιάζουμε τους ελέγχους: τι μετράει ένα όργανο, τι δείχνει τελικά σε έναν άνθρωπο, τι του ζητά η διαδικασία και τι έχει προλάβει να δει στην εκπαίδευσή του.

Το ελάχιστο που χρειάζεται να ξέρει κανείς για τη μηχανή

Η μονάδα ανήκει στην οικογένεια των αντιδραστήρων με νερό υπό πίεση. Έχει δύο κυκλώματα. Στο πρωτεύον, νερό υπό υψηλή πίεση περνά μέσα από την ενεργό ζώνη, παίρνει τη θερμότητα της σχάσης και δεν το αφήνουμε να βράσει. Στο δευτερεύον, το νερό βράζει και ο ατμός γυρίζει τον στρόβιλο. Ανάμεσά τους στέκονται οι ατμογεννήτριες, που είναι ταυτόχρονα ο εναλλάκτης και το σύνορο ανάμεσα στο ραδιενεργό και στο μη ραδιενεργό μισό του σταθμού.

Στο πρωτεύον υπάρχει ένα δοχείο που κρατά τη στάθμη και την πίεση σταθερές, με ατμό στην κορυφή και νερό από κάτω. Στην κορυφή του κάθεται βαλβίδα εκτόνωσης: όταν η πίεση ανεβαίνει πάνω από το επιτρεπτό, ανοίγει, ξεφορτώνει σε δεξαμενή και κλείνει. Είναι εξάρτημα ασφαλείας, σχεδιασμένο να λειτουργεί και να ξαναλειτουργεί.

Υπάρχει και ένα μέγεθος που θα παίξει ρόλο παρακάτω: πόσο μακριά βρίσκεται το νερό του πρωτεύοντος από το σημείο βρασμού του, στην πίεση που επικρατεί εκείνη τη στιγμή. Όσο υπάρχει αυτό το περιθώριο, το ψυκτικό είναι υγρό παντού και η μεταφορά θερμότητας από το καύσιμο γίνεται με τον τρόπο που υποθέτει ο σχεδιασμός. Όταν το περιθώριο μηδενιστεί, μέσα στο κύκλωμα εμφανίζεται ατμός, και από εκεί και πέρα η στάθμη σε ένα δοχείο παύει να λέει την αλήθεια για το πόσο νερό υπάρχει στην ενεργό ζώνη.

Το κρίσιμο για όλη τη συνέχεια είναι η παραμένουσα θερμότητα. Όταν οι ράβδοι ελέγχου πέσουν και η σχάση σταματήσει, το καύσιμο δεν κρυώνει: τα προϊόντα της σχάσης συνεχίζουν να διασπώνται και να βγάζουν θερμότητα, πολύ λιγότερη από την ονομαστική ισχύ αλλά καθόλου αμελητέα, και η πτώση της είναι απότομη στην αρχή και πολύ αργή μετά. Το σβήσιμο του αντιδραστήρα δεν είναι τέλος της δουλειάς, είναι αλλαγή καθήκοντος: από την παραγωγή θερμότητας στην απαγωγή της.

Η αλυσίδα: από μια βλάβη στο μη πυρηνικό μισό ως τη βαλβίδα που έμεινε ανοιχτή

Το ατύχημα ξεκίνησε από το δευτερεύον, εκεί που δεν υπάρχει τίποτα ραδιενεργό. Χάθηκε η τροφοδοσία νερού προς τις ατμογεννήτριες. Ο στρόβιλος έπεσε αυτόματα, ο αντιδραστήρας έπεσε αμέσως μετά. Ως εδώ, ρουτίνα. Το εφεδρικό σύστημα τροφοδοσίας ξεκίνησε κανονικά, αλλά οι βαλβίδες απομόνωσης στη γραμμή του είχαν μείνει κλειστές από προηγούμενη εργασία συντήρησης, οπότε το νερό δεν έφτασε ποτέ στις ατμογεννήτριες. Οι ατμογεννήτριες στέγνωσαν και το πρωτεύον έχασε τον δρόμο του για να ξεφορτώσει θερμότητα.

Η πίεση στο πρωτεύον ανέβηκε, ακριβώς όπως προβλέπει η φυσική του πράγματος, και η βαλβίδα εκτόνωσης άνοιξε για να την κόψει. Μέχρι εκείνη τη στιγμή τα συστήματα έκαναν αυτό που τους ζητούσε ο σχεδιασμός. Η πίεση έπεσε, το σήμα προς τη βαλβίδα κόπηκε, η βαλβίδα όμως δεν ξανάκλεισε.

Έτσι το πρωτεύον απέκτησε ένα μικρό μόνιμο άνοιγμα στο ψηλότερο σημείο του. Δεν είναι το θεαματικό σπάσιμο σωλήνα των εγχειριδίων. Είναι απώλεια ψυκτικού με αργό ρυθμό, από ένα σημείο όπου φεύγει πρώτα ατμός, και για τη διάγνωση αυτό είναι δυσκολότερο από μια μεγάλη ρήξη: τα συμπτώματα μοιάζουν με πολλά άλλα πράγματα ταυτόχρονα.

Η ένδειξη έλεγε την εντολή, όχι τη θέση

Στο χειριστήριο υπήρχε ένδειξη για τη βαλβίδα. Δεν μετρούσε τη θέση της. Έδειχνε ότι είχε σταλεί το σήμα κλεισίματος. Όσο η βαλβίδα κρατούσε ανοιχτό τον δρόμο του ψυκτικού προς τα έξω, το πάνελ έλεγε στους χειριστές ότι το κύκλωμα είναι κλειστό. Όλη η υπόλοιπη λογική της βάρδιας χτίστηκε πάνω σε αυτή τη μία λανθασμένη παραδοχή.

Πάνω σε αυτό ήρθε και μια ακόμη παγίδα. Καθώς το ψυκτικό χανόταν και άρχιζε να βράζει μέσα στο κύκλωμα, ο ατμός έσπρωξε νερό προς τα πάνω και η στάθμη στο δοχείο πίεσης ανέβηκε. Οι χειριστές είχαν διδαχθεί έναν κανόνα σχεδόν απόλυτο: μην αφήσεις ποτέ αυτό το δοχείο να γεμίσει τελείως, γιατί χάνεται ο έλεγχος της πίεσης. Βλέποντας τη στάθμη να ανεβαίνει, έκαναν το πειθαρχημένο πράγμα και περιόρισαν την έγχυση νερού υψηλής πίεσης, δηλαδή έκοψαν ακριβώς την ψύξη που κρατούσε το καύσιμο καλυμμένο. Η ένδειξη που κοίταζαν έδειχνε στάθμη σε ένα δοχείο, όχι απόθεμα ψυκτικού στην ενεργό ζώνη.

Το χειριστήριο δεν βοήθησε ούτε στον θόρυβο. Οι συναγερμοί άναψαν όλοι μαζί, χωρίς ιεράρχηση, χωρίς να ξεχωρίζει η αιτία από τη συνέπεια, και το καταγραφικό έμεινε πίσω από τα γεγονότα. Καμία οθόνη δεν απαντούσε στο μόνο ερώτημα που μετρούσε πραγματικά εκείνη την ώρα: είναι το καύσιμο καλυμμένο με νερό;

Τι έπαθε η ενεργός ζώνη και γιατί το κέλυφος έκανε τη δουλειά του

Με το ψυκτικό να φεύγει και την έγχυση περιορισμένη, η στάθμη στο δοχείο του αντιδραστήρα έπεσε κάτω από την κορυφή του καυσίμου. Το ακάλυπτο τμήμα υπερθερμάνθηκε. Το περίβλημα των ράβδων καυσίμου, κράμα ζιρκονίου, σε υψηλή θερμοκρασία αντιδρά με τον ατμό, οξειδώνεται, γίνεται εύθρυπτο και παράγει υδρογόνο. Μέρος της ενεργού ζώνης έλιωσε και ανακατανεμήθηκε προς τα κάτω μέσα στο δοχείο.

Εδώ φαίνεται τι σημαίνει σχεδιασμός σε επάλληλα εμπόδια. Το ραδιενεργό υλικό που ελευθερώθηκε από το καύσιμο βρέθηκε μέσα στο πρωτεύον κύκλωμα και, μέσω της ανοιχτής βαλβίδας, μέσα στο περιοριστικό κέλυφος. Το υδρογόνο που συγκεντρώθηκε στο κέλυφος κάηκε. Η κατασκευή άντεξε την πίεση και κράτησε μέσα της ό,τι ήταν σχεδιασμένη να κρατήσει. Το τελευταίο εμπόδιο στάθηκε στη θέση του ακριβώς τη στιγμή που όλα τα προηγούμενα είχαν παρακαμφθεί.

Αυτό δεν κάνει το συμβάν καθαρό. Μολυσμένο νερό μεταφέρθηκε εκτός κελύφους μέσα από γραμμές βοηθητικών συστημάτων που δούλευαν αυτόματα, και υπήρξε έκλυση προς το περιβάλλον. Οι εκτιμήσεις για το μέγεθος και για τις επιπτώσεις στην υγεία διαφέρουν ανά μελέτη και ανά μεθοδολογία, γι' αυτό δεν παρατίθενται εδώ αριθμοί: θα προστεθούν με ρητή αναφορά πηγής. Το σίγουρο συμπέρασμα μηχανικού είναι στενότερο και πιο χρήσιμο: η φιλοσοφία του κελύφους ως ανεξάρτητου τελευταίου φράγματος δικαιώθηκε, ενώ η φιλοσοφία «ο χειριστής θα καταλάβει» δεν δικαιώθηκε καθόλου.

Γιατί το δίδαγμα είναι εργονομικό και οργανωτικό

Αν διαβάσει κανείς το ατύχημα ως πρόβλημα υλικού, καταλήγει στο «βάλε καλύτερη βαλβίδα». Είναι φτηνό συμπέρασμα. Βαλβίδες θα κολλάνε, αντλίες θα σταματάνε, βαλβίδες απομόνωσης θα ξεχνιούνται κλειστές μετά από συντήρηση. Ο σχεδιασμός της ασφάλειας δεν στηρίζεται στην υπόθεση ότι τα εξαρτήματα δεν αστοχούν, στηρίζεται στο ότι η αστοχία γίνεται ορατή και αντιμετωπίσιμη έγκαιρα. Εκείνο που κατέρρευσε στο Three Mile Island ήταν η αλυσίδα της πληροφορίας: τι μετρήθηκε, τι εμφανίστηκε, τι ζητήθηκε από τον άνθρωπο, τι είχε προβάρει ο άνθρωπος.

Η εργονομική πλευρά έχει συγκεκριμένο περιεχόμενο. Ένδειξη που δείχνει εντολή αντί για κατάσταση είναι σχεδιαστικό σφάλμα, όχι λεπτομέρεια. Συναγερμοί χωρίς προτεραιότητα μετατρέπουν την πληροφορία σε θόρυβο ακριβώς όταν χρειάζεται περισσότερο. Πάνελ που δείχνει μεγέθη ενός δοχείου αντί για την κατάσταση της κρίσιμης λειτουργίας ασφαλείας αφήνει τον χειριστή να συμπεράνει μόνος του, με λάθος διαθέσιμα στοιχεία. Η διάταξη των οργάνων, η ονοματολογία τους, ακόμη και η θέση τους μέσα στο δωμάτιο, είναι μέρος του συστήματος ασφαλείας με τον ίδιο τρόπο που είναι και το κέλυφος.

Το ίδιο ισχύει για το κείμενο της διαδικασίας. Μια διαδικασία γράφεται από ανθρώπους που κάθονται ήρεμοι σε γραφείο και εκτελείται από ανθρώπους που στέκονται όρθιοι μέσα σε συναγερμούς. Αν ζητά κρίση εκεί που έπρεπε να ζητά μέτρηση, ή αν αφήνει τον χειριστή να διαλέξει ανάμεσα σε κανόνες που συγκρούονται μεταξύ τους, το κείμενο είναι ελαττωματικό ακόμη κι αν κάθε πρόταση μέσα του είναι τεχνικά σωστή. Στο Three Mile Island ο κανόνας «μην γεμίσεις το δοχείο» και ο κανόνας «κράτα το καύσιμο καλυμμένο» βρέθηκαν αντιμέτωποι, και η εκπαίδευση είχε κάνει τον κανόνα του δοχείου πιο δυνατό.

Η οργανωτική πλευρά είναι εξίσου σκληρή. Παρόμοιο περιστατικό με βαλβίδα εκτόνωσης που δεν ξανάκλεισε είχε ήδη συμβεί σε άλλη μονάδα και είχε αναλυθεί εσωτερικά. Η γνώση δεν έφτασε στους ανθρώπους που τη χρειάζονταν, δεν μπήκε στη διαδικασία, δεν μπήκε στην εκπαίδευση. Ένας κλάδος όπου η εμπειρία μιας μονάδας δεν γίνεται αυτόματα υποχρέωση όλων των άλλων επαναλαμβάνει τα ίδια λάθη με διαφορετικά ονόματα.

Τι γεννήθηκε από αυτό

Η εκπαίδευση άλλαξε ρίζα. Οι προσομοιωτές έγιναν πλήρους κλίμακας και πιστά αντίγραφα του συγκεκριμένου χειριστηρίου κάθε μονάδας, και τα σενάρια έπαψαν να είναι καθαρά. Ο χειριστής εκπαιδεύεται πλέον σε καταστάσεις με αντιφατικές ενδείξεις, με όργανο που ψεύδεται, με πολλαπλές ταυτόχρονες βλάβες, και η άδειά του συνδέεται με την επίδοσή του εκεί μέσα.

Οι διαδικασίες άλλαξαν λογική. Παλιά ζητούσαν πρώτα διάγνωση: αναγνώρισε ποιο ατύχημα έχεις και μετά άνοιξε το αντίστοιχο εγχειρίδιο. Αυτό απαιτεί από τον άνθρωπο να είναι σωστός ακριβώς τη στιγμή που η πληροφορία του είναι χειρότερη. Οι διαδικασίες βασισμένες σε συμπτώματα αντιστρέφουν το ερώτημα: δεν ρωτούν τι έπαθες, ρωτούν τι μετράς. Πίεση, στάθμη, περιθώριο μέχρι τον βρασμό, κατάσταση κελύφους, ροή ψύξης. Ο χειριστής ακολουθεί βήματα που κρατούν ικανοποιημένες τις κρίσιμες λειτουργίες ασφαλείας, ανεξάρτητα από το πώς θα ονομαστεί τελικά το συμβάν.

Άλλαξε και το ποιος κοιτάζει. Δημιουργήθηκαν συγκεντρωτικές οθόνες που δείχνουν κατευθείαν την κατάσταση των κρίσιμων λειτουργιών ασφαλείας αντί για διάσπαρτα επιμέρους μεγέθη, και θεσπίστηκε ρόλος τεχνικού συμβούλου στη βάρδια, ανθρώπου δηλαδή που δεν χειρίζεται αλλά διαβάζει την εικόνα από απόσταση. Ο κλάδος οργάνωσε δικό του σχήμα ανεξάρτητης αξιολόγησης, με ομάδες που επιθεωρούν τη μια μονάδα με προσωπικό από τις άλλες και με υποχρεωτική διακίνηση της λειτουργικής εμπειρίας. Ο ρυθμιστής, από την πλευρά του, ενίσχυσε τη μόνιμη παρουσία επιθεωρητών στους σταθμούς, έβαλε τους ανθρώπινους παράγοντες μέσα στα κριτήρια αδειοδότησης και ανασχεδίασε τον σχεδιασμό έκτακτης ανάγκης εκτός των ορίων του σταθμού.

Τι κρατάμε για ό,τι σχεδιάζεται σήμερα

Τα σύγχρονα σχέδια απαντούν στο τεχνικό κομμάτι με τρόπους που τότε δεν υπήρχαν: άμεση ένδειξη θέσης σε κρίσιμα εξαρτήματα, παθητικά συστήματα που απάγουν την παραμένουσα θερμότητα με βαρύτητα και φυσική κυκλοφορία, μεγαλύτερα αποθέματα νερού, ψηφιακά χειριστήρια με ιεραρχημένους συναγερμούς. Η γενιά Gen III+ και τα σχέδια μικρών αρθρωτών αντιδραστήρων κουβαλούν αυτή τη γραμμή σκέψης από τη σχεδίαση, όχι ως μεταγενέστερη προσθήκη.

Το ψηφιακό χειριστήριο όμως αναπαράγει το ίδιο ερώτημα σε νέα μορφή. Η οθόνη δείχνει αυτό που πιστεύει το λογισμικό ότι συμβαίνει. Αν ο αισθητήρας, το φίλτρο ή η λογική της ένδειξης είναι λάθος, ο χειριστής βλέπει πάλι μια πεποίθηση αντί για μια μέτρηση. Το δίδαγμα του Three Mile Island δεν παλιώνει με την τεχνολογία, μεταναστεύει μαζί της.

Χρειάζεται και μια διευκρίνιση που συχνά χάνεται στη δημόσια συζήτηση. Τα σοβαρά πυρηνικά ατυχήματα δεν είναι το ίδιο πράγμα μεταξύ τους: ο μηχανισμός στους αντιδραστήρες τύπου RBMK, ο μηχανισμός στη Φουκουσίμα και ο μηχανισμός εδώ διαφέρουν σε αιτία, σε εξέλιξη και σε συνέπεια. Κανένα σχέδιο, ούτε Gen III+ ούτε μικρός αρθρωτός, δεν καθιστά το σοβαρό ατύχημα αδύνατο. Ο στόχος του σχεδιασμού είναι να το κάνει πολύ λιγότερο πιθανό και, αν συμβεί, να το κρατήσει περιορισμένο. Το Three Mile Island έδειξε ότι αυτός ο στόχος περνάει τουλάχιστον όσο από τη σχεδίαση του χειριστηρίου και της διαδικασίας όσο και από το πάχος του σκυροδέματος.