Выскажу еще одно предположение в копилку логического обоснования хронологии.
Согласно ранее высказанному, операторы на момент потери питания:
1) знали состояние ICa (клапана МО-3А)
2) знали, что для нормального расхолаживания достаточно одного IC
3) остались без рабочего освещения
4) не имели индикации состояния задвижек от концевиков (либо их не было совсем, либо "дальние" цепи оказались обесточенными)

В такой ситуации, операторы, конечно же, подали команду на открытие клапана МО-3А, наблюдали "мигушки" исполения и...
Ошибочно посчитали ICa включенным в работу о чем и сообщили наверх.
Тем временем, электропитание двигателя задвижки уже могло быть нарушено...

RocketMan, давайте я приведу аналогию на ассоциативную память. Вы едете домой на машине по известному маршруту. Приехали. Поставили на кухне готовиться пельмени и начали смотреть футбол по телевизору. Вдруг вокруг все затряслось, свет отключился и зазвонил телефон. Вы сняли трубку, подтвердили, что не пострадали, но закипели ли пельмени - сейчас не видите и что нужно аккуратно, не набив шишек, дойти до кухни и проверить, но скорее всего, если ничего не делать, закипят минут через 5, так как вы их только пару минут назад поставили. А пострадал ли газопровод вообще не знаете.

И тут Вас спрашивают, в какую сторону вы крутили руль в последний раз, когда ехали домой: направо или налево?
Бинарная память не поможет. Память образов тоже. А вот ассоциативная - легко. Вы можете быстренько прикинуть маршрут, припомнить несколько последних поворотов, особенности парковки и точно, весьма точно, ответить, в какую сторону Вы поворачивали в последний раз, т.е. в какую сторону крутили руль!

Более того, предположим, что Вы контужены, и по телефону вообще толком ответить ничего не можете. К Вам высылают скорую помощь. Приезжает доктор, задает тот же вопрос, в какую сторону руль крутили? Вы не понимаете. Тогда он задает наводящий вопрос, откуда Вы ехали? По той ли дороге, что обычно? Где припарковали машину? Достает карту, сверяется и... Уже доктор может достаточно точно ответить в какую сторону Вы крутили руль!

Да будь Вы даже без сознания, спасатели могут направить кого-нибудь, кто разыщет Вашу машину на парковке рядом с домом, поговорит с охранником и прикинет по положению машины ее траекторию на парковке и, соответственно, направление последнего поворота...

И, пожалуйста, не держите людей за баранов, особенно операторов АЭС в данном контексте.

Сергей, опять Вы утверждаете тоже самое, но зачем то ставите знаки вопроса.
Я тоже говорю о том, что положение клапанов неопределенное. Но, по логике, не имея иных сведений, и тем более зная о поданной команде закрытия, должны были исходить из закрытого состояния (т.е. из наиболее вероятного с одной стороны, и из худщего с другой). А исходили почему то из варианта лучшего, т.е. из того что клапаны IC открыты. Что могло заставить и операторов на месте, и руководство станции и даже кризисный штаб быть уверенными в том, что клапана IC открыты? Согласно их же отчетам, смена состояние клапанов не знала так как панели погасли, но помнили, что за несколько минут до блекаута подали команду на закрытие. В штабе знали, что отключение питание автоматики приведет к закрытию клапанов. И что могло застваить их в такой ситуации быть уверенными, что IC функционирует? Это противоречит здравому смыслу!

Относительно последовательности пропадания питания, с большей степенью вероятности можно считать, что сначало пропало AC, потом DC, и только потом питание КИП. Предполагаю, что питание цепей индикации и контроля в силу относительно небольших мощностей было так или иначе зарезервировано локально.

Так что сначала операторы потеряли возможность управлять и только спустя некоторое время - возможность наблюдать. Или как вариант все отключилось одновременно с точностью до времени закрытия/открытия задвижек.

Сергей, потрудитесь перечитать пару предыдущих страниц темы, особенно мои сообщения, тогда нам не придется спорить, ведь утверждаем мы почти одно и тоже, только я попробовал восстановить картину чуть детальнее. И чем больше деталей я логически пытаюсь обосновать, тем полнее получается картина.

Что касается запоминания положения индикаторов и переключателей, то я как раз утверждаю, что запоминать их состояние не нужно. Достаточно было помнить о том, какие действия с задвижками IC совершались в предыдущие минуты времени. А оператор за несколько минут до блекаута закрыл задвижку МО-3А по плану ограничения скорости расхолаживания. Сделал это без спешки и не в первый раз. Предъявлять к нему претензии, что он не помнил свтилась ли лампочка и какие кнопки он нажимал? Звучит несерьезно. И достоверно можно считать, что клапан МО-3А успел полностью закрыться, так как команда была дана и причин к ее неисполнению никто не обозначил.

Т.е. по Вашему им было известно, что в случае обесточивания автоматика воспримет это как сигнал большого падения давления и закроет все задвижки. Но вместо этого, они исходили из того, что задвижки открыты и ждали пока топливо расплавится и водород взорвется умышленно?
Получается, руководство ТЯПКи само на себя наговаривает?

Или, о закрытом состоянии одного из клапанов, всетаки, знали? Но вот признавать это неудобно. Ведь проще же персонал станции обвинить, мол не знали как IC работает, состояние индикации клапанов не запомнили, визуально в генерации пара теплообменниками IC убедиться не догадались...

А что если команда подать питание на двигатели задвижек исходила из штаба? И команду эту отдали не убедившись в ее безопасности? Теперь, если признать, что авария произошла из-за закрытия внутренних клапанов, виноватым можно будет считать того, кто отдал приказ о подаче питания по такой схеме...

Вот никак в моей голове не укладывается, как оператор мог не помнить, в каком состоянии задвижка, если минутами ранее несколько раз переключал ее положение? Должна же быть логика: скорость расхолаживания такая то, закрываю, жду, температура такая то, открываю. Ассоциативная память работает надежнее триггера. Кнопки ли там на пульте вообще или переключатели? Чувствуется, не договаривают и о состоянии внешних клапанов знали! Потому торопились подать питание на двигатели задвижек. И подав его на шины внешних, вероятно, запитали и внутренние. Не успев подумать о последствиях...


Сомневаюсь, что такая логика была. Пропадание питания не рассматривалось в принципе. Значит автоматика на этот случай никаких команд не вырабатывает. Да и клапаны без питания команду исполнить не могут. Так что будут они в неопределенном положении. В противном случае, Senior Operator в своих решениях обязан был исходить из условия "все клапаны закрыты". Ан нет. И руководство на блоке и в аварийном штабе полагало, что IC функционирует после потери питания! Значит нет такой логики на закрытие при обесточивании... Закрытие клапанов может являться лишь особенностью технических решений по реализации штатной логики. Но для осознания этих особенностей нужен инженер и время.

Вероятно, так как внутренние клапаны - это аварийная защита аварийных систем, то логика управления там автономная, селективная, с защитой от ложного срабатывания. Т.е. непосредственно в шкафу управления задвижкой есть АВР, инвертор и автономный блок управления с тригерами. На тригеры приходят несколько независимых цепей контроля. Срабатывание по низкому уровню не менее двух (трех) сигналов.

Пока было питание не было и сигналов Pipe Rupture, поэтому причин закрытия не было. С пропаданием питания появилась причина (несколько низких сигналов с контрольных цепей) и соответствующая команда автономного блока, но пропала возможность (питание привода задвижек). Может быть, клапана даже успели немного закрыться.

В сложной обстановке этот нюанс упустили. И, восстанавливая питание, в какой то момент времени на одной из шин АВР внутренних задвижек появилось питание. Команда на закрытие уже была. Вот задвижки и продолжили закрываться. И по их закрытию, на пульте загорелись контрольные лампы "ЗАКРЫТО". Тут то операторы и узнали об этом. Вероятно, даже быстро сообразили об особенностях аварийной логики и сняли питание с "вредной шины".

Вероятно, клапана MO-1B и MO-4B закрылись раньше (их контрольные лампы загорелись) чем MO-1A, MO-4A, поэтому появились версии, что не все клапаны полностью закрылись. Это же помогло вспомнить именно об аварийной логике ведь MO-2B и MO-3B были закрыты и в нормальном режиме закрытие MO-1B и MO-4B не требовалось.

Поигравшись c MO-2A и MO-3A пришли к выводу, что внутренние клапаны всетаки закрыты. И с IC B даже не стали пытаться. Блок управления аварийной логикой автономный. С пульта нет возможности дать команду на открытие. А к блоку управления нет доступа. Вот и пришлось отказаться от использования IC.

Причем, очевидно, персонал действовал вполне квалифицированно. Не поверю я, что не умели они IC пользоваться и не знали когда и как его включать. Скорее всего знали, умели, но просто на пару минут упустили логику аварийного закрытия внутренних клапанов. А после их закрытия стало уже поздно что либо предпринимать. Версии же руководства о том, что виноват персонал, который якобы не умел пользоваться IC выглядят странно. Это не такая сложная система. Как ее использовать даже нам с Вами понятно из базовых описаний устройства ФАЭС.

Осмелюсь предположить, что дело не в ложном сигнале. Дело в особенностях аварийной логики, о которой смена вовремя не догадалась.
С отключением питания КИП отключились и приводы задвижек. Потому, после цунами, внутренние клапана оставались открытыми.
А вот по мере восстановления питания КИП, питание подали и на приводы задвижек. То есть фактически закрыли их сами!
Если бы причиной был разрыв или неисправность задвижки, сохранялась бы возможность использовать второй IC. А о нем ни слова.
Именно потому что подав питание операторы достаточно быстро сообразили, что внутренние клапаны закрылись, но стало уже поздно.
По крайней мере, другого объяснения, почему ICb не трогали, я не вижу.

Версия парового взрыва на 3-ем блоке http://lewrockwell.com/orig4/goddard2.1.1.html
Страшно, если действительно так и произошло :-(

Клапанов, скажем так, там, всетаки, больше четырех. И, возможно, ценой значительных усилий и координированных действий за смену можно бы было восстановить управление наиболее важных из них. Важно было понять, что и как восстанавливать. И тут, похоже, Site Superintendant принял решение разбираться самостоятельно. Дал указание персоналу раскрыть эксплуатационную документацию, восстанавливать КИП. Пока восстанавливали КИП, похоже, на первом блоке умудрились подать питание на приводы задвижек и закрыли МО-1 и МО-4 (pipe rupture signal), после чего остались без IC (пока это только версия). После чего забили на системы охлаждения высокого давления и решили готовиться к вентиляции. Но, не правильно оценили уровень воды в реакторе, ошиблись в прогнозировании имеющегося запаса времени, пропустили начало паро-циркониевой реакции и расплавления топлива. Не учли политические сложности в проведении вентиляции блоков. И, похоже, вообще не догадались, что водород уже выделяется и может убегать сквозь неплотности контейнмента (о неплотностях они знали!).

Очевидно, в условиях в которых оказался персонал станции после землетрясения, цунами, потери освещения и с мыслями в голове о родных и близких, сложно или даже невозможно оперативно найти верный способ решения нахлынувших проблем. Именно потому, управление должен был взять на себя кризисный штаб, где тепло и сухо, где имеются условия для анализа ситуации и выработки решений. И, говоря как есть, номинально, штаб был создан весьма оперативно. Вот только то ли связь с ним была как по испорченному телефону, то ли в штабе необходимых специалистов не оказалось, то ли еще что...

Так получается, что чем дольше безаварийный срок эксплуатации, тем большую заметность приобретает управленческий и административный персонал, и тем меньшую - инженерный и рабочий. Следствием является то, что ключевые должности, вроде Unit Superintendant достаются управленцам, а Senior Operator - администраторам. Не исключено, что в силу специфики подготовки (вспоминаем наше ЕГЭ), даже на должности Aux operator администратор выглядит эффективнее инженера.

Квалификация линейного персонала с учетом японской специфики и жесткой иерархической структуры управления на развитие аварии влияла в меньшей степени. Хотя есть как показатели глупости, так и сообразительности.

В целом, такая расстановка, является верной. За одним большим исключением. Запроектная авария.
В такой ситуации, ответов в штатной аварийной документации не найти.
Принять верное решения здесь может:
1) архитектор, разработчик системы этой или аналогичной.
2) руководитель экспериментального реактора, научный сотрудник.
3) специально подготовленный оператор (с более глубокими инженерно-физическими знаниями).
4) "международный атомный спецназ" (группа специалистов с соответвующей теоретической и практической подготовкой).
Таких не может быть много. Но они должны быть. Они есть. Проблема в доступности оперативной связи с ними. Проблема как техническая, так и организационно-политическая.

Господа, мне кажется, не надо изобретать велосипед. Аварийные способы расхолаживания есть. Они эффективны, когда работоспособны. Проблема в том, что имеется событие превышающее МПА - цунами 15 метров высотой. Есть последствия этого события - потеря электроснабжения первой категории и частично особой группы. Далее для предотвращения катастрофы и управления запроектной аварией могут использоваться только оперативно доступные инженерные ресурсы. А доступны оказались только магистры и бакалавры. Связь с внешним миром затруднена. Site superintendant, unit superintendant и senior operator не представляли себе в полном объеме физику процессов, потому не cмогли предсказывать развитие событий, потому допустили развитие аварии по плохому сценарию и пришли к катастрофе.

Я не верю, что специалистов способных правильно предсказывать ход аварии и направлять силы по пути предотвращения катастрофы и минимизации убытков не было совсем. Просто они были недоступны в полном объеме в данное время в данном месте. А потому, основной вывод: Связь! Связь! И еще раз связь! (в том числе полномочия на осуществление коммуникаций). Это не дорого. Это реализуемо. Это позволит бороться с иными запроектными авариями.

Слава инженерам, ни до одной аварии в моей практике не дошло. Отказы были. Разные. Сложные. Плавающие.
Но в целом, имею положительный опыт безаварийной эксплуатации достаточно сложных распределенных информационных систем, автоматических и автоматизированных систем управления в масштабе реального времени. Без седых волос не обошлось. Специфика работы не грозит прямым ущербом здоровью и жизни. Но финансовые потери в случае аварии на обслуживаемых мной системах измерялись бы сотнями миллионов.

Special Report on the Nuclear Accident at the Fukushima Daiichi Nuclear Power Station.


Относительно первого блока:
1. Будучи на месте Site Superintendent или Unit 1 Superintendent, с приходом второй волны цунами, затоплениями и потерей 1-ой категории электроснабжения, осознавая как технические так и организационные сложности в проведении вентиляции блоков и переходу к использованию систем охлаждения низкого давления, прежде всего полагался бы на использование (восстановление) энергонезависимых систем охлаждения высокого давления.
2. Будучи на месте Unit 1 Main Shift Operator я бы помнил состояние основных задвижек и показания основных приборов на момент времени t+57 (потеря DC). И на месте Auxiliary Operator проговаривал бы все действия, как открытие или закрытие задвижек IC.
3. На месте Unit 1 Senior Operator, не имея подтверждения функционирования IC, с учетом п.1, исходил бы из худших условий, и принял бы меры к определению статуса IC и их скорейшему включению (восстановлению). При этом, я обязан был бы знать условия, при которых задвижки MO-1 и MO-4 могут закрыться и не допустить этого при попытке восстановления управление задвижками MO-2 и MO-3.

Nut

1. Доктор, не язвите, самому больно!
2. Не отрицаю, постфактум все умные и все проще. Но...
3. Не приведи случай оказаться на месте инженеров получивших задание открывать задвижки вручную.
4. Но если бы пришлось, хотя бы один из IC на первом блоке запустил бы не взирая на дозы.

armadillo
Вот и я о том же.


Очевидно, дырки в реакторе уже были, и парило, видимо, весьма сильно. Но операторы все еще "верили", что вода в активной зоне есть!

Это уже показатель разрушения реактора.

И только тут они начинают догадываться, что показания прибора выше актуального уровня!

Расплавленное топливо активно загрязняло остатки охлаждающей воды...

А уровень воды по показаниям неисправных приборов, которым они продолжают верить, как будто, только сейчас опустился ниже TAF.

В общем в прямую ошибку персонала: неправильная оценка состояния реактора, неумение оценить состояние реактора по косвенным признакам, слепая вера в показания частично обесточенных приборов, неумение прогнозировать развитие событий даже на 15 минут вперед, пропуск падения уровня воды ниже TAF и начала паро-циркониевой реакции с генерацией большого количества водорода, пропуск момента Melt Down и опоздание с подачей борной кислоты. Всего этого можно было избежать, будь хоть у кого то голова, а не машина-тьюринга на плечах... Ужас!

Среди всего происходящего, я обратил внимание, что персонал в первые часы аварии, потеряв электропитание первой категории, не обратил внимание на то, что указатели уровня охлаждающей воды в реакторе могут врать. То, что они наблюдали, временно восстанавливая электропитание в комнате управления:

Очевидно, ошибочные значения. Температура росла, вода кипела. Показаниям уровня нельзя было доверять!

К этому времени, очевидно, уже melt through случился. А у них еще уровень воды выше TAF.