Havárii Three Mile Island zhoršilo chybné vyhodnocení otevřeného ventilu

Kontrolka v řídicí místnosti ukazovala, že ventil je zavřený. Ve skutečnosti odpouštěl chladivo z reaktoru dalších 140 minut.

Foto: PLBthetoonist - licence CC BY-SA R.0

Ráno 28. března 1979 se v jaderné elektrárně Three Mile Island v Pensylvánii odehrála nejzávažnější havárie v historii americké komerční jaderné energetiky. Začala banálně, výpadkem napájecí vody v sekundárním okruhu. Během sekund se automaticky otevřel pojistný ventil na pressurizeru, aby odlehčil rostoucí tlak. Jenže po třinácti sekundách, kdy měl znovu dosednout, zůstal zaseknutý. A právě tady se z provozní poruchy začala stávat katastrofa – ne proto, že ventil selhal, ale proto, že nikdo v řídicí místnosti nevěděl, že je stále otevřený.

Kontrolka, která lhala

Klíčem k pochopení celé havárie je jedna drobnost v konstrukci indikačního systému. Kontrolka na panelu řídicí místnosti neukazovala skutečnou mechanickou polohu ventilu PORV. Zobrazovala pouze to, zda do solenoidu, elektromagnetu ovládajícího ventil, proudí elektrický signál k otevření. Jakmile řídicí systém odeslal povel k zavření a proud do solenoidu přestal téct, kontrolka signalizovala „zavřeno“. Operátoři neměli důvod pochybovat. Jenže ventil fyzicky nedosedl.

Prezidentská komise vedená Johnem Kemenym později zdokumentovala ještě znepokojivější detail: týdny před havárií existovalo podezření na netěsnost právě tohoto ventilu. Provozní procedura vyžadovala při zvýšených teplotách v odpadním potrubí uzavřít nadřazený blokový ventil. Provozovatel to nedělal. Obsluha si na „nenormální“ teploty zvykla. Když 28. března teploty v potrubí za PORV opět stouply, nikdo v tom neviděl varovný signál, jen další den jako každý jiný.

Dvě hodiny a dvacet minut slepého letu

Otevřený PORV průběžně odpouštěl páru a vodu z primárního okruhu. Reaktor fakticky prodělával nehodu typu ztráta chladiva, ale obsluha ji nerozpoznala. Automatický systém nouzového chlazení se spustil správně a začal do reaktoru doplňovat vodu. Operátoři ho ale omezili, a pak zcela odstavili hlavní cirkulační čerpadla.

Proč? Protože hladina v pressurizeru rostla. V logice, kterou operátoři znali z výcviku, to znamenalo, že reaktor je „přeplněný“ vodou a hrozí hydraulický ráz. Ve skutečnosti rostoucí hladina v pressurizeru odrážela var chladiva v celém primárním okruhu, voda se měnila v páru, který vytlačoval zbývající kapalinu nahoru. Operátoři neměli přímé měření hladiny vody v tlakové nádobě reaktoru. Spoléhali na zástupný ukazatel, který je v dané situaci systematicky klamal.

Teprve kolem 6:22 ráno, zhruba dvě hodiny a dvacet minut po začátku události, nový směnový inženýr uzavřel blokový ventil nad PORV a zastavil únik chladiva. V tu chvíli už bylo pozdě zabránit rozsáhlému poškození. Zhruba polovina uranového paliva se roztavila. Někteří operátoři o skutečném rozsahu škod podle Kemenyho komise nevěděli ještě tři až čtyři dny po havárii.

Ne člověk, ne stroj, rozhraní mezi nimi

Snadné by bylo ukázat prstem na operátory. Nebo na výrobce ventilu. Havárie TMI ale nebyla selháním jednoho článku, nýbrž celého řetězce.

• Konstrukce indikace: Kontrolka PORV nezobrazovala fyzickou polohu, jen elektrický povel.
• Chybějící instrumentace: Přímé měření hladiny v tlakové nádobě neexistovalo.
• Výcvik: Operátoři nebyli připraveni na scénář, kdy pressurizer ukazuje „plno“ a reaktor je přitom bez chladiva.
• Provozní kultura: Tolerovaná netěsnost ventilu před havárií otupila citlivost obsluhy na varovné signály.
• Zásahy proti automatice: Procedury umožňovaly ručně omezit nouzové chlazení, které se spustilo správně.

NRC reagovala okamžitě. Už v dubnu 1979 vyšel bulletin 79-06B, který elektrárnám nařídil mimo jiné jasnou indikaci otevřených pojistných ventilů, povinné ruční uzavření blokového ventilu při zaseknutém PORV, kontrolu pomocných napájecích systémů a omezení neoprávněného vypínání bezpečnostních funkcí. Následovaly rozsáhlejší změny: přísnější nouzové plánování, rezidentní inspektoři přímo u elektráren, nepřetržité hlášení událostí a zásadní posílení výcviku operátorů s důrazem na lidský faktor.

Ani Černobyl, ani bagatelka

Na mezinárodní stupnici jaderných událostí INES je Three Mile Island hodnocena stupněm 5, havárie s širšími důsledky. Černobyl a Fukušima nesou stupeň 7, tedy nejvyšší. Rozdíl je zásadní: kontejnment TMI vydržel, masivní únik radioaktivity do okolí nenastal. Americké úřady uvádějí, že průměrná dodatečná dávka pro okolní obyvatelstvo dosáhla asi 0,01 milisievertu nad přirozené pozadí a žádné detekovatelné zdravotní dopady nebyly prokázány.

Přesto havárie vyvolala několikadenní paniku. Guvernér Pensylvánie doporučil evakuaci těhotných žen a malých dětí z okolí. Obavy přitom zesílila vodíková bublina uvnitř reaktorové nádoby – technici několik dní řešili riziko, než ho postupně eliminovali.

Často se uvádí, že TMI zastavila desítky amerických jaderných projektů. Realita je však složitější. Data Congressional Research Service ukazují 57 stornovaných projektů už v sedmdesátých letech, celkem pak 126 v širší vlně útlumu. Sešly se nižší odhady poptávky po elektřině, rostoucí investiční náklady, delší licencování a sílící bezpečnostní obavy. TMI byla mocným akcelerátorem, ne jedinou příčinou.

Co zbylo z Three Mile Island

Havarovaný blok TMI-2 je dnes v režimu likvidace. NRC odhaduje uzavření lokality do roku 2052. Vedle něj ale stojí bývalý blok TMI-1, přejmenovaný na Christopher M. Crane Clean Energy Center, který od roku 2024 prochází regulatorním procesem možného restartu. Kontrast je výmluvný: na jednom místě se potkává dědictví nejhorší americké jaderné havárie s ambicí nové éry jádra.