Матрос вручную заглушил реактор аварийной атомной подлодки К-219

Когда автоматика перестала работать, последним элементом системы безопасности оказался человек

Северная Атлантика, 3 октября 1986 года

К-219 находилась на боевом патрулировании в Атлантическом океане. Это была советская атомная подводная лодка проекта 667А, известного в классификации НАТО как Yankee class, вооружённая баллистическими ракетами.

Утром 3 октября в одной из ракетных шахт возникла аварийная ситуация. Морская вода проникала внутрь шахты, где находилась жидкостная баллистическая ракета. Контакт воды с компонентами ракетного топлива привёл к химической реакции, образованию токсичных соединений и затем к взрыву.

Американское Naval History and Heritage Command датирует пожар и взрыв именно 3 октября 1986 года. Независимое подтверждение даёт канадская Служба безопасности и разведки: в этот день станция радиотехнической разведки на Бермудах обнаружила терпевшую бедствие советскую подлодку примерно в 680 милях к северо-востоку от островов.

Для экипажа геополитика в этот момент перестала иметь значение. Внутри К-219 начиналась борьба за физическое выживание корабля.

Авария развивалась сразу по нескольким направлениям

Взрыв повредил ракетный отсек и корпус. Внутрь поступала вода, распространялись продукты горения и токсичные пары компонентов ракетного топлива. К-219 потеряла глубину, но экипажу удалось стабилизировать лодку и вывести её на поверхность.

Однако повреждение ракеты было только одной частью аварии.

На атомной подводной лодке необходимо было привести реакторную установку в безопасное состояние. По данным Международного агентства по атомной энергии (IAEA), во время пожара оба реактора К-219 были остановлены, причём один из них пришлось заглушать с использованием ручного привода управляющей решётки.

За этой сухой технической фразой скрывается самая известная часть истории К-219.

Когда кнопки уже недостаточно

В ядерном реакторе цепная реакция регулируется поглощающими элементами, которые вводятся в активную зону. При аварии система защиты должна быстро уменьшить реактивность и остановить реактор.

Но на К-219 штатное управление не обеспечило необходимого результата.

Научно-технический обзор аварии, доступный через ScienceDirect, описывает ситуацию предельно просто: остановить реактор с пульта управления оказалось невозможно, поэтому операцию пришлось выполнять вручную.

Это принципиальное уточнение. Сергей Преминин не «починил реактор» и не остановил ядерную установку каким-то импровизированным способом. Он участвовал в выполнении предусмотренной конструкцией, но чрезвычайно опасной резервной операции: элементы управления реактором необходимо было довести до положения, обеспечивающего его заглушение, непосредственно ручным приводом.

Для этого человек должен был войти туда, откуда в нормальной эксплуатации реактором управляют дистанционно.

Последняя линия защиты имела имя

В реакторную зону вошли старший лейтенант Николай Беликов и матрос Сергей Преминин.

Работать приходилось в тяжёлых условиях — при высокой температуре, в средствах защиты и при ограниченном времени пребывания. Беликов и Преминин вручную приводили механизмы управления реактором в безопасное положение.

В итоге Преминин завершил операцию.

Ему было 20 лет.

Реактор был заглушен.

Преминин попытался выйти, но вернуться к экипажу не смог. В источниках обстоятельства связываются с тяжёлыми условиями внутри отсека и невозможностью открыть люк при возникшем перепаде давления. Он погиб внутри лодки.

Подлодку спасти не удалось

Остановка реакторов устранила одну из наиболее опасных составляющих аварии, но сама К-219 продолжала оставаться тяжело повреждённой.

Советские суда подошли к лодке, предпринималась попытка буксировки. Экипаж в течение нескольких дней боролся за корабль.

6 октября К-219 затонула в Атлантическом океане.

По данным IAEA, лодка ушла на глубину около 6000 метров. На морском дне остались два ядерных реактора и ядерное вооружение.

Получается важный исторический парадокс: действие Преминина не спасло сам корабль.

Оно решало другую задачу — переводило ядерную установку в безопасное состояние внутри уже практически потерянной сложной системы.

И именно поэтому эта история интереснее обычного рассказа о героизме.

Через пять месяцев после Чернобыля

Есть ещё одна деталь, которая сегодня почти забыта.

Авария К-219 произошла всего через пять месяцев после катастрофы на Чернобыльской АЭС 26 апреля 1986 года.

Мир в тот момент особенно остро обсуждал ядерную безопасность, аварийное реагирование и способность государств сообщать друг другу об опасных событиях. В сентябре 1986 года Международное агентство по атомной энергии приняло Конвенцию об оперативном оповещении о ядерной аварии и Конвенцию о помощи в случае ядерной аварии или радиационной аварийной ситуации.

А уже 3 октября в Атлантике возникла новая чрезвычайная ситуация с советским ядерным объектом.

На этот раз советское руководство не пыталось просто сделать происшествие невидимым. Рассекреченные впоследствии материалы, опубликованные National Security Archive, показывают, что Москва сообщила об аварии, а Соединённые Штаты предложили помощь.

Для 1986 года это было существенно: аварийная безопасность начинала становиться областью, в которой даже противники по холодной войне сталкивались с одной и той же реальностью — последствия технологической катастрофы способны выйти за пределы политических границ.

Человеческий фактор — это не только источник ошибок

В разговорах о безопасности выражение «человеческий фактор» часто используется почти как синоним ошибки оператора.

История К-219 показывает другую сторону этого понятия.

Человек может быть причиной отказа. Но человек одновременно способен стать последним резервным уровнем системы, когда автоматика, дистанционное управление и штатная последовательность действий уже не обеспечивают необходимого результата.

В современной инженерии безопасности для этого существует гораздо более широкий язык: резервирование, отказоустойчивость, физическое разделение систем, принцип fail-safe — переход оборудования при отказе в максимально безопасное состояние, — управление тяжёлыми авариями и анализ человеческих факторов.

Но фундаментальный вопрос остаётся тем же, что внутри К-219 в октябре 1986 года:

что произойдёт, если одновременно перестанут работать несколько уровней защиты?

И следующий вопрос ещё важнее:

что система потребует в этот момент от человека?

У аварии была и химическая сторона

К-219 была не только атомной подводной лодкой. На борту находились жидкостные баллистические ракеты, а значит, авария одновременно представляла ядерную, химическую, пожарную и механическую угрозу.

Повреждение ракетной шахты и взаимодействие морской воды с компонентами топлива привели к образованию токсичных веществ. Поэтому борьба экипажа происходила не в условиях одного изолированного отказа, а внутри каскада взаимосвязанных опасностей.

Для современной медицины катастроф и промышленной безопасности это принципиальная деталь.

Реальные крупные аварии редко остаются «чисто химическими», «чисто радиационными» или «чисто механическими». Один отказ способен менять условия работы другой системы, а последовательность событий — превращать управляемую неисправность в комплексную чрезвычайную ситуацию.

Именно поэтому сегодня безопасность сложных объектов строится не только вокруг вероятности отдельного отказа, но и вокруг сценариев, в которых несколько защитных барьеров нарушаются последовательно.

Почему эта история важна сегодня

К-219 легко оставить в прошлом — среди советских атомных подлодок, холодной войны и технологий 1980-х годов. Но профессиональный смысл этой истории гораздо шире военно-морской истории.

Фармацевтическое производство, биотехнологические предприятия, больницы, лаборатории, системы стерильного производства, автоматизированные линии и современные медицинские устройства становятся всё более технологически сложными. Чем выше уровень автоматизации, тем легче возникает психологическая иллюзия, что человек постепенно перестаёт быть критической частью системы.

На практике происходит другое.

Автоматика уменьшает вероятность одних ошибок, но одновременно создаёт новые требования к тем редким ситуациям, когда автоматический сценарий перестаёт работать. Оператору приходится вмешиваться именно тогда, когда условия уже вышли за пределы нормального режима, информации недостаточно, время ограничено, а цена решения максимальна.

Поэтому зрелая система безопасности проектируется не вокруг предположения «оборудование не должно отказать», а вокруг вопроса «что произойдёт после отказа».

Для фармацевтической индустрии эта логика узнаваема. Резервные источники питания, дублирование критического оборудования, аварийные процедуры, контроль целостности данных, независимые проверки, обучение персонала и планы действий при отклонениях существуют именно потому, что абсолютной безотказности не существует.

Есть и ещё один урок.

Если последний защитный барьер требует от человека почти невозможного действия, это не только история о мужестве человека. Это повод анализировать архитектуру всей системы.

Современная культура безопасности стремится сделать так, чтобы героизм не был обязательным элементом аварийной процедуры.