КС-19. ПРИЗМА в составе СЦК «Скала» (РБМК-1000) — модель ненаблюдаемой величины без петли

4000 точек ввода, не влияла на исход, потому что петля «модель → решение» была разорвана латентностью, дистанцией и ручным переносом распечатки.** Это самый ранний в базе задокументированный случай, где всё, кроме замыкания контура, было сделано — и этого оказалось недостаточно.

Квалификация (обязательное поле КС)

По различению Kritzinger (см. ПН-01 Двойник, тень, модель (различение Kritzinger)):

Вывод квалификации: digital shadow (цифровая тень), не двойник — по дословному критерию Kritzinger 1978–1986 гг. Более того, тень с непригодной латентностью: полный цикл опроса и расчёта ОЗР занимал 10–15 минут, регламентный пересчёт — раз в 15 минут, ЭВМ стояла примерно в 50 м от пульта, и результат физически приносили распечаткой. Обратный поток существовал, но он был человеческим и ритуальным (заказать расчёт → дождаться листинга → интерпретировать), а не автоматическим.

⚠ Терминологическая осторожность (§5.2 фреймворка). Ни один источник эпохи не называет ПРИЗМА или «Скалу» двойником: термина не существовало. Узел не приписывает объекту задним числом статус двойника — он показывает, что признаки, которые сегодня продаются как новизна (автоматический съём, расчёт ненаблюдаемых величин, модель в контуре управления), существовали в 1976 г., а отсутствовал ровно тот элемент, который и делает двойник двойником. Это ровно та операция «приклеивания термина задним числом», против которой предупреждает ПР-06 Две линии лестницы — и здесь она сознательно не выполняется.

Содержание

Что это было [факт]

СЦК «Скала» — система централизованного контроля, разработанная во ВНИИЭМ для энергоблоков с реакторами РБМК-1000 и внедрённая на всех блоках серии в России и на Украине. Вычислительная база — УВМ «В-3М» («ВНИИЭМ-3М»), полупроводниковая управляющая машина Истринского филиала ВНИИЭМ; быстродействие дословно — «всего лишь 35 тыс. операций с фиксированной запятой в секунду» (Десятников, 2011, [рецензируемое]). Порядок производительности бытового 8-разрядного компьютера начала 1980-х — на нём держался контроль энергоблока 1000 МВт.

Состав программ (INSAG-7, Annex I, перечень средств регистрации): - ДРЕГ — диагностическая регистрация параметров (по сути чёрный ящик, по которому потом восстанавливали аварию); - ПРИЗМА — расчёт параметров реактора, которые не измеряются напрямую; - отдельная осциллографическая система по турбогенератору; встроенные самописцы с диаграммными лентами.

ПРИЗМА работала совместно с системой контроля пространственного распределения энерговыделения и давала «guidance to the operator on steady state control of the power density distribution» (INSAG-7 §2.5) — то есть штатно была моделью-советчиком.

Что именно она считала: ОЗР [факт]

ОЗР (оперативный запас реактивности) — часть полного запаса реактивности, компенсируемая только подвижными поглотителями; выражается в эффективном числе полностью погружённых стержней ручного регулирования. Ключевое свойство: ОЗР не измеряется ничем — его можно только вычислить по модели. Это делает кейс образцовым примером класса «ненаблюдаемая переменная», ради которого модель и ставят в контур (см. ПН-04 Ненаблюдаемые переменные: зачем модель нужна в контуре).

Регламентные величины до аварии: разрешённый рабочий ОЗР — 26–30 стержней РР; минимально допустимый по разделу 9 Регламента — 15 стержней РР. После аварии: рабочий ОЗР поднят до 43–48, минимально допустимый — 30 вместо 15.

Что было и чего не было (несущая часть узла)

Было [факт]: автоматический съём с ~4000 точек ввода; модель ненаблюдаемой величины, считающая её физически корректно; регистрация событий; штатная роль советчика оператору.

Не было [факт]: 1. Обратной связи модели в защиту. INSAG-7 §4.2: ОЗР «was not conveniently available to the operator, nor was it incorporated into the reactor's protection system». 2. Пригодной латентности. 10–15 мин на полный цикл против характерного времени ксеноновых и мощностных переходов — модель отставала от объекта. 3. Физической близости. ЭВМ в ~50 м от пульта; результат приносили распечаткой. 4. Нагрузочного запаса оператора. INSAG-7 §2.4: «an operator could be required to perform manipulations at a rate of up to 1000 per hour». Модель не снимала нагрузку, а добавляла к ней ещё один ручной ритуал.

[факт] Проектных оснований для иного не было. INSAG-7, Annex I: «the design documentation and research work conducted to analyse the design made no provisions for the ORM to be treated as a parameter which would trigger the alarm system or the EPS when it reached the limit value». То есть разомкнутость петли — не эксплуатационная небрежность, а проектное решение.

Хронология 25–26 апреля 1986 — что показывает разрыв петли [факт]

Строка 01:22:30 — вся суть узла: значение модели за 70 секунд до нажатия АЗ-5 стало известно только годы спустя, расчётом на другой станции. Модель существовала, данные существовали, алгоритм существовал; результат не существовал в момент решения.

⚠ Вилка величины внутри одного доклада (В-1 §2в, 2026-08-26). Приложение II даёт для того же момента, дословно: «after the accident, the ORM was calculated using the standard axial power distribution curve in the PRIZMA program, which yielded a value of 1.9 manual control rods; the calculations using real data on the axial power distribution yielded an ORM value of 6-8 manual control rods». Корректная запись — «~8 (Прил. I); Прил. II: 6–8 / 1,9». Для узла это усиление: та же программа на тех же исходных параметрах даёт разброс вчетверо в зависимости от того, подставлено ли реальное поле энерговыделения или стандартная кривая. То есть у модели ненаблюдаемой величины не было и нет однозначного ответа даже задним числом — предельная иллюстрация ПН-04 Ненаблюдаемые переменные и РИ-01 Дрейф модели и валидация.

[факт] Плюс отказ самой ЭВМ. INSAG-7 §5.1(5) (⚠ ссылка уточнена 2026-08-26): «According to the record, the computer SKALA, which was used to calculate the ORM, became unreliable in the period in which the test took place. In the view of INSAG, it is likely that the operator did not know the value of the ORM during the critical part of the test». Прил. I подтверждает независимо: «The control room personnel and the SKALA system personnel did not have the operating calculation results and did not know the calculated parameters, including the ORM, at this time.»

[факт, находка первоисточника 2026-08-26 — ядро узла, прежде отсутствовавшее] Ненадёжность ПРИЗМЫ была известна, названа по причине и запротоколирована ЗАРАНЕЕ. Прил. I, дословно: «The PRIZMA calculation code was found to be unreliable at this time, because it did not take into account the position of the rods of automatic regulators Nos 1, 2 and 3 (a total of 12 rods). There is a note to this effect in the senior reactor control engineer's operating log. The Operating Procedures and other operating documentation did not prescribe the actions to be taken by personnel under such circumstances (in the event of unreliable calculation)…»

→ Три следствия для базы: (1) причина отказа модели конкретна и техническая — 12 стержней АР не входили в расчётную схему; (2) отказ был зафиксирован письменно оперативным персоналом, то есть организация о нём знала; (3) регламент не описывал, что делать, когда модель отказала. Последнее — самый прямой из найденных базой кирпичей к РИ-05 Дыра ответственности и ОВ-02 Непрерывная VVUQ: верификация здесь акт, а не режим, и на случай её отрицательного результата процедуры не предусмотрено вовсе.

[факт] Почему это стоило так дорого. Зависимость эффективности аварийной защиты от ОЗР (INSAG-7, Annex I, по послеаварийным исследованиям): при ОЗР ≈30 стержней вводится сильная отрицательная реактивность; при ОЗР ≈15 — за первые 6 с после АЗ-5 вводится менее β; при ОЗР ≈7 (нерегламентный) — за первые 8 с введённая реактивность положительна, то есть цепная реакция ускоряется, а не гасится. Защита при определённом состоянии объекта работала в обратную сторону, и состояние это определялось величиной, которую защита не измеряла.

Какие управленческие решения принимались по модели (обязательное поле КС)

До 1986: решения о поддержании стационарного распределения энерговыделения — по рекомендации ПРИЗМА, класс «модель как аргумент». Решение о продолжении/прекращении эксперимента по ОЗР не принималось по модели вовсе, потому что число не доходило. После 1986 петля замкнута: INSAG-7 §6 — «Introducing new computational codes for the ORM, with numeric indication of the ORM in the control room»; Annex I — упоминание о разработке «ORM recorder with a display on the control board, and an instrument to produce an emergency signal to shut down the reactor if the ORM reached the emergency trip point»; пересчёт ОЗР — каждые 5 мин вместо 15; время полного ввода стержней сокращено с 18 с до 12 с; установлена БАЗ (24 доп. стержня, >2β менее чем за 2,5 с).

[факт] Замыкание петли «модель → индикация → защита» произошло только ПОСЛЕ аварии.

Второй урок: плохо определённая величина [факт/спорно]

INSAG-7 §4.2: «The definition is not precise, and the importance of the quantity for the safety of the plant seems to have been poorly understood by the operators». §5: «INSAG has in fact questioned the ORM concept». Персонал 4-го блока «apparently believed that as long as the lower limit on ORM (15 equivalent rods) was satisfied … the demands of safety were met. This is far from true».

[гипотеза] Показатель модели, которому доверяют больше, чем он заслуживает, — активный источник риска, а не нейтральный прибор. Прямой мост к РИ-07 Ложная уверенность в модели.

[спорно] accidont.ru утверждает, что границы ОЗР подбирались «not at all by reasons of nuclear safety, but by reasons of efficiency» (компромисс выгорание/манёвренность). Это согласуется с INSAG-7 в части отсутствия ОЗР среди параметров защиты, но как утверждение о мотиве проектировщиков остаётся [экспертное мнение], авторство страницы не установлено.

Что кейс даёт дисциплине DT management [гипотеза]

1. Наличие модели не создаёт управления по модели. Управление по модели возникает только при одновременном выполнении трёх условий: модель считает нужную величину; считает её быстрее характерного времени процесса; результат физически доходит до места принятия решения (или до автоматики) без ручного переноса. На РБМК-1000 выполнялось только первое.
2. Латентность модели измеряется в единицах характерного времени объекта, не в секундах. 15 минут для стационарного контроля энерговыделения приемлемы; 15 минут для ксенонового переходного процесса при малой мощности фатальны. Отсюда: паспорт двойника обязан фиксировать режимы, в которых он валиден, а не только точность.
3. Готовый вопрос-детектор к любому «цифровому двойнику»: за какое время результат модели попадает в место принятия решения — и что происходит, если решение принимается быстрее?

Данные

Эффект и класс доказательности: управленческого эффекта модели нет и не могло быть измерено — контур решения не был замкнут. Единственный измеримый исход — отрицательный, класс «разбор катастрофы независимой международной комиссией» (INSAG-7, 1992). Это не до-после и не эксперимент; это самый сильный доступный класс для ретроспективного разбора единичного события.

Не найдено в сырье: - однозначная расшифровка аббревиатуры «СКАЛА» (два конкурирующих разворота, первичного подтверждения ни одному нет); - год первого внедрения (1973 vs 1976 — расхождение не разрешено); - точное число датчиков/каналов (у INSAG-7 только «точки ввода», это не то же самое); - характеристики В-3М кроме быстродействия (память, разрядность, число каналов УСО); - версии программы («ПРИЗМА-2» и иные — ни один источник не называет); - заявленное улучшение периодичности в «СКАЛА-микро» (с 10 до 2 с и с 60 до 5 с) — числа получены только из аннотации поисковой выдачи vniiem.ru, страница не открылась, статья Десятникова их не содержит; использовать нельзя; - первичные материалы Игналинской АЭС 1983 г. об обнаружении концевого эффекта.

Область поиска (Д-2): русский (СКАЛА, ОЗР, ПРИЗМА, СУЗ, БЩУ, ВНИИАЭС) и английский (INSAG-7, ORM/PRIZMA/SKALA, positive scram). Украинские и литовские источники не привлекались. Ряд российских хостов недоступен из среды захода (vniiem.ru, accidont.ru, vniiaes.ru — curl HTTP 000 / TLS), часть добрана через рендер r.jina.ai.

Судьба проекта

Модель жива, петля замкнута — после катастрофы. СЦК «Скала» продолжала эксплуатироваться на блоках РБМК; линия развития — «СКАЛА-микро» (ВНИИЭМ). Индикация ОЗР на щите и аварийный сигнал по ОЗР введены послеаварийными мерами. Прямой преемник управленческой роли в современной российской практике — модели-советчики уровня СИПО (прогноз ~30 мин, без исполнительных полномочий), см. ДО-04 Энергетика и АЭС.

Связан с

• РИ-04 «Авария модели» (класс TMI / ЧАЭС) — кейс, закрывающий пустое ребро РИ-04 → КС по чернобыльской стороне: риск «управление по рассинхронённой/недоставленной модели» реализовался здесь.
• ПН-04 Ненаблюдаемые переменные: зачем модель нужна в контуре — ОЗР как эталон ненаблюдаемой величины, ради которой модель ставят в контур.
• ПН-01 Двойник, тень, модель (различение Kritzinger) — квалификация: тень, не двойник, причём тень с непригодной латентностью.
• ПН-02 Синхронизация как критерий двойника — кейс показывает, что синхронизация измеряется не фактом потока, а его темпом относительно объекта.
• СТ-06 НП-003-97 — метрология двойника за 20 лет до термина — регуляторный ответ той же отрасли: допуски модели нормированы (±1/±2/±10 %), реальное время — в дословной формулировке.
• ИС-03 INSAG-7 — доклад МАГАТЭ по Чернобылю (1992) — несущий первоисточник узла.
• МФ-08 «Операторы ЧАЭС видели падающий ОЗР и проигнорировали» — миф разбирается ровно фактом из этого узла: индикации ОЗР на щите не существовало до послеаварийных модернизаций.
• РИ-07 Ложная уверенность в модели — «≥15 стержней = безопасно» как ложная вера в плохо определённый показатель.
• ТЕ-06 Bainbridge: «Ironies of Automation» (1983) — модель добавляла оператору ручной ритуал вместо снятия нагрузки.
• ДО-04 Энергетика и АЭС — домен кейса.
• ПР-01 Мониторинг реального времени (ступень 1) — ступень, на которой кейс фактически стоял (советчик), при формальных признаках более высокой.
• ОВ-09 Ответственность за решение по модели — кейс показывает предельную форму вопроса: за решение по величине, которой никто не видел, не отвечал никто.

Источники

• https://www-pub.iaea.org/MTCD/publications/PDF/Pub913e_web.pdf — INSAG-7. The Chernobyl Accident: Updating of INSAG-1. Safety Series No. 75-INSAG-7, IAEA, Vienna, 1992, 148 с. §2.3, §2.4, §2.5, §3, §4.2, §5, §6, Annex I — 4000 точек ввода, 10–15 мин, 50 м, ОЗР не в системе защиты, хронология, послеаварийные меры · [независимый отчёт] · обращение 2026-08-23 (полный текст скачан и разобран локально).
• https://jurnal.vniiem.ru/text/124/45.pdf — Десятников И. И. «Система "СКАЛА-микро". История проекта» // Вопросы электромеханики, т. 124 (2011) — цикл 1–2 мин, В-3М 35 тыс. оп./с, внедрение 1976 · [рецензируемое] · обращение 2026-08-23.
• https://www.vniiem.ru/informatsionno-izmeritelnie-sistemy-rbmk-1000 — ВНИИЭМ, ИИС для АЭС с РБМК-1000 (страница не открылась; числа из аннотации выдачи как факты не используются) · [вендор/корпоративный] · обращение 2026-08-23.
• http://accidont.ru/ENG/regul1.html — «Regulations and ORM in Chernobyl' disaster»: ОЗР «is not measured by directly any sensors», расчёт по ПРИЗМА на ЭВМ СЦК «Скала», листинг приносит инженер смены · [экспертное мнение] (авторство не установлено; по существу совпадает с INSAG-7) · обращение 2026-08-23.
• http://n-t.ru/tp/ie/ck.htm — Дмитриев В., 28.05.2010, «Чернобыльская катастрофа» — 5–10 мин у физика-расчётчика, лента самописцев 60 мм/час · [экспертное мнение] · обращение 2026-08-23.
• https://habr.com/ru/articles/220941/ — «СКАЛА — ЭВМ ЧАЭС, история создания» (один из двух разворотов аббревиатуры; технических деталей почти не содержит) · [СМИ] · обращение 2026-08-23.
• Сырьё: Исследование/Д-2_АСУТП_советских_АЭС.md RQ1 §1.1–1.4, RQ2 §2.1–2.5, RQ5 У-1/У-2/У-3, «Не подтвердилось» п. 1–6, реестр S1/S5/S8/S16/S17/S19.

Открытые хвосты

1. Заведён добор-нарядом 2026-08-25 по запросу трёх узловиков волны 1 (ИС-03, ПН-04, СТ-06 несли ссылку «КС ПРИЗМА / СЦК „Скала“ ⚠ узел не заведён (кандидат)»). Закрывает ребро РИ-04 «Авария модели» (класс TMI / ЧАЭС) → КС по чернобыльской стороне; сторона TMI остаётся без КС-узла — заявка следующему добору.
2. Расшифровка «СКАЛА» и год внедрения (1973 vs 1976) — не разрешены; требуют архивного или ведомственного первоисточника ВНИИЭМ.
3. Числа «СКАЛА-микро» использовать нельзя до открытия vniiem.ru или бумажного первоисточника — зафиксировано как грабля захода Д-2 (страница не отдаётся ни WebFetch, ни curl, ни через r.jina.ai — HTTP 422).
4. Игналинская АЭС 1983 (обнаружение концевого эффекта) — первичных материалов нет; это отдельный сюжет «сигнал был, адресата с полномочиями не было».
5. Коды реконструкции аварии (STEFAN и др., INSAG-7 Annex II) — ранний пример «двойника для расследования», отдельный класс применения, в базе не представлен.
6. Расхождение Прил. I и Прил. II по величине ОЗР (8 / 6–8 / 1,9) сам доклад не объясняет и не разрешает; какая реконструкция считается канонической, из текста не следует.
7. Версии программы ПРИЗМА по-прежнему ни одним источником не названы — при том что теперь известен конкретный дефект расчётной схемы (12 стержней АР № 1–3), что делает вопрос о версиях содержательным, а не библиографическим.

Правка по верификации первоисточников 2026-08-26 (В-1). (1) К величине ОЗР добавлена вилка Приложения II (6–8 по реальным данным / 1,9 по стандартной кривой): та же программа даёт разброс вчетверо — усиление тезиса узла, поскольку показывает, что у модели ненаблюдаемой величины нет однозначного ответа даже задним числом. (2) Внесена находка первоисточника, ставшая ядром узла: ненадёжность ПРИЗМЫ была известна, названа по причине (не учитывались 12 стержней АР № 1–3) и запротоколирована в оперативном журнале СИУР заранее, а регламент действий при отказе расчёта отсутствовал. (3) Уточнена ссылка §3 → §5.1(5), добавлено независимое подтверждение из Прил. I. Все прочие числа узла (≈4000 точек, 10–15 мин, ≈50 м, 15/5 мин, 26–30 и 15 стержней, 1000 манипуляций/час, 18 с) верификатором подтверждены дословно.

Проверен на дату: 2026-08-26