[факт] Механизм отказа — расхождение ментальной модели оператора с состоянием установки: - полагая, что предохранительный клапан закрыт, и видя рост уровня в компенсаторе давления при впрыске воды САОЗ, операторы испугались переполнения компенсатора; - обучение говорило им, что уровень в компенсаторе — единственный надёжный индикатор количества охлаждающей воды в системе; раз уровень растёт — воды слишком много; - действуя согласно этому пониманию, они отключили один насос САОЗ и придушили второй.
[факт] Комиссия Кемени (отчёт октябрь 1979) назвала одним из трёх главных факторов, приведших к расплавлению, не конструктивный дефект реактора, а дефект операторской консоли: система не давала ясных предупреждений о происходящем и не объясняла, что она делает в ответ.
[гипотеза, сильная] Приборы не лгали; лгало отображение приборов на модель системы в голове оператора. Индикатор был исправен и релевантен — но не для того состояния, в котором находилась установка.
[факт] На РБМК с 1970-х штатно работала программная модель, считавшая физически не измеряемую величину — оперативный запас реактивности (ОЗР): программа ПРИЗМА в составе СЦК «Скала» (INSAG-7, Annex I: «PRIZMA program for calculation of reactor parameters which are not measured directly»). Это буквальный предшественник цифрового двойника: модель есть, контур есть — но петля разомкнута по латентности и по интерфейсу.
[факт] Чем именно разомкнута: - латентность: полный цикл опроса и расчёта ОЗР — 10–15 мин (INSAG-7 §2.5), регламентный пересчёт — раз в 15 мин; характерные времена ксеноновых и мощностных переходов короче — модель отставала от объекта; - интерфейс: ЭВМ в ~50 м от пульта, результат приносили распечаткой; - отсутствие связи с защитой: INSAG-7 §4.2 — «the magnitude of the ORM was not conveniently available to the operator, nor was it incorporated into the reactor's protection system»; проектная документация «made no provisions for the ORM to be treated as a parameter which would trigger the alarm system or the EPS»; - нагрузка оператора: до 1000 манипуляций в час (INSAG-7 §2.4) — модель не снимала нагрузку, а добавляла ещё один ручной ритуал.
[факт] Величина, которую модель считала, определяла работоспособность защиты: при ОЗР ≈ 30 стержней АЗ вводит сильную отрицательную реактивность; при ОЗР ≈ 7 стержней (нерегламентный режим) за первые 8 с после АЗ-5 введённая реактивность положительна — цепная реакция ускоряется, а не гасится. Защита при определённом состоянии объекта работала в обратную сторону, и состояние это определялось величиной, которую защита не измеряла.
[факт] Фактическое значение ОЗР за 70 секунд до нажатия АЗ-5 (01:22:30 26.04.1986) — ~8 стержней — было получено расчётом по программе ПРИЗМА на другой станции (Смоленской АЭС) уже после аварии; в момент события «No operating calculations were performed by the PRIZMA program» (Прил. I).
⚠ Вилка внутри самого доклада (внесено 2026-08-26, В-1 §2в). Приложение II INSAG-7 даёт для того же момента другую пару значений, дословно: «after the accident, the ORM was calculated using the standard axial power distribution curve in the PRIZMA program, which yielded a value of 1.9 manual control rods; the calculations using real data on the axial power distribution yielded an ORM value of 6-8 manual control rods». Корректная запись — «~8 (Прил. I); Прил. II: 6–8 по реальным данным и 1,9 по стандартной кривой», а не голое «8». Для тезиса узла это усиление: величина не только не была видна оператору — её послеаварийные реконструкции по одной и той же программе расходятся между собой в четыре раза в зависимости от подставленных данных. То есть «авария модели» здесь двойная: модель не дошла до оператора и сама по себе не даёт однозначного ответа задним числом.
[факт, находка первоисточника 2026-08-26 — прямо в предмет узла] Ненадёжность ПРИЗМЫ была известна и запротоколирована заранее, Прил. I дословно: «The PRIZMA calculation code was found to be unreliable at this time, because it did not take into account the position of the rods of automatic regulators Nos 1, 2 and 3 (a total of 12 rods). There is a note to this effect in the senior reactor control engineer's operating log. The Operating Procedures and other operating documentation did not prescribe the actions to be taken by personnel under such circumstances (in the event of unreliable calculation)…»
→ Отказ модели был зафиксирован в оперативном журнале — и не имел процедурного последствия. Это готовый кирпич класса «авария модели»: регламент не описывал, что делать, когда модель отказала. Прямая перекличка с РИ-05 Дыра ответственности и с ОВ-02 Непрерывная VVUQ (верификация как акт, а не режим).
[легенда] «Операторы видели падающий ОЗР на щите и сознательно его проигнорировали.» Опровергается: индикации ОЗР на щите не существовало до послеаварийных модернизаций (INSAG-7 §6, Annex I). INSAG-7 §5.1(5) (⚠ ссылка уточнена 2026-08-26): «it is likely that the operator did not know the value of the ORM during the critical part of the test». Легенда — производная от INSAG-1 (1986), возлагавшего основную вину на персонал; INSAG-7 (1992) перенёс главную причину на конструкцию реактора. ⚠ Оговорка провенанса (В-1 §2г, 2026-08-26): формула «признал большинство ранних обвинений персонала ошибочными» ходит по базе из Википедии, а не из доклада (accusations — 0 вхождений на 148 стр.); сам INSAG-7 формулирует осторожнее, §5.1(7): «INSAG, with the present report, does not retract INSAG-1, nor does it alter the conclusions of that report except as clearly indicated here». Корректная формулировка: не «операторы виноваты» и не «операторы невиновны», а «операторам был выдан объект, чьё опасное состояние их приборы не показывали». Разбор клише — МФ-08 Операторы ЧАЭС видели ОЗР.
[факт] Замыкание петли «модель → индикация → защита» произошло только после аварии: введены новые расчётные коды ОЗР с числовой индикацией в БЩУ, пересчёт раз в 5 мин вместо 15, проработка регистратора ОЗР с выводом на щит и прибора аварийного сигнала.
[гипотеза, важная] Второй урок: плохо определённая величина в модели опаснее отсутствующей. INSAG-7 §4.2: «The definition is not precise, and the importance of the quantity for the safety of the plant seems to have been poorly understood by the operators»; §5 — INSAG «questioned the ORM concept». Персонал верил, что «≥15 стержней = безопасно», и эта вера была ложной.
[гипотеза, сильная] 1. DTO воспроизводит конфигурацию TMI с усилением. Двойник — это как раз единственный надёжный индикатор состояния, к которому приучают управленца. Когда организация попадает в режим, для которого двойник не строился, управленец будет действовать по двойнику тем увереннее, чем лучше двойник работал до сих пор. 2. Дефект консоли важнее дефекта установки. Требование к DTO: интерфейс обязан показывать не только состояние, но и собственные действия и собственные границы применимости. 3. Критерий отбора применений по Перроу. Если DTO повышает жёсткую связанность и повышает интерактивную сложность, он двигает организацию к нормальным авариям. Двойник как средство разрыва связанности (буферы, задержки, человек в контуре) — совсем другой проект, чем двойник как средство её усиления; различить эти два проекта — задача дисциплины.
Статус утверждения: оба прототипа — [факт] класса A (расследования комиссии Кемени и МАГАТЭ, первоисточники читаны в заходах Р-4 и Д-2). Класс «авария модели» как обобщение и его перенос на DT-управление — [гипотеза]. Мифологема про ОЗР — [легенда].
| Метрика | Значение | Год | Организация | Источник (обращение) | Класс |
|---|---|---|---|---|---|
| Латентность полного цикла расчёта ОЗР до аварии | 10–15 мин | 1986 (доклад 1992) | МАГАТЭ, INSAG-7 §2.5 | https://www-pub.iaea.org/MTCD/publications/PDF/Pub913e_web.pdf · обращение по сырью Д-2 (заход 2026-08-23, системная дата прогона 2026-08-25) | [независимый отчёт] |
| Регламентный пересчёт ОЗР: до / после аварии | 15 мин → 5 мин | 1986/после | МАГАТЭ, INSAG-7, Annex I | там же | [независимый отчёт] |
| Расстояние ЭВМ от пульта; форма выдачи результата модели | ~50 м, распечатка | 1986 | сырьё Д-2 по INSAG-7 / accidont.ru | там же | [независимый отчёт] + [экспертное мнение] |
| Оперативный цикл контроля СЦК «Скала» | 1–2 мин | 2011 (о системе 1970-х) | Десятников И. И., Вопросы электромеханики, т. 124 | https://jurnal.vniiem.ru/text/124/45.pdf · обращение по сырью Д-2 | [рецензируемое] |
| Темп манипуляций, требуемый от оператора | до 1000 в час | 1986 | МАГАТЭ, INSAG-7 §2.4 | https://www-pub.iaea.org/MTCD/publications/PDF/Pub913e_web.pdf | [независимый отчёт] |
| Реактивность, вводимая АЗ-5 при ОЗР ≈ 7 стержней | положительна за первые 8 с | 1986 (расчёты после аварии) | МАГАТЭ, INSAG-7, Annex I | там же | [независимый отчёт] |
| Фактический ОЗР за 70 с до АЗ-5 | ~8 стержней (Прил. I; рассчитан по ПРИЗМА на Смоленской АЭС уже после аварии). ⚠ Прил. II для того же момента: 6–8 по реальным данным о поле энерговыделения и 1,9 по стандартной аксиальной кривой | 1986 | МАГАТЭ, INSAG-7, Прил. I (Table I-I) и Прил. II §II-2.3 | там же · сверено дословно В-1 2026-08-26 | [независимый отчёт] |
| Ненадёжность ПРИЗМЫ на момент испытания | запротоколирована заранее в оперативном журнале СИУР (не учитывались 12 стержней АР № 1–3); регламента действий при отказе расчёта не существовало | 1986 | МАГАТЭ, INSAG-7, Прил. I | там же · находка В-1 2026-08-26 | [независимый отчёт] |
| Регламентные величины ОЗР: до / после аварии | рабочий 26–30 → 43–48 стержней; минимально допустимый 15 → 30 | 1986/после | МАГАТЭ, INSAG-7, Annex I | там же | [независимый отчёт] |
| Время полного ввода стержней АЗ: до / после | 18 с → 12 с; введена БАЗ (>2β менее чем за 2,5 с) | 1986/после | МАГАТЭ, INSAG-7 §2.3, §6 | там же | [независимый отчёт] |
| Число главных факторов расплавления TMI, из которых один — дефект консоли | 3 (консоль — один из них) | 1979 | Комиссия Кемени (President's Commission on TMI), отчёт октябрь 1979 | https://www.osti.gov/servlets/purl/5082863 · https://tmi.dickinson.edu/wp-content/uploads/2017/09/195.pdf · обращение 2026-08-23 | [независимый отчёт] |
Дыра состава: в утверждённом на Гейте-2 составе узловой волны (§4 свода) нет узлов КС для TMI и ЧАЭС — они проходят по прото-истории (Р-2б, Д-2); сверка с фактическим содержимым Узлы/ на 2026-08-25 подтверждает: КС-01…КС-18 таких узлов не содержат. Формально ребро РИ-04 → КС ведёт в пустоту, хотя это единственные два задокументированных случая класса. Кандидаты: либо завести КС-узлы «TMI-1979» и «ЧАЭС-1986», либо явно объявить их прото-историческими и вести ребро на ДО-04 Энергетика и АЭС. Решение — за картографом/приёмкой, узловик РИ его не принимает.
Вне ядерной энергетики задокументированного случая класса в сырье не найдено (область поиска — Р-4 RQ5, Р-5 §7.3, Д-2). Р-5 фиксирует режим «расхождение как незамечаемое» как главный риск, но опоры по нему — сплошь [вендор] (JumpCloud, KBC, Oxmaint) ⚠; рецензируемые опоры описывают reality gap и распространение ошибок в модульных двойниках, а не управленческий отказ.
Узлы/ на 2026-08-25: узлов КС для TMI и ЧАЭС не предусмотрено. Возврат картографу/IAM.Правка по верификации первоисточников 2026-08-26 (В-1). (1) К величине ОЗР=8 добавлена вилка Приложения II (6–8 по реальным данным / 1,9 по стандартной аксиальной кривой) — для узла это усиление: послеаварийные реконструкции по одной и той же программе расходятся вчетверо. (2) Внесена находка первоисточника, прямо работающая на предмет узла: ненадёжность ПРИЗМЫ была запротоколирована в оперативном журнале СИУР заранее, а регламент действий при отказе расчёта отсутствовал — «авария модели» с зафиксированным отказом и без процедурного последствия. (3) Уточнена ссылка §3 → §5.1(5) и снята опора на википедийную формулу «признал большинство обвинений ошибочными»: в докладе её нет, сам INSAG-7 формулирует осторожнее (§5.1(7) «does not retract INSAG-1»). Все прочие числа узла (10–15 мин, 15→5 мин, 26–30/15 → 43–48/30, 18 с) верификатором подтверждены дословно.
Проверен на дату: 2026-08-26