energocon.com
То, что стоит делать, стоит делать хорошо
Требует обязательного ознакомления
Весьма важно
Решение проблем

 

Анализ последних секунд

Акт технического расследования причин аварии СШ ГЭС

Анализ Акта расследования

Открытое письмо Президенту, Председателю Правительства, Министру по чрезвычайным ситуациям, Генпрокурору

 


 
ОБ ОРГАНИЗАЦИИ КОНТАКТЫ            


Комиссия по расследованию причин аварии на Саяно-Шушенской ГЭС (СШ ГЭС) закончила свою работу. Пока нет возможности ознакомиться с отчётом, хотя это и было обещано, причем в более короткие сроки.

Официальная версия (на 29 сентября 2009 г.).
«Нарушения в эксплуатации 2-го агрегата и отказ системы защиты, которые стали причиной его выхода на запредельные режимы работы».
Добавим цитату:
«Вряд ли сейчас кто-то осмелится сказать законченную версию, потому что, к сожалению, простых решений не получилось... Все эксперты сидят задумчиво, загадочно смотря друг на друга. Мы ничего не скрываем, но пока нет решения», – сказал руководитель Ростехнадзора.
Мы приняли решение высказать свою точку зрения. И это будет весьма и весьма законченная версия. Мы не будем «задумчиво сидеть» и «загадочно смотреть».
Давайте разберемся, как всё было на самом деле.
Мы специально не будем усложнять анализируемую картину, постараемся изложить ситуацию понятным языком. Для этого вначале рассмотрим все прочие известные версии, а также приведем небольшую техническую справку.

Версия 1. Гидравлический удар.
Сторонники этой версии смогут получить некоторое моральное удовлетворение, прочитав наш анализ, однако в чистом виде эта теория неприемлема. Помимо, собственно, плотины и машзала с гидрогенераторами, основным элементом любой ГЭС является … козловой кран. Именно с его помощью производится постепенное открытие/закрытие затворов, перекрывающих каналы водоводов ГЭС. А для плавного запуска/останова агрегатов и регулирования нагрузки используются так называемые направляющие аппараты, изменяющие угол падения воды на лопатки турбины. Особо отметим, что и козловой кран, и направляющие аппараты имеют заложенные в свою конструкцию алгоритмы плавного изменения пропуска воды. Возникновение гидроудара было бы возможно от внешнего воздействия типа террористического акта, с физическим разрушением указанных технических устройств.
Версия 2. Теракт.
Для кого-то была бы очень удобной «политическая» версия, но характер разрушений не тот, а результаты аварии не соответствуют масштабу, который можно было бы получить более лёгкими путями, если задаться целью планирования подобной акции на ГЭС. По нашему мнению, прорыв плотины СШ ГЭС страшнее Чернобыльской катастрофы. Это библейский потоп-цунами наяву. СШ ГЭС - стратегический объект в полном смысле этого слова.
Версия 3. Локальное землетрясение.
Не стоит даже серьезного рассмотрения, хотя в прессе и звучали заявления о регистрации колебаний, и вполне солидные господа заявляли, что именно эти толчки являются причиной катастрофы. Нереализуемо по конструктивным особенностям ГЭС. Даже произошедшие точно под вторым агрегатом толчки спровоцировали бы разлом половины машзала, а не локальный «провал» гидроагрегата. Посмотрите внимательно снимки. Не тот характер разрушений.
Версия 4. Разрушение лопастей турбины.
Не подтверждается результатами осмотра аварийного агрегата. Лопасти на месте.

На самом деле всё энергетическое сообщество, особенно профильных специалистов, должны интересовать вопросы, на которые комиссии стоило получить ответ в ходе работы:
1) Что показал анализ механических повреждений следующих элементов конструкции гидрогенератора №2:
А) Элементов крепления крышки?
Б) Подпятника и направляющего подшипника?
В) Втулки крепления ротора, а также его обмотки?
2) Что показал анализ записей режимных параметров гидрогенератора №2:
А) Динамики скорости вращения?
Б) Значений мгновенных электрических мощностей?
В) Сигналов срабатывания защит?

Расскажем саму историю с попутными техническими справками.

Ремонт второго гидроагрегата СШ ГЭС проводился в I квартале 2009 года. Перечень работ был достаточно большим и насущно назревшим, можно сказать - необходимым. Кроме того, проводилась модернизация АСУТП агрегата (автоматизированной системы управления технологическим процессом).
Несмотря на заявление вице-премьера Сечина о том, что в составе учредителей ЗАО «Гидроэнергоремонт», проводившей работы, были главный инженер и главный бухгалтер самой СШ ГЭС, которые сами у себя приняли работы и сами себе перечислили деньги за них, мы не будем обращать внимание на этот сам по себе любопытный факт. В данной ситуации нас волнуют только те шаги ремонтников, которые стали предпосылками аварии.

В процессе многолетней эксплуатации, связанной с циклическим вращением больших масс гидроагрегата, нагрузочными (крутильными) колебаниями на валу, механической вибрацией, приводящей к накоплению усталостных напряжений и износу металла, происходит постепенное ослабление жесткости крепления элементов конструкции гидроагрегата к своему ложементу. Зачем нужна жесткость фиксации агрегата в своем ложе, легко показать на примере высотного жилого дома. Если стены дома не будут составлять единого целого с фундаментом, то рано или поздно, под действием переменной ветровой нагрузки, дом разломится у своего основания. Если дать ему качаться, то получим излом. В той же мере это относится и к рассматриваемым гидроагрегатам. Жесткое крепление к ложементу позволяет передавать статическую нагрузку и возникающие динамические усилия на железобетонные конструкции здания самой ГЭС. Отметим, что эти усилия весьма значительны. Проектная высота водяного столба для нормальной работы агрегата составляет 194 м, его мощность составляет 640 МВт, что эквивалентно, к примеру, единовременному потреблению 300 электропоездов.

Первый непосредственный шаг к аварии – ремонтная организация допустила наличие паразитной подвижности в элементах крепления гидроагрегата к своему ложементу (не устранила или, наоборот, привнесла сама). Выявление и устранение недостаточной жесткости конструкции не относятся к самым сложным работам, но, тем не менее, трудозатраты (и, соответственно, стоимость) на ее выполнение весьма значительны. А вот результат – глазу не заметен: речь идет о десятых долях миллиметров. И, в данном случае, ремонтная организация позволила себе проигнорировать эту необходимую работу. Ведь, хотя она и относится к обязательным, но её невыполнение: а) легко скрыть; б) никогда не приводит к немедленному созданию аварийной ситуации; в) при случае позволяет получить дополнительный доход за срочный ремонт.

Второй непосредственный шаг к аварии был сделан той же ремонтной организацией. Проблема была в следующем. В результате, как мы полагаем, износа деталей, составляющих технологическую конструкцию гидрогенератора, в нем стала возникать нестабильная или, как её еще называют, «блуждающая» неисправность. «Блуждающая» - не потому, что она возникает то здесь, то там, а потому, что штатные методы диагностики не позволяют со всей определенностью выявить её природу, указать место возникновения и способ устранения. Кроме того, неисправность может быть одна, а её проявления – различны.
Неисправность характеризовалась тем, что после ремонта самого агрегата и внедрения новой АСУТП, на его пробных пусках (вероятно, при достижении определенной частоты вращения при пуске или же при наборе определенной электрической нагрузки на номинальных частотах вращения) периодически стало происходить срабатывание одной из защит, отключающих генератор от электрической сети, со сбросом всей несомой им нагрузки и дальнейшей работой всей технологической автоматики по выводу агрегата из работы в связи тем, что детерминирована его неисправность.
По нашему глубокому убеждению, эта неисправность могла представлять собой перемежающееся периодами электрической прочности короткое замыкание между обмотками статора и ротора в месте их недопустимо близкого контакта, приводящего, например, к истиранию витковой изоляции катушечных групп и электрическому пробою. Сначала редко, потом все чаще и чаще… По причине того, что электродинамические силы в генераторе стремятся отогнуть лобовые части обмоток статора к большему диаметру, ближе к торцевой поверхности сердечника, а, также, действуют между катушечными группами разных фаз и отдельных катушек, искать повреждения следует в названных местах. На самом деле точное выявление этой неисправности в настоящий момент является абсолютно не важным. Важным было то, что она периодически, достаточно часто, но не всегда, заставляла срабатывать технологическую защиту гидроагрегата, а после остановов и во время осмотров – никак себя не проявляла, что затрудняло ее диагностирование и устранение.
С одной стороны, подобная неисправность вызывала раздражение и срывала сроки сдачи - актирования ремонтных работ, с другой стороны, вызывала подозрения в ложности срабатывания защит и/или в неправильной настройке их алгоритмов по причине внедрения на агрегате новой АСУТП. Как без серьезных исследований и, в случае ошибки, без серьезных последствий отстроиться от ложных срабатываний защит, так называемого «дребезга»? Конечно, что-то переделывать непосредственно в текстах множества отлаженных программных модулей АСУТП по скороспелым предложениям всех заинтересованных лиц программисты отказались. Но множеством процессов в Unix-подобной системе АСУТП управляет главная программа, которую для простоты восприятия назовем диспетчером задач. Эта программа, в частности, управляет расписанием и алгоритмами запуска отдельных процессов по своему внутреннему распорядку, по заданиям оперативного персонала и по управляющим сигналам из других взаимосвязанных процессов (программ). Чтобы отстроиться от «дребезга» защиты, было решено на базе диспетчера задач АСУТП реализовать следующий алгоритм: Получив первую команду на срабатывание защиты, диспетчер задач не разрешает данному конкретному процессу (программе) выполнять положенные в данной ситуации действия, а сбрасывает его в исходное состояние (принудительно перезапускает). При этом диспетчер применяет специально введенную для решения этой задачи программную переменную - счетчик числа срабатываний защиты. К предыдущему значению счетчика добавляется единица, процесс перезапускается. При повторном срабатывании защиты снова к счетчику добавляется единица, защита перезапускается. Задумано так, что счетчику разрешено было вырасти до значения 5. Если реального срабатывания защиты не было, а был «дребезг» - то значение счетчика не должно превысить 5, а если неисправность все-таки существует, то после пятого срабатывания диспетчер задач должен не сбрасывать защиту в исходное состояние, а разрешить процессу-программе продолжить свое выполнение по заложенному в нем сценарию. И агрегат защищен, и от «дребезга» отстроились.
Не самая плохая задумка, но самое плохое исполнение. Дело в том, что при перезапуске защиты все программные переменные, локально (временно) используемые в данном процессе-программе, сначала сбрасываются в ноль, а потом уже инициализируются по внутренним заданным алгоритмам со своими первичными, необходимыми для управления, значениями. Дополнительная переменная - счетчик числа срабатываний в данном программном процессе в штатном режиме не предусмотрен, поэтому у него нет встроенного алгоритма инициализации. Следовательно, при перезапуске процесса, он просто сбрасывается в ноль, обнуляется. При срабатывании защиты к нему честно прибавляется единица, но при перезапуске защиты - он обнуляется.
Модернизировав таким образом алгоритм защиты, ремонтная организация делает пробный пуск агрегата. О чудо! Агрегат нормально работает, защита его не вырубает. Проблема исчезла! Все пожимают друг другу руки – мы избавились от «дребезга». А на самом деле просто отключили защиту. Она срабатывает и перезапускается, срабатывает и перезапускается. И даже в логи (журналы работы) её срабатывания не записываются, потому что по новому алгоритму работы программы перезапуск происходит раньше, чем в журнал делается запись о срабатывании.

Более чем вероятно, что модернизации «от дребезга» по схожему алгоритму подверглась не одна, а целый ряд связанных защит. Кроме того, по аналогичной схеме, для снижения числа ложных остановов агрегата (и повышения такой его отчетной эксплуатационной характеристики, как коэффициента готовности), на ряде защит был реализован алгоритм «повторного включения». То есть, если в результате срабатывания защиты происходит отключение генератора гидроагрегата от электрической сети, то прежде чем полностью останавливать агрегат, производится повторное включение генератора на нагрузку (проверка на истинное/ложное срабатывание защиты). Если включение неуспешное – надо глушить агрегат. В идеале. Если счетчик повторных включений не обнулен.

Третий, последний шаг к аварии был невольно сделан дежурной сменой оперативного персонала СШ ГЭС, которая должна была вручную немедленно вывести гидроагрегат №2 из работы, как только были обнаружены биения, несинхронные с основной рабочей частотой, а защита не сделала попыток отключить его автоматически (вернее, попытки то она как раз и делала). Эти биения были слишком мощные, чтобы их не заметить, и происходили достаточно продолжительное время, дав возможность удаленным сейсмографам зафиксировать колебания с частотой 14-18 раз в секунду, а по силе даже принять их за локальное землетрясение. Может быть, виной тому пересменок (8.15 утра); может быть, равнодушие, растерянность или нерасторопность оперативного персонала; может быть, людям просто не хватило времени и удачи… Мы не берёмся судить. Но аварию не предотвратили и дали ей полностью развиться.

Теперь о физике процесса:
Что такое, с физической точки зрения, короткое замыкание (КЗ) в генераторе? Самым тяжелым (мощным) из коротких замыканий для генератора следует признать трехфазное замыкание на его выводах. Когда замыкание происходит в электрических сетях, то электрическая удаленность самих источников выработки электроэнергии от места КЗ сравнительно большая – сети и трансформаторное оборудование имеют электрическое сопротивление, которое ограничивает протекающие при этом токи КЗ. На выводах генератора ток КЗ ограничен только его внутренним сопротивлением, поэтому величины аварийных токов в пике могут достигать очень больших значений. Применяется даже такой термин – ударный ток КЗ. В то же время отметим, что хотя режим КЗ на выводах генератора – очень тяжелый режим, а электродинамические силы внутри генератора при этом чрезвычайно велики, но этот режим не относится к МПА (максимальной проектной аварии) и не приводит к разрушению конструкции генератора и агрегата в целом.
В рассматриваемом случае ситуация была несколько иная. Замыкание внутри генератора, во-первых, менее мощное, потому что, чаще всего, из-за структуры намотки обмоток неполнофазное (о чем, кстати, свидетельствует частота зафиксированных сейсмографами биений, - треть от номинальной 50/3=16,66). Одна из причин возникновения зафиксированных биений в том, что при одно-двух-фазном КЗ соответственно искажается симметрия треугольника (звезды) напряжений и токов. При мощности 640 МВт это, уверяем вас, будет заметно. Во-вторых, напряжение, «приложенное» к месту КЗ будет не полным напряжением, вырабатываемым генератором, а, так сказать, межкатушечным или межвитковым, оно в разы меньше.
С физической точки зрения вода, вращающая лопасти гидрогенератора создает ускоряющий момент, а электрическая нагрузка, приложенная к выводам генератора, - тормозящий. Чем выше электрическая нагрузка и чем больший ток течет, тем сильнее тормозящий момент, тем сильнее должен быть направляемый на колесо агрегата поток воды, чтобы увеличением ускоряющего момента уравновесить увеличение нагрузки. Таким образом, агрегат всё время стремится достичь состояние равновесия – баланса между генерацией и потреблением, если агрегат участвует в регулировании (как на СШ ГЭС), и потребительская нагрузка все время меняется, то работа агрегата – постоянное движение от одной балансовой точки к другой.
Что происходит при коротком замыкании? КЗ – это резкое, ударное увеличение нагрузки. В начальный момент КЗ электрическая машина через взаимодействие движущихся магнитных потоков испытывает сильный удар, так как энергия магнитных полей в этот момент возрастает за счет кинетической энергии ротора. В результате тормозящий момент имеет характер кратковременного импульса. Электродинамические силы в этот момент приводят к некоторой деформации лобовых частей обмоток, особенно при выходе из пазов. Если деформации носят циклический характер, то это усугубляет ситуацию, приводя к нарушению изоляции и пробою. Таким образом, авария постепенно развивается, а защита, как нам известно, не работает. Само по себе такое развитие аварии привело бы только к полному выходу электрогенератора из строя, но никак не должно было сказаться на гидроагрегате, и уж точно не должно было привести к его разрушению.

Что же произошло?
Для облегчения понимания следует сказать несколько слов о гидравлическом воздействии.
Если не брать уже сделанные в самом начале по этому поводу пояснения, то версия о гидроударе возникла в первую очередь из-за того, что, в определенном смысле, в канале водоводов агрегатов ГЭС создаются идеальные предпосылки для негативного проявления гидроудара. Длинный канал (свыше 250 м на СШ ГЭС) с максимально жесткими стенками (чем более жесткие, тем сильнее проявление эффекта гидроудара), большая скорость потока и большой объем (расход) воды (чем больше кинетическая энергия потока, тем сильнее эффект) и т.д. Гидравлический удар в данном случае – это кратковременное локальное повышение давления внезапно остановленного потока. При этом большая часть кинетической энергии потока превращается в потенциальную энергию давления жидкости. Принципиальную роль играет «резкость» остановки потока.
В нашем случае, при работающем гидроагрегате ГЭС, гидроудар может возникать при резком, импульсном уменьшении расхода воды в водоводе через направляющий аппарат к колесу турбины. При этом гидроудар классифицируется и его параметры могут быть рассчитаны, как для «гидроудара с большой торцевой утечкой». В принципе, это не совсем удар и, конечно же, не МПА. По условиям работы гидравлической турбины в принципе возможен случай, когда при отключении генератора от сети (пропадании основного тормозного момента) происходит увеличение скорости агрегата в 1,7-2,5 раза по сравнению с номинальной. Это так называемая угонная скорость, определяющая максимальные механические усилия, действующие на элементы ротора. Особенно критично для гидрогенераторов большой мощности, т.е. для нашего случая.

Технических справок достаточно. Теперь можно описать всю картину аварии.

Она развивалась на фоне ослабления жёсткости крепления и допущенной паразитной подвижности элементов конструкции гидроагрегата в своем ложементе, от накопления усталостных напряжений в железобетоне пограничной с ложементом части путем длительных механических воздействий периодического (циклического) характера. Все это происходило, как уже говорилось, при деградировавших защитных алгоритмах АСУТП.

Вот как приблизительно выглядел цикл аварийных воздействий в темпе процесса:
1) При вращении ротора генератора в определенном положении происходит межкатушечное короткое замыкание, вызывающее ударный импульс торможения. На зону крепления ложемента действует вырывное усилие со знаком «+». Из-за наличия паразитной подвижности крепления, это не просто усилие, а микроудар механической массы.
Далее варианты:
А) Защита № 1 чувствует КЗ, но не срабатывает и сбрасывается в исходное состояние;
Б) Защита №2 чувствует КЗ и отключает генератор от сети.
2) Обладая большой кинетической энергией, ротор генератора продолжает вращение, преодолевая зону КЗ, которое пропадает. Некоторое притормаживание ротора генератора вызывает повышение давления воды на лопасти турбины (это не гидроудар), она ускоряется. На зону крепления ложемента действует вырывное усилие со знаком «-». Из-за наличия паразитной подвижности крепления, это микроудар механической массы в обратную сторону.
Далее варианты:
А) Турбина слабо ускоряется, так как нагрузка на генераторе сохранена;
Б) Турбина сильно ускоряется, так как нагрузка отключена и пропал тормозящий момент.
3) Регулятор турбины пытается скомпенсировать возникшие возмущения, но в темпе рассматриваемых воздействий турбина не успевает отработать их полностью, что наносит свой отпечаток на следующий цикл аварийных воздействий. Турбина восстанавливает скорость вращения, но может испытывать резонанс от предыдущего цикла и иные биения от нескомпенсированных моментов. Участие агрегата в регулировании усугубляет проблему. На зону крепления ложемента действует знакопеременное вырывное усилие. Постоянные микроудары.
Далее варианты:
А) Защита № 1, не отработав, сбрасывается в исходное состояние;
Б) Защита №2 подключает генератор к сети, что приводит к новым переходным процессам.
Потом цикл повторяется. Импульс торможения, микроудар. Разгонный импульс, микроудар. Действие регулятора или защит, микроудар. 1-2-3. И снова, и снова. Сотни тонн массы, с амплитудным воздействием на зону крепления ложемента, каждую секунду. Вызывает изумление, что аварию от «ремонта» отделяет такой большой промежуток времени. Удивительная выносливость конструкции. Видимо, в свое время строили на совесть.

Финальная стадия аварии. Гидроагрегат работает. Длительное время постоянно на его ложемент действуют расшатывающие микроудары. В одну сторону, в другую сторону, в одну сторону, в другую… Два раза в секунду. Пока амплитуда микроударов составляла десятые доли миллиметров, удельный импульс воздействий находился в пределах, который выдерживал железобетон машзала в месте крепления ложемента гидроагрегата №2. Но расшатывание продолжалось, амплитуда ударов медленно, но неуклонно росла. Здесь важна не только энергия, но и импульс. В последнюю минуту аварии амплитуда стала такой, что импульс ударов сравнялся с прочностными характеристиками железобетонного здания машзала. Началось крошение бетона и загибание металлических прутков арматуры пола. В последние секунды перед катастрофой размах биений гидроагрегата в ложементе стал нарастать лавинообразно. Гидроагрегат стал буквально "выпрыгивать" из своего посадочного места. Визуально это должно было выглядеть так, как будто ему там тесно, и он рвется наружу. Дальше, вывернув свое "тело" из ложемента и повернувшись на бок, гидроагрегат открыл доступ воды в машинный зал. Вода поступала внутрь зала под давлением 200 метрового перепада. Вспомните, что вода – жидкость почти несжимаемая. Под таким давлением она бьёт как стальной таран.

Возвращаясь к вопросу, что увидела комиссия, анализируя механические повреждения элементов конструкции гидрогенератора №2:
А) На совещании в Хакасии прозвучали слова, что непосредственной причиной аварии стали плохие крепления крышки гидроагрегата. Мы считаем: это не так. Шпильки крепления хорошие. Но вот места их посадки разрушили не предусмотренные регламентом эксплуатации усталостные эффекты от циклических воздействий.
Возникают вопросы:
Б) А каково состояние упорного подшипника (подпятника), который является крайне ответственным узлом гидрогенератора и воспринимает вес вращающейся части агрегата и давление воды на рабочее колесо? А направляющего подшипника, воспринимающего радиальные усилия? Каков характер их износа? Указанная эксплуатация должна была привести к характерным повреждениям этих узлов.
В) Что показало изучение обмоток ротора и статора в плане их электрической целостности? А втулки крепления ротора? Несмотря на свою массивность, она могла получить характерную развальцовку.
Г) Что показал анализ записей режимных параметров гидрогенератора: динамики скорости вращения, значений мгновенных электрических мощностей и напряжения, сигналов срабатывания защит? Там содержатся ответы на большинство вопросов, по которым члены комиссии в настоящее время предпочитают «задумчиво сидеть» и «загадочно смотреть».

Говорилось о предоставлении комиссии архива записей. Он, что, фрагментарен? Фальсифицирован? Частично утрачен? Не дает нужную дискретность по сравнению с регистратором, фиксирующим значения параметров непосредственно на агрегате? Откуда загадочная задумчивость?

Сегодня: