Поскольку эту серию статей я планирую сделать большой, решил в самом начале текста вставлять некие ключевые фразы, чтобы в последствие было проще ориентироваться в контенте, когда цикл будет окончен.

Первая статья пускай, по классике, остается #вводной темой. Тема же сегодняшней статьи – #сложные системы.

Представьте, картинку – у Вас запланировано собеседование на должность андеррайтера в компании вашей мечты. Это крупный европейский перестраховщик и первое интервью будет проходить по скайпу. Вы все спланировали – сидеть дома напротив стены с цветочками Вы не хотите, это можно сделать в коворкинг пространстве. На дворе зима, Вам нужно успеть к определенному времени и, понимая, что будут пробки, Вы решаете выехать заранее. Вы выходите, заводите машину и обнаруживаете, что бак почти пуст. Но не беда, по дороге есть заправка. Приехав на заправку оказывается, что лючок бака открыть не получается, замок промерз и ключ не проворачивается.

Это нормально – на кассе заправки есть специальный флакончик с жидкостью для таких случаев. Вы покупаете и используете его, ждете, ждете чуть дольше, но так ничего и не происходит.

Стоп, Ваш друг с машиной живет неподалеку, можно бросить свою машину и попросить его подвезти. Но его машина не заводится в мороз.

Вы бежите к автобусной остановке только для того, чтобы убедиться – да, пробка есть и она страшная. Станции метро рядом нет. Вы вынуждены отменить собеседование.

К сожалению, иногда вещи складываются подобным образом. Странные последовательности событий побеждают предпринятые меры предосторожности – устройства безопасности, обходные пути, резервные копии.

В приведенном примере, заправка не стала резервной копией, поскольку не вышло открыть бак. Флакончик с жидкостью, как устройство безопасности, не сработал. Общественный транспорт и такси не стали обходным решением, потому что пробка парализовала движение всех и вся, демонстрируя функциональную зависимость в транспортной системе.

Ни одна из этих ошибок не стала бы критической проблемой сама по себе. Однако, когда они все неожиданно взаимодействуют друг с другом, они приводят к сбою всей системы – и в нашем примере срывают важное собеседование.

Системные сбои, в которых множественные отказы приводят к катастрофе, часто бывают настолько сложными, что заранее понять и предвидеть их человек бывает не в состоянии.

Системные сбои возникают из-за ряда дефектов и ошибок, которые допускаются: в проекте, в оборудовании, в процедуре, в действиях оператора, в расходных материалах и просто из-за непредсказуемости внешней среды.

Например, замерзание замка было дефектом оборудования, как и машина друга, которая не завелась. Невозможность добраться до собеседования используя автобус, такси или метро – это ошибка проекта (запланированного маршрута). Несработавшая жидкость – это дефект расходного материала. Выделение недостаточного количества времени на дорогу – это ошибка процедуры. Наличие существенной пробки – это влияние внешней среды. И, наконец, отсутствие топлива в баке собственной машины было ошибкой в действиях оператора.

Конечно же, системный сбой, в котором Вы пропускаете интервью – это обидно, но это и не конец света. А вот, что если такой сбой произойдет в работе атомной станции или химического завода?

Система может быть простой для понимания, но это не подразумевает ее надежность.

Почему некоторые сложные структуры или технологии достигают успеха, в то время как более простые полностью проваливаются при первых же неурядицах? Для ответа на этот вопрос нужно взглянуть на характеристики систем.

Системы можно классифицировать как по их сложности, так и по гибкости их процессов.

Сложные системы состоят из большого количества тесно взаимосвязанных компонентов, которые дают своим операторам (таким как пилоты или техники на электростанциях) только косвенную или неопределенную информацию. Предсказать взаимозависимость всех этих компонентов бывает очень сложно или даже невозможно.

Линейные взаимодействия, с другой стороны, предсказать легко. В них невозможна смена в последовательности или задержка. Они контрастируют со слабосвязанными системами, где процессы являются гибкими и задержки допустимы.

Специфическая комбинация структурной сложности и тесноты связей внутри системы напрямую влияют на ее функциональность.

Например, университеты – это сложные системы. Это огромные организации с множеством взаимодействующих компонентов, которые трудно предсказать. Тем не менее, они также и слабо связаны. Если преподаватель заболевает и не может прийти на лекцию, ему можно найти замену и это не приведет к остановке всей системы.

Дамба, с другой стороны, представляет собой линейную систему с тесными связями (жесткой функциональной зависимостью), что делает какие-либо запасные варианты и обходные пути менее надежными. Из-за своей линейности, дамбам не своейственнен «отказ» по причине странного и неожиданного взаимодействия между собой различных составных компонентов. Поэтому они не подвержены системным сбоям.

Однако тот факт, что связь тесная, означает, что отказ одного компонента, скорее всего, не получиться устранить или изолировать. Это приводит к отказу остальных компонентов, а в редких случаях приводит и к катастрофе.

И именно это случилось в 1976 году, когда в США разрушилась дамба Гранд Титон, из-за чего погибли одиннадцать человек, и было уничтожено имущества на один миллиард долларов США. В предверии катастрофы, геологи обнаружили трещины в окружающих скалах. Они знали, что даже небольшая течь может все усугубить, поэтому специалисты залили все цементом. Однако их решение не помогло справиться с высоким давлением, что привело к утечке, приведшей к катастрофе.

Авария на АЭС Три-Майл-Айленд продемонстрировала всю шаткость отраслей с высокой степенью риска.

В 1979 году активная зона атомной электростанции «Три-Майл-Айленд» (ТМА) частично расплавилась, и все шло к неминуемому выбросу огромного количества радиоактивного материала в окружающую среду.

В сложной и тесно связанной системе, такой как АЭС, где результат взаимодействия различных компонентов между собой является непредсказуемым, а задержки являются критическими, мелкие ошибки тут и там могут вызвать системный сбой.

В случае с ТМА, авария произошла из-за четырех небольших ошибок. Более того, все они возникли в течение всего лишь 13 секунд, поэтому у операторов не было возможности не то, что отреагировать, но даже подтвердить их возникновение.

Первый сбой вызвала утечка воды из-под уплотнителя. Влага попала в систему сжатого воздуха, который использовался для управления пневматическими приводами арматуры. Ложный сигнал велел водяным насосам остановиться – это было мерой предосторожности, которая отключила турбину, вырабатывающую электроэнергию.

Второй сбой произошел из-за нерабочих аварийных насосов, поскольку некоторые из их клапанов были закрыты. В результате температура и давление в активной зоне повысились.

К счастью, TMА была оснащена защитными устройствами и механизмами. Однако, как и во всех системных сбоях, иногда они оказываются неэффективными или могут даже навредить. Например, когда открылось автоматическое защитное устройство для сброса давления, оно остановилось в открытом положении. Это был третий сбой. Устройство просигнализировало, что оно закрылось, оставаясь при этом открытым – четвертый сбой.

Неисправности в системе охлаждения, причины которых до сих пор не ясны, замаскировали дестабилизацию активной зоны и привели к перегреву самих охлаждающих жидкостей.

Операторы следовали процедурам безопасности и сократили подачу холодной воды, но по-прежнему существовала серьезная проблема – из-за недостатка отвода тепла в активной зоне образовался пузырь водорода.

Два часа спустя операторы, наконец, выявили неисправность автоматического защитного устройства и закрыли его вручную, а затем смогли охладить реактор и вернуть все под контроль.

В TMА все могло легко пойти по другому сценарию и эта авария дает ценный урок – нашим самым рискованным отраслям присуща высокая структурная сложность и тесная компонентная взаимозависимость.

Уровень безопасности некоторых сложных и тесно связанных систем, таких как авиаперевозки, со временем улучшается, но бедствия все же случаются.

Часто можно услышать, что летать безопаснее, чем водить машину. И это действительно так, летать относительно безопасно.

За прошедшие годы большое количество летных испытаний и опыт устранения ошибок привели к созданию более совершенных проектов и мер безопасности. Это, в свою очередь, привело к уменьшению доли катастроф в общем количестве совершенных рейсов за год.

Снижение сложности и тесноты взаимосвязей значительно снизило риски в полете. В первой статье из этой серии я упоминал систему гидравлики на самолетах. В качестве нового примера – современный реактивный двигатель менее сложен по конструкции, чем поршневой двигатель.

Кроме того, система управления воздушным движением стала менее тесно связанной, например, путем ограничения доступа различным типам воздушных судов к определенным районам. В результате в воздухе практически не случаются столкновения суден друг с другом (однако, держите в уме новую угрозу – дронов).

Тем не менее, несмотря на эти улучшения в области безопасности, полету (как явлению) всегда будет присуща сложность и тесные связи, а это значит, что аварии будут происходить всегда. Например, в то время как авиалайнеры (большие пассажирские самолеты) считаются самым безопасным видом полета, DC-10 (очень популярный авиалайнер из 80-х) известен своей цепочкой катастроф. Однако, в большинстве случаев, его сбои не были системными. Крушения происходили из-за отказа отдельного компонента, т.е. имели единственную причину.

Системный сбой произошел в 1979 году в аэропорту Чикаго. Один из трех двигателей DC-10 был обслужен перед взлетом на скорую руку. Этот двигатель оторвался прямо в полете. Какое-то время самолет мог бы лететь и с двумя оставшимися, но наслоились другие сбои – оторвавшийся двигатель также порвал линии электро- и гидросистем. Падение давления в гидросистеме привело к тому, что левые предкрылки начали медленно убираться. Индикатор сбоя с предкрылками не сработал, как и система предупреждения сваливания.

Пилоты увидели по приборам, что пропала тяга левого двигателя, но не знали, что тот оторвался, при этом нанеся крылу серьёзные повреждения. Они пытались выровнять самолет, но потеряли контроль, в результате чего погибло 273 человек.

Несмотря на значительные усовершенствования уровня безопасности полетов, простая ошибка в техническом обслуживании, в сочетании с ошибками конструкции крыла, привели к гибели сотен человек. Полеты со всем своим множеством компонентов, непредсказуемыми взаимодействиями и стремлением придерживаться плотного графика никогда не станут полностью безопасными.

Нефтехимические заводы подвержены системным сбоям, но непредвиденные катастрофы случаются редко.

Опасности ядерной энергетики всем хорошо известны, но риски, связанные с нефтехимическими предприятиями, в значительной степени находятся вне нашего радара. Однако же они значительны, а мы должны быть проинформированы. Не зря же перестраховщики в облигаторах часто запрещают страховать подобные объекты.

В нефтехимической промышленности, как и в ядерном бизнесе, проходят процессы трансформации, в результате которых создаются новые продукты из часто токсичного и взрывоопасного сырья. Несмотря на это, химической промышленности уже более ста лет, а катастроф было весьма мало. Было относительно немного непредвиденных системных сбоев, которые привели к большому количеству жертв, но они все равно происходят, время от времени.

Например, на химическом заводе в Техас-Сити в 1969 г. никто не мог предсказать последовательность событий, которая связала выход из строя элемента с протекающим клапаном и последующее взаимодействие между температурами, давлениями и газами, что в совокупности породило огромный взрыв. Удивительно, но никто не был убит, хотя некоторые близлежащие дома были значительно повреждены.

Действительно бывает так, что системные сбои, которые невозможно предвидеть, оказываются менее разрушительными, чем предотвратимые. Например, крупнейшая по числу жертв техногенная катастрофа в современной истории случилась в 1984 г. на химическом заводе в Бхопале (Индия). В окружающую среду был выпущен смертоносный газ, что привело к гибели 18 000 человек, проживающих рядом (3 000 человек в день аварии), и нанесло существенный вред здоровью еще 200 000 человек.

Но это не был системный сбой, а событие, которое обязано было произойти рано или поздно. Из-за финансовых трудностей, управляющая заводом компания уволила ключевых сотрудников (включая работников по техническому обслуживанию), сократила траты на холодильное оборудование и довела предохранительные устройства до аварийного состояния.

Проводимые государственные инспекции выявили плохо обученный персонал и негерметичные клапаны, но коррупция сыграла свою роль.

Более того, во время катастрофы даже не было никаких звуковых сигналов. Власти не были проинформированы о происшествии, а медицинский сотрудник предприятия дезинформировал общественность и полицию, говоря всем, что выпущенный газ не опасен.

Даже после десятка лет работы без каких-либо инцидентов требуется лишь небольшое стечение нужных обстоятельств, чтобы произошел катастрофический системный сбой. И никакие меры предосторожности не помогут. Иногда эти автоматические устройства даже увеличивают вероятность наступления катастрофы.

К примеру, во время повышенной нагрузки на работе, человек может допустить несколько мелких ошибок. Нечто подобное происходит и в системах. Нагрузка увеличивает вероятность возникновения небольших сбоев, которые могут перерасти в нечто абсолютно неуправляемое.

Капитану большого нефтяного танкера British Petroleum приказали поскорее доставить груз на терминал в Западном Уэльсе до того, как усиливающийся прилив сделал бы разгрузку невозможной в течение недели.

Чтобы выполнить задачу, наш бравый капитан решил направить танкер между островами Силли (Ла-Манш) – более быстрый, но и более рискованный маршрут, чем ранее планировалось.

Будучи на полной скорости капитан заметил, что промахнулся с расчетами и попытался повернуть танкер… Но ничего не произошло! Только когда уже было слишком поздно, он осознал, что нужно было переключить управление с автоматического режима на ручной. Танкер врезался в остров, и из него вылилось 100 000 тонн нефти.

По статистике, большинство морских аварий происходят из-за спешки или ошибочного суждения. И это несмотря на существование систем предотвращения столкновений, которые рассчитывают траектории и скорости кораблей и помогают поддерживать связь между ними.

Судя по всему, компании используют все эти технологические новшества не столько по назначению, сколько для сокращения издержек и ускорения доставки груза при неблагоприятных условиях (плохая погода, загруженность канала и т.п.).

Однако, восстановление после критического сбоя возможно.

Во время космической миссии Аполлон-13 космонавты должны были совершить посадку на Луну, но корабль так и не коснулся ее пыльной поверхности. Вместо этого экипаж чуть было не задохнулся в космическом вакууме.

Несмотря на бесчисленных экспертов и миллиардный бюджет, в проекте корабля все равно присутствовали дефекты. Например, один из двух бортовых кислородных баков никогда не испытывался в космосе, а его испытания на Земле привели к возгоранию изоляции корабля из-за неисправной проводки. И этот момент так никто и не поправил.

В космосе эти провода создали электрический разряд, выделилось тепло, которое снесло крышку кислородного бака и опустошило его. Затем протекать начал второй бак.

Ничто на борту не уведомило экипаж или команду управления полетом о том, что один из баков взорвался. Более того, космонавты были подготовлены только к отказам одного или двух компонентов и даже в таком случае полагались на автоматические устройства безопасности и резервные копии.

Только когда один из космонавтов выглянул в иллюминатор и увидел газ, выходящий из резервуаров, команда осознала, что возникла серьезная проблема.

Несмотря на весь ужас ситуации, они смогли преодолеть ее, упрощая и ослабляя систему на ходу.

Все три космонавта втиснулись в крошечный посадочный модуль, который был рассчитан на то, чтобы два человека могли преодолеть небольшую дистанцию с орбиты на поверхность Луны. Воду и запас энергии нужно было тщательно нормировать. Все нужно было упростить – о посадке на Луну больше не могло быть и речи.

Они сэкономили топливо, используя гравитацию Луны, чтобы отбросить корабль обратно на Землю. Автоматизированные устройства были отключены и астронавты взяли корабль под полный контроль. Они даже на ходу упростили алгоритм процедуры по вхождению корабля в атмосферу.

Все эти упрощения дали космонавтам дополнительное время и сделали взаимосвязь компонентов системы корабля более свободной и менее подверженной полному разрушению.

К счастью, этого не произошло и их импровизированный «спасательный плот» приземлился в океане. На базе этих событий был снят замечательный одноименный фильм с Т. Хэнксом в главной роли.

Интуиция обманчива.

Однажды на реке Миссисипи два корабля, Pisces (танкер, США) и Trade Master (сухогруз, Греция), шли на встречу друг другу. Они должны были легко разминуться, но в последнюю минуту капитаны изменили курс, и произошло столкновение.

Виной была человеческая ошибка. О таком я уже писал в этой статье. Принимая решения, люди физически не способны просчитать все возможные исходы событий, поэтому они основывают свои суждения на догадках и эмпирических правилах. Хоть эти допущения однозначно удобны, иногда они бывают совершенно ошибочными.

Бывает даже так, что наша интуиция прямо противоречит тому, о чем мы доподлинно знаем. Например, если монета падает решкой вверх 20 раз подряд, мы подсознательно полагаем, что с большей вероятностью следующий раз сверху окажется орел, упорно игнорируя основы статистики: при каждом новом броске монеты шанс выпасти орлу всегда равен 50%.

Даже опытные специалисты могут рассуждать о ситуации с полным отрывом от реальности, из-за чего и происходят очень странные аварии.

Итак, капитаны договорились по радио пройти друг друга по правому борту. Но капитан Pisces вдруг увидел, что его обгоняет некий буксир, из-за чего ему придется слишком близко подойти к стоящим слева баржам, а сам буксир может столкнуться с Trade Master. Он радировал капитану Trade Master просьбу разминуться по левому борту и, одновременно с этим, резко свернул вправо, чтобы занять нужную позицию.

К несчастью, капитан Trade Master не получил это сообщение. Он видит поворот Pisces и полагает, что капитан скоро исправит свою ошибку. Сам он не хочет поворачивать направо, так как ожидает, что Pisces вот-вот пойдут в этом направлении. Вместо этого он заворачивает еще левее, чтобы дать Pisces больше места для маневра. Pisces, удивляясь, почему Trade Master настолько сильно отошел от курса, развернулись еще резче вправо, что и привело к неминуемому столкновению.

Все эти предположения о поведении другого корабля привели к многомилионному убытку.

Оценка риска не ограничивается одними лишь цифрами.

Мы склонны недооценивать некоторые риски и переоценивать другие. К примеру, курящий человек может осуждать ядерную энергетику и не видеть в своем поведении никаких противоречий.

Также и риск-менеджеры, андеррайтеры, инженеры и экономисты, как правило, стремятся оперировать точными количественными данными, подкрепленными математическими моделями. Подобная рациональность во взглядах игнорирует социальные и культурные аспекты риска и безопасности.

Ценник часто проставляется даже на человеческую жизнь. Однако, специалисты часто не учитывают разницу между смертями, которые происходят при разных обстоятельствах. Для них 100 000 ежегодных смертей в результате дорожно-транспортных происшествий ничем не отличаются от того же числа смертей от одной катастрофы.

Такое мышление не просто странное. Оно имеет широкие социальные последствия. Предположим, например, что полный цикл добычи электроэнергии из угля, от его добычи до выработки в ТЭС, убивает около 10 000 человек в год. В то же время, смертей из-за атомной энергетики намного меньше. Абсолютный рационалист предпочел бы и, возможно, даже высказывался бы открыто в пользу ядерной энергетики. В 2018-2019 гг. лидеры мирового страхового и перестраховочного рынка приняли решение про отказ от страхования рисков угольной отрасли, поставив общественный интерес выше предпринимательского.

Однако, у большинства непрофессионалов искривленное понимание степени риска. Оно искажено воспоминаниями о прошлых катастрофах и страхом перед будущими. Поскольку большинство не обладает экспертными знаниями, необходимыми для понимания технических отчетов регулирующих органов, мнения начинают базироваться на общественных и семейных ценностях. В результате, людей очень сильно начинает беспокоить неопределенность в отношении новых технологий и их влияния на будущие поколения.

Например, исследования показали, что общественность считает ядерную энергетику опаснее таких отраслей, как автомобильная, оружейная и алкогольная. Однако эксперты из различных областей оценили ядерную энергетику как относительно безопасную.

Дальнейший анализ показал, что оценивая риск летального исхода, непрофессионалы фокусируется на редких катастрофических бедствиях, а не на точных исторических данных. Более опасные, но более знакомые виды деятельности, такие как вождение автомобиля, получили относительно низкую оценку степени риска.

Человечеству нужно реорганизовать некоторые системы и вообще отказаться от других.

Если известно, что системные сбои могут быть ужасно катастрофическими, что можно сделать, чтобы сбалансировать риск с преимуществами, которые эти системы приносят нашему обществу?

Во-первых, можно риск системного сбоя можно снизить, централизовав или децентрализовав систему в зависимости от ее сложности и тесноты связей ее компонентов.

Линейные системы с тесной связью, такие как дамбы и морские суда, должны быть централизованы. Здесь сбои предсказуемы и требуют немедленного, точного противодействия, заранее предписанного центральным органом управления. Кто знает, может с эрой автономного морского транспорта (Maritime Autonomous Surface Ships) это удастся сделать.

Сложные системы со слабой связью, такие как университеты, должны быть децентрализованы. Здесь сбои могут возникать неожиданно, но у управленцев есть достаточно времени для диагностики и анализа этих ситуаций.

Однако сложные системы с тесной связью, такие как АЭС и химические заводы, самолеты, космические миссии и ядерное оружие, требуют как централизации, так и децентрализации: централизация нужна для срочного, дисциплинированного реагирования, а децентрализация должна позволять найти причину неожиданного взаимодействия.

К сожалению, не существует простого, экономически эффективного и безопасного способа сделать это. Кроме того, в зависимости от сложности и тесноты связей компонентов, определенные технологии должны быть 1. улучшены, 2. ограничены или же 3. от них стоит полностью отказаться.

Решить судьбу технологии можно с помощью оценки ее катастрофического потенциала с точки зрения ее способности влиять как на рядовых граждан, так и на будущие поколения – т.е. на сторонние лица, а не на тех, кто сознательно подвергает себя риску (работники заводов, пассажиры в самолете и т.п.).

По этой причине технологии с низким и средним катастрофическим потенциалом, то есть те, которые приводят к смерти только операторов, поставщиков или пользователей системы: космические миссии, дамбы, химическое производство или полеты – можно продолжать использовать, хотя их безопасность нужно постоянно улучшать.

Технологии, которые обладают значительным катастрофическим потенциалом, но не имеют жизнеспособных альтернатив, таких как морские перевозки нефти, нужно ограничивать во избежание наихудших последствий (т.е., например, не производить танкеры с огромной вместимостью).

И наконец, человечеству, вполне возможно, придется отказаться от атомной энергетики и ядерного оружия. Эти технологии представляют наибольшую опасность, как для невинных рядовых граждан, так и для будущего всех людей на планете.

Когда Япония пострадала от сильного землетрясения и цунами, одна из ее прибрежных атомных электростанций, Фукусима-1, пережила катастрофический системный сбой. В результате канцлер Германии Ангела Меркель чуть ли не за ночь изменила свое ранее положительное мнение об атомной энергетике на диаметрально противоположное.Такие аварии, какими бы редкими они ни были, достаточно страшны и существенно меняют общественное мнение. Атомная энергетика когда-то рассматривалась как ключ к более «зеленому» будущему, однако после Фукусимы-1 это уже не так.

«Фукусиме» была предначертана катастрофа, учитывая местоположение АЭС в зоне землетрясения.

Несмотря на то, что тихоокеанское побережье Японии является очагом крупных землетрясений, правительство Японии посчитало этот район подходящим местом строительства двух АЭС: Фукисима-1 и Фукисима-2.

Катастрофа 2011 года была неизбежна по ряду причин. Правительство Японии, а также Токийская электроэнергетическая компания проигнорировали неоднократные предупреждения ученых о потенциально серьезном землетрясении в регионе. Также компания не усовершенствовала береговую заградительную стену, чтобы защитить станции в случае цунами.

В то время как волнорез вдоль побережья мог защитить станции от волн высотой до 5,6 метров, высота у цунами, которое последовало за девятибалльным землетрясением, была 12 метров. Более того, серия подземных толчков после землетрясения, мешала попыткам уменьшить масштабы расплавки активной зоны АЭС.

Одной из основных причин аварии на Фукусиме-1 был ее возраст. Станция была построена в 1970-х годах, и ей не хватало последних технологических новшеств. Фукусима-2, всего в 11 километрах по соседству, была построена в 1980-х; ее превосходящая технологическая база помогла предотвратить расплавление активной зоны. К примеру, генераторы Фукусима-2 охлаждаются воздухом, в то время как генераторы на Фукусиме-1 охлаждаются морской водой.

Человеческая ошибка, как и в случае с Чернобылем, также сыграла большую роль. Оператор взял на себя смелость обойти автоматическое устройство безопасности, которое контролировало охлаждение электростанции. Вполне вероятно, что расплавления можно было избежать, если бы работа этого устройства не была прервана. Одно, казалось бы, незначительное решение вызвало цепную реакцию, которая усугубила и без того кризисную ситуацию.

При всем при этом, на каждого одного человека, который умирает в результате производства электроэнергии по средствам АЭС, приходится 4 000 смертей, вызванных продуктами горения угля.

Чтобы сделать будущее атомной энергетики безоблачным, потребуется много времени и денег.

В 1950-х годах адмирал Хайман Риковер из ВМС США спроектировал малую электростанцию для питания атомных подводных лодок. Со временем, его дизайн стал доминирующим в гражданской атомной промышленности, он был одновременно эффективным и надежным.Сложность спроектировать нечто подобное для использования в ограниченных условиях подводной лодки вдохновила адмирала на новые идеи. Например, его станция генерировала больше топлива, чем сжигала; она также не использовала жидкий натрий, который мог вытечь и привести к катастрофе.

Успешный дизайн подводной лодки вдохновил гражданскую индустрию на аналогичные решения. Почти все атомные станции, работающие сегодня, являются вариацией станции по проекту адмирала Риковера.

Были и другие многообещающие проекты, но рыночные условия и недостаток финансирования не позволил реализовать эти идеи.

Например, целью реактора прямого контакта (Direct Contact Reactor, DCR) была более высокая эффективность; его топливом был расплавленный плутоний и в 1960-х в Лос-Аламосе был построен прототип. Однако госбюджет на экспериментальные реакторы был отозван и проект так и не был реализован.

Инженеры также экспериментировали с реакторами на расплавах солей. Реактор использовал торий – тяжелый слаборадиоактивный металл, который существует на планете в больших количествах и не может начать ядерную реакцию самостоятельно (более стабилен, чем, например, плутоний или уран). При этом, радиоактивные отходы от тория не представляют опасности уже через 300 лет, тогда как отходы от деления урана остаются опасными в течение примерно 30 000 лет.

Проект был заброшен после четырех лет разработок, поскольку реактор Риковера к тому времени уже доминировал на рынке. Также, фундаментальным недостатком тория была его непригодность для производства ядерного оружия.

В целом, было бы неправильно прекращать исследование альтернативных методов производства атомной энергии. Потенциальная опасность всегда будет с нами, и все же системные сбои будут становиться все менее и менее вероятными по мере совершенствования технологий, а инженеры учатся на ошибках прошлого.

На создание данной статьи меня вдохновила книга Normal Accidents: Living with High Risk Technologies (C. Perrow).