One-point safety: dlaczego przypadkowe odpalenie jednego detonatora nie może dawać istotnego uzysku jądrowego

Streszczenie

Wyobraź sobie głowicę, która przeżywa pożar, silne uderzenie albo przypadkowe zadziałanie tylko jednego fragmentu swojego układu zapłonowego. W dobrze zaprojektowanej broni jądrowej taki scenariusz nie może prowadzić do znaczącego uzysku jądrowego. Właśnie to opisuje pojęcie one-point safety: nawet jeśli materiały wybuchowe zostaną zainicjowane tylko w jednym punkcie albo w bardzo ograniczony, nienormalny sposób, urządzenie nie powinno wejść w stan dający istotną eksplozję jądrową.^1,2

To nie jest detal administracyjny ani slogan bezpieczeństwa, lecz bardzo twarde wymaganie fizyczne. Oznacza ono, że rdzeń, jego pustki, podpory, pochłaniacze neutronów i cała geometria implozyjna muszą być tak dobrane, aby przypadkowa, silnie asymetryczna deformacja nie złożyła materiału rozszczepialnego w zbyt reaktywną konfigurację. Artykuł pokazuje, dlaczego problem stał się szczególnie ostry po przejściu od prostych wojennych bomb do bardziej ambitnych konstrukcji z hollow pit, levitated core i wysokosprawnych primaries.^1,3

Rozszerzenie tematu

Najprostszy sposób zrozumienia one-point safety jest bardzo praktyczny. W poprawnie działającej bombie implozyjnej dziesiątki detonatorów i soczewek wybuchowych mają wytworzyć możliwie symetryczną falę zbieżną. Ale w prawdziwym świecie trzeba też rozważyć sytuacje niepoprawne: pożar, uderzenie, błędny sygnał, uszkodzenie jednego obwodu albo niezamierzone odpalenie tylko części materiału wybuchowego. Jeśli takie zdarzenie złoży rdzeń choćby częściowo w konfigurację bardzo nadkrytyczną, nawet niepełna implozja może dać poważny wybuch jądrowy albo co najmniej nieakceptowalnie duży uzysk.^1,2

To zagrożenie rośnie wraz ze sprawnością konstrukcji. W prostym Christy gadget geometria była relatywnie konserwatywna. W późniejszych rozwiązaniach, takich jak levitated core czy hollow pit, sam rdzeń staje się bardziej wrażliwy na lokalne zapadnięcie i niesymetryczne zderzenia powłok. Otwarta literatura podaje wręcz intuicyjny obraz: jeśli pusta skorupa materiału rozszczepialnego zostanie przypadkowo "zdeptana jak piłka tenisowa", może wejść w stan bardzo wysokiej reaktywności nawet bez poprawnej implozji globalnej.¹

Właśnie dlatego one-point safety nie jest tylko własnością detonatorów. To własność całego projektu jądrowego. Trzeba patrzeć na geometrię pustych przestrzeni, sposób podparcia rdzenia, obecność tampera, a także na to, czy w środku znajdują się pochłaniacze neutronów albo elementy, które trzeba usunąć dopiero podczas uzbrajania. Jeśli nawet lokalne zapadnięcie nie powinno prowadzić do dużego uzysku, to margines bezpieczeństwa trzeba budować już na poziomie samego rdzenia.^1,3

Otwarta literatura NW FAQ pokazuje kilka klas rozwiązań. Jedna z nich polega na częściowym rozkładaniu konfiguracji "implosion ready" aż do późnego etapu uzbrajania. Innymi słowy: rdzeń albo jego ważne fragmenty nie są cały czas ustawione tak, jakby miały za chwilę zostać poprawnie skompresowane. Druga polega na fizycznym wypełnianiu pustek rdzenia czymś, co utrudnia przypadkowe zapadnięcie. Trzecia dodaje materiały silnie pochłaniające neutrony, zwłaszcza związki boru. Czwarta wykorzystuje ciągłe źródła neutronów albo inne mechanizmy, które w razie złego składania wymuszają bardzo wczesną, nieefektywną predetonację, zanim układ osiągnie dużą sprawność.¹

Ta ostatnia logika bywa na pierwszy rzut oka paradoksalna. Jak to możliwe, że dodatkowe neutrony mają poprawiać bezpieczeństwo? Odpowiedź jest podobna jak w artykule o predetonacji: jeśli wadliwie składany rdzeń zostanie wzbudzony za wcześnie, rozproszy się, zanim zdąży wejść w najbardziej korzystną fazę kompresji. W takim sensie "zepsucie" złego zdarzenia jest lepsze niż pozwolenie, aby asymetryczna implozja trwała dostatecznie długo, by wejść w bardzo wysoką reaktywność.^1,4

W praktyce bardzo duże znaczenie miały też testy hydronuclear i analizy awaryjne. Oficjalny raport OSTI o doświadczeniach hydronuclear z końca lat pięćdziesiątych wyraźnie wskazuje, że służyły one m.in. do identyfikacji problemów one-point safety w ówczesnych systemach broni. To ważne, bo pokazuje, że nie był to temat teoretyczny. Realne układy dawały realne powody do obaw, a część poprawek mogła czekać na późniejsze testy i lepsze poznanie zachowania materiałów pod bardzo silnym ściskaniem.²

W publicystyce historycznej ten problem bywa zacierany przez samo słowo „accident”. Wellerstein słusznie zwraca uwagę, że bezpieczeństwo broni jądrowej nie sprowadza się do pytania, czy samolot spadnie albo czy bomba się zapali. Krytyczne jest to, czy nietypowe środowisko awaryjne, błędny sygnał elektryczny albo częściowe odpalenie materiałów wybuchowych mogą przypadkiem przeprowadzić projekt jądrowy przez zbyt dużą część sekwencji implozyjnej. One-point safety jest więc warunkiem projektowym wpisanym w geometrię rdzenia i jego otoczenia, a nie tylko dopisaną później instrukcją obsługi.^6,7

Tutaj pojawia się jeszcze jedna warstwa: właściwości samego plutonu. W otwartej literaturze podkreślono, że dokładna znajomość równania stanu i zachowania plutonu pod wysokim ciśnieniem staje się szczególnie cenna właśnie tam, gdzie marginesy bezpieczeństwa są małe, a konstrukcja ma być one-point safe. To zrozumiałe. Im bardziej liczy się, czy lokalny zgniot rdzenia da współczynnik mnożenia trochę za mały czy trochę za duży, tym bardziej cały problem zależy od realnej fizyki materiału, a nie od prostych szkiców geometrycznych.¹

Z tego powodu one-point safety silnie łączy się z fazą delta plutonu i stabilizacją galem oraz z problemem hydrodynamiki fal uderzeniowych w broni jądrowej. Nie chodzi tylko o to, ile materiału jest w rdzeniu, ale jak ten materiał reaguje na częściowe ściskanie, które obszary mogą lokalnie zagęścić się najmocniej, czy gdzieś nie powstaje "gorące miejsce" reaktywności i jak szybko taki zły stan zacznie się sam rozbijać. Bez tej warstwy materiałowej bezpieczeństwo byłoby tylko życzeniem.^1,3

W bardziej dojrzałych systemach bezpieczeństwo jądrowe zaczęto więc budować warstwowo. Najpierw sam projekt jądrowy ma nie dawać dużego uzysku przy złym odpaleniu. Potem dochodzą zabezpieczenia głowic jądrowych, które mają utrudnić doprowadzenie energii do detonatorów. To ważne rozróżnienie. One-point safety odpowiada głównie na pytanie "co się stanie, jeśli coś jednak częściowo odpali?", natomiast systemy typu strong link, weak link czy PAL odpowiadają na pytanie "jak nie dopuścić, by w ogóle dopłynęła energia do niewłaściwego odpalenia?". Jedno nie zastępuje drugiego. W praktyce to właśnie rdzenie typu hollow pit i układy w rodzaju two-point linear implosion pokazują, jak szybko ambitna hydrodynamika zaczyna podnosić stawkę bezpieczeństwa awaryjnego.^5,6

Znaczenie tej różnicy dobrze widać w brytyjskich konstrukcjach przejściowych po 1945 roku. Część z nich była projektowana w warunkach presji na szybkie uzyskanie użytecznej broni, zanim powstała dojrzała architektura blokad i wygodne rozwiązania eksploatacyjne. To właśnie takie programy pokazały, że wysoka sprawność rdzenia bez równie twardych wymagań one-point safety i bez dobrych systemów uzbrajania tworzy broń trudną do akceptacji operacyjnie. W praktyce arsenał dojrzewał więc nie tylko przez zwiększanie mocy, ale przez ograniczanie szansy, że wadliwy zapłon częściowy da cokolwiek więcej niż bardzo słaby uzysk.⁷

Ilościowa definicja: co oznacza „jeden na milion"

Wymaganie one-point safety nie jest tylko jakościowym sloganem — w arsenale nuklearnym USA uzyskało ono precyzyjną definicję liczbową. Oficjalną normą przyjętą przez Departament Obrony i Departament Energii jest to, że prawdopodobieństwo uzysku nuklearnego większego niż 4 funty trotylu (ok. 1,8 kg TNT) w wyniku przypadkowej inicjacji w jednym punkcie nie może przekraczać jeden na milion (10⁻⁶). Próg 4 funtów TNT nie jest arbitralny: odpowiada mniej więcej energii uwolnionej przez sam konwencjonalny ładunek wybuchowy w bombie — wyznacza więc granicę, powyżej której mamy do czynienia z reakcją jądrową, a nie tylko chemiczną.^1,6

Ta definicja ma istotne konsekwencje projektowe. Po pierwsze, możliwe jest przyjęcie probabilistycznego podejścia: nie trzeba udowodnić, że zerowy uzysk jest absolutnie niemożliwy, lecz że jest wysoce nieprawdopodobny. Po drugie, norma ta nakłada ostre wymagania na testy. Skąd wiadomo, że prawdopodobieństwo wynosi mniej niż jeden na milion? Nie da się tego sprawdzić bezpośrednio — bo wymagałoby to milionów prób, z których każda byłaby potencjalnie katastrofalna. Zamiast tego projektanci korzystają z kombinacji testów składnikowych (bez materiału rozszczepialnego), modelowania hydrodynamicznego i eksperymentów hydronuclear.^2,6

Warto też zauważyć, że norma 10⁻⁶ jest normą dla jednorazowej inicjacji w jednym punkcie. Nie mówi nic o prawdopodobieństwie, gdy zapłon obejmuje dwa, trzy czy kilka punktów jednocześnie — to jest osobne zagadnienie, opisywane przez szersze wymagania bezpieczeństwa awaryjnego. Norma one-point safety jest warunkiem koniecznym, nie wystarczającym. Głowica, która jest one-point safe, nadal może być niebezpieczna, jeśli jej układ elektryczny jest podatny na przypadkowe zasilenie wielu detonatorów jednocześnie przez uderzenie pioruna, zwarcie elektryczne czy elektromagnetyczny impuls.⁶

Goldsboro 1961: jeden tani przełącznik dzielił USA od katastrofy

24 stycznia 1961 roku bombowiec B-52 Stratofortress z bazy lotniczej Seymour Johnson rozbił się w pobliżu Goldsboro w Północnej Karolinie po tym, jak jego skrzydło uległo uszkodzeniu podczas tankowania w powietrzu. Na pokładzie znajdowały się dwie termonuklearne bomby Mk-39 o mocy 3,8 megatony każda — łącznie 7,6 megatony, ponad 500 razy więcej niż bomba Hiroshima.⁷

Jedna z bomb wpadła do błotnistego pola i uderzyła w ziemię z prędkością ok. 700 km/h. Druga, z częściowo otwartym spadochronem, opadła łagodniej. Śledztwo, przeprowadzone przez ekspertów z Sandia National Laboratories, ujawniło szokujący fakt: w drugiej bombie zadziałały trzy z czterech zabezpieczeń elektrycznych uniemożliwiających eksplozję. Czwarta — niskonapięciowy, mechaniczny przełącznik barometryczy, kosztujący prawdopodobnie kilka dolarów — nie zadziałała i jedynym elementem zapobiegającym detonacji było to, że i tak musiałby zadziałać jej odpowiednik w pierwszej bombie. Jak ujął to urzędnik bezpieczeństwa nuklearnego: „Jeden prosty, niskonapięciowy przełącznik dzielił Stany Zjednoczone od poważnej katastrofy".⁷

Eksplozja 3,8-megaton. bomby nad Karoliną Północną byłaby katastrofalna dla całego wschodniego wybrzeża USA. Obszar zniszczeń objąłby okolicę w promieniu dziesiątek kilometrów od miejsca upadku; opad promieniotwórczy mógłby skazić teren rozciągający się znacznie dalej. Goldsboro stało się punktem zwrotnym w historii bezpieczeństwa nuklearnego: wydarzenie ujawniło, że żadna z bomb Mk-39 wdrożonych do służby nie była one-point safe w formalnym rozumieniu normy. Cały arsenał bombowy USA zawierał tysiące głowic, które przy odpowiednim zdarzeniu awaryjnym mogły dać pełny lub częściowy uzysk nuklearny.⁷

Odpowiedzią był intensywny program modernizacji. Urządzenia, które nie spełniały nowych standardów, były stopniowo wycofywane lub modyfikowane. Goldsboro przyspieszyło też prace nad materiałami wybuchowymi nowego typu — takimi, które nie detonują przy trafieniu pociskiem, pożarze czy silnym uderzeniu. To właśnie te prace doprowadziły do szerszego wdrożenia insensitive high explosives (IHE), o których szerzej w osobnej sekcji.^6,7

Palomares (1966) i Thule (1968): dalsze lekcje bezpieczeństwa

Goldsboro nie było odosobnionym incydentem. W 1966 roku nad Palomares w Hiszpanii zderzył się bombowiec B-52 z samolotem-cysterną. Cztery bomby termojądrowe B28 o mocy 1,45 megatony każda spadły na pola uprawne. Dwie z nich uderzyły w ziemię w taki sposób, że ich ładunki konwencjonalne zdtonowały — choć do eksplozji nuklearnej nie doszło. Jednak detonacja konwencjonalna wystarczyła, by rozsypać pluton na obszarze setek hektarów ziemi rolnej. Skażone grunty musiały być wywożone do USA ciężarówkami. Czwarta bomba wylądowała w Morzu Śródziemnym i była poszukiwana przez trzy miesiące.⁷

W 1968 roku katastrofa spotkała B-52 nad bazą lotniczą Thule w Grenlandii. Pożar na pokładzie zmusił załogę do awaryjnego katapultowania, a samolot rozbił się na lodzie Zatoki North Star. Wszystkie cztery bomby B28 uległy zniszczeniu w pożarze i uderzeniu. Pluton ze wszystkich czterech bomb rozproszył się w promieniu kilkuset metrów od miejsca katastrofy. Najpoważniejszym problemem technicznym była tu właśnie kwestia one-point safety: dla bomb B28 stacjonujących w Thule nie można było zagwarantować, że żadna z nich nie była bliskim uzyskiem nuklearnym w chwili wybuchu pożaru i uderzenia.⁷

Te trzy wypadki — Goldsboro, Palomares, Thule — razem z kilkunastoma innymi incydentami oznaczonymi kryptonimem Broken Arrow (incydent z bronią jądrową bez wybuchu nuklearnego) stworzyły bazę empiryczną, z której wynikał jeden wniosek: bezpieczeństwo oparte wyłącznie na procedurach i blokadach elektrycznych jest niewystarczające. Potrzebne jest bezpieczeństwo wbudowane w fizykę i chemię samego ładunku.⁷

Insensitive High Explosives (IHE): TATB i nowa era bezpieczeństwa

Najważniejszą innowacją materiałową w historii bezpieczeństwa nuklearnego było zastąpienie standardowych materiałów wybuchowych opartych na RDX i TNT przez materiały wybuchowe niewrażliwe (insensitive high explosives, IHE). Kluczowym związkiem chemicznym tej klasy jest TATB — 1,3,5-triamino-2,4,6-trinitrobenzen.⁶

TATB jest prawdziwym fenomenem inżynierii materiałowej. Standardowe materiały wybuchowe, jak Composition B (mieszanina RDX i TNT), detonują przy uderzeniu z prędkością zaledwie ok. 50 m/s — odpowiada to mniej więcej prędkości pocisku pistoletu w zasięgu. TATB wytrzymuje uderzenia z prędkością nawet 450 m/s. Nie detonuje przy kontakcie z otwartym ogniem — zamiast tego spala się powoli jak woskowa świeczka. Jest wyjątkowo odporny na naprężenia termiczne i mechaniczne. Jedynym istotnym ograniczeniem jest wyższy koszt produkcji i trudniejsza obróbka niż w przypadku konwencjonalnych materiałów wybuchowych.⁶

Departament Energii USA wprowadził TATB do arsenału nuklearnego w 1979 roku. Pierwszą głowicą z TATB jako głównym ładunkiem był W76 (głowica na rakiety Trident). Do 1991 roku około 25% arsenału nuklearnego USA korzystało z IHE. Współcześnie większość nowych i modernizowanych głowic w arsenale USA jest projektowana z TATB w formie PBX-9502 (TATB w osnowie polimerowej). Głowice oparte na TATB są klasyfikowane jako one-point safe na poziomie mechanicznym i termicznym — co oznacza, że przypadkowe odpalenie jednego detonatora, pożar lub uderzenie nie wywołują detonacji, lecz co najwyżej powolne spalanie.⁶

Paradoksem IHE jest jednak to, że nawet TATB potrzebuje detonatora do prawidłowej inicjacji — a sam detonator jest mniej „niewrażliwy" niż główny ładunek. Dlatego współczesne systemy bezpieczeństwa łączą IHE z precyzyjnie zaprojektowanymi detonatorami, które same są one-point safe: ich przypadkowe odpalenie nie generuje wystarczającego impulsu, by zainicjować główny ładunek. Ta wielowarstwowość — one-point safe ładunek plus one-point safe detonator plus one-point safe geometria rdzenia — jest filozofią bezpieczeństwa nowoczesnych głowic nuklearnych.⁶

Strong link / weak link: filozofia projektu elektrycznego

Równolegle z IHE rozwijała się filozofia strong link / weak link jako zasada projektowania układów elektrycznych uzbrajania broni jądrowej. Zrozumienie jej logiki pozwala docenić, jak bezpieczeństwo one-point safety wbudowuje się w całość systemu, a nie tylko w geometrię rdzenia.⁶

Koncepcja strong link / weak link wywodzi się z następującej obserwacji: w systemie bezpieczeństwa zawsze istnieje element, który jako pierwszy ulega zniszczeniu pod wpływem nieoczekiwanego środowiska (uderzenie, ogień, wibracje, pole elektromagnetyczne). Zamiast próbować uczynić wszystkie elementy jednakowo odpornymi, filozofia weak link celowo projektuje jeden element jako „najsłabsze ogniwo", które niezawodnie ulega zniszczeniu (otwiera obwód, skraca kondensator, niszczy się trwale) zanim jakiekolwiek inne elementy uzbrajające zdążą zadziałać.⁶

W praktyce: kondensatory w układzie fireset są dobierane tak, by rozładowały się samoczynnie przez upływ i straciły zdolność do zasilenia detonatorów w temperaturze niższej niż temperatura, w której sama weak link komponenta traci elektryczną sprawność. Albo: mechaniczny zawór w układzie gazu fuzyjnego (dla boostingu) jest zbudowany tak, by zniszczył się przy przeciążeniu mechanicznym niższym niż to, które mogłoby potencjalnie złożyć rdzeń do stanu krytycznego.⁶

Silne ogniwa (strong links) zapewniają natomiast, że system uzbrajania jest odporny na przypadkowe wyzwolenie w normalnych warunkach eksploatacyjnych — wibracje, zmiany temperatury w granicach operacyjnych, zakłócenia elektromagnetyczne typowe dla środowiska bojowego. Kombinacja: weak link niezawodnie psuje broń w warunkach katastroficznych, strong link nie pozwala na nieautoryzowane uzbrojenie w warunkach normalnych. To elegancka, dwuwymiarowa matryca bezpieczeństwa.⁶

PAL — Permissive Action Link: polityczny wymiar bezpieczeństwa

One-point safety dotyczy fizyki eksplozji. Odrębnym, ale powiązanym zagadnieniem jest autoryzacja użycia — zabezpieczenie przed nieautoryzowanym odpaleniem przez nieuprawniony personel lub w wyniku awarii systemu dowodzenia. To właśnie realizują systemy PAL (Permissive Action Link).⁶

Pierwsze prymitywne PAL pojawiły się w latach 50. jako proste blokady mechaniczne. Współczesne PAL to złożone układy kryptograficzne: broń jest zablokowana kodem, który musi zostać wprowadzony z centrum dowodzenia. Dopiero po recepcji prawidłowego kodu (i weryfikacji innych parametrów autoryzacji) system uzbrajania zostaje odblokowany. Jeśli ktoś próbuje ominąć PAL siłowo lub przez wielokrotne błędne próby, system trwale blokuje się albo nawet aktywuje samozniszczenie (uszkadzając głowicę bez detonacji nuklearnej).⁶

Historia PAL jest o tyle interesująca, że wczesne wdrożenia były pełne luk. W latach 60. PAL-e w broni strategicznej USA były przez pewien czas ustawione na kombinację 00000000 — osiem zer — bo personel lotniczy obawiał się, że złożony kod może opóźnić użycie broni w sytuacji kryzysowej. Ta historia, ujawniona dopiero dekady później, dobrze ilustruje stałe napięcie między bezpieczeństwem awaryjnym a gotowością operacyjną — napięcie, które jest sercem całej filozofii bezpieczeństwa nuklearnego.⁶

PAL i one-point safety wzajemnie się uzupełniają, ale nie zastępują. Broń one-point safe bez PAL mogłaby być odpalona przez nieuprawnioną osobę, ale nie grozi nieoczekiwanym wybuchem nuklearnym w wypadku. Broń z PAL, ale nie one-point safe, jest chroniona przed nieautoryzowanym użyciem, ale w razie katastrofy lotniczej może dać uzysk nuklearny. Dojrzały arsenał potrzebuje obu warstw naraz — i to właśnie ta kombinacja, budowana stopniowo przez dziesięciolecia zimnej wojny, charakteryzuje nowoczesne głowice.⁶

Mit łatwego odpalenia a faktyczny problem bezpieczeństwa

Sensacyjne opowieści o tym, że broń jądrową można "łatwo odpalić" przez podanie energii do właściwego miejsca, pomijają najważniejszą cechę dojrzałej głowicy: jest ona systemem stanów, a nie pojedynczym obwodem. W normalnym cyklu życia broń ma pozostawać bezpieczna, nieuzbrojona, nieautoryzowana i odporna na liczne bodźce awaryjne; dopiero zgodny zestaw warunków technicznych, środowiskowych i dowódczych pozwala przechodzić do kolejnych stanów. One-point safety nie jest więc "hasłem do bomby", lecz właściwością fizyczną projektu, która ma ograniczać skutki bardzo złego, asymetrycznego zdarzenia.

Z tego powodu prawdziwy problem bezpieczeństwa leży w architekturze warstwowej: PAL, zasadzie dwóch osób, procedurach przechowywania i transportu, rozdzieleniu energii uzbrajania od energii wykonawczej, strong links, weak links, czujnikach środowiskowych i kulturze organizacyjnej. Publiczny opis tych warstw powinien wyjaśniać ich logikę, ale nie zamieniać się w sekwencję działania. Dla dydaktyki ważniejszy jest kontrast: plotka o prostym "odpaleniu" redukuje głowicę do przełącznika, podczas gdy historia wypadków pokazuje, że realna inżynieria bezpieczeństwa polegała na niedopuszczeniu do przypadkowego przejścia przez wiele niezależnych progów naraz.

Eksperymenty hydronuklearne: jak testować bez detonacji

Weryfikacja one-point safety bez pełnego testu nuklearnego to jeden z najtrudniejszych problemów technicznych programu nuklearnego. Standardowym narzędziem była seria eksperymentów nazywanych hydronuclear — testów, w których układ implozyjny z prawdziwym materiałem rozszczepialnym był odpalany, ale w warunkach celowo zaprojektowanych tak, by nie osiągnąć pełnego superkrytycznego stanu.²

W eksperymencie hydronuklearnym masę materiału rozszczepialnego dobiera się poniżej masy krytycznej nieskompresowanego rdzenia. Implozja może przebiec normalnie, ale rdzeń — mimo kompresji — nie wchodzi w stan głęboko nadkrytyczny i nie produkuje pełnej eksplozji. Jednocześnie jednak reakcja łańcuchowa zaczyna się i produkuje mierzalną liczbę neutronów i rozszczepionych jąder. Analizując te produkty i porównując z modelami komputerowymi, możliwy jest wgląd w rzeczywiste zachowanie układu implozyjnego i materiału rozszczepialnego.²

Eksperymenty hydronuklearne były prowadzone intensywnie przez USA w końcu lat 50. i we wczesnych latach 60. Według raportu DOE ujawnionego w 1995 roku, USA przeprowadziły łącznie 1054 eksperymenty nuklearne — z czego wiele to właśnie eksperymenty hydronuklearne służące bezpieczeństwu arsenału. Ich wyniki pozwoliły zidentyfikować szereg problemów one-point safety w istniejących systemach, które następnie korygowano przez modyfikacje geometrii, materiałów lub układów uzbrajania.²

Traktat o zakazie prób jądrowych (CTBT) z 1996 roku (podpisany, ale nie ratyfikowany przez USA) formalnie zakazuje wszelkich wybuchów nuklearnych, w tym hydronuklearnych. Spowodowało to przejście na metody alternatywne: subkrytyczne eksperymenty w zakładach Nevada National Security Site (dawniej Nevada Test Site), zaawansowane symulacje na superkomputerach (program Advanced Simulation and Computing) i eksperymentalne testy lasérowe w NIF. Bez możliwości testowania hydronuklearnego, pewność co do one-point safety nowych projektów opiera się na ekstrapolacji od sprawdzonych wzorców i na modelowaniu — co jest jednym z głównych argumentów zwolenników utrzymania zdolności testowej.^2,6

Rola geometrii rdzenia w zapewnieniu one-point safety

Jak to już zasygnalizowano, one-point safety jest przede wszystkim własnością geometrii i fizyki rdzenia, a nie tylko systemu elektrycznego. Żadna liczba blokad elektrycznych nie zastąpi fundamentalnej właściwości: że rdzeń, gdy jest kompresowany asymetrycznie przez wybuch jednego punktu ładunku, nie wchodzi w stan głęboko nadkrytyczny.¹

Klasyczny Christy gadget — lity rdzień plutonowy z Fat Mana — był pod tym względem bardziej bezpieczny niż późniejsze, bardziej wydajne projekty. Jego solidna, lita geometria nie miała pustych przestrzeni, które mogłyby się zapaść asymetrycznie. Jednak po przejściu na hollow pit i levitated core sytuacja stała się bardziej skomplikowana. Pusta przestrzeń w rdzeniu oznacza, że lokalne, asymetryczne uderzenie może spowodować zapadnięcie się jednej strony wnęki, tworząc chwilowo bardzo reaktywną konfigurację — zanim globalna asymetria doprowadzi do rozproszenia układu.^1,3

Rozwiązania geometryczne one-point safety obejmują kilka klas. Pierwsza to staranne projektowanie pustki tak, by żadna możliwa asymetryczna kompresja nie mogła złożyć wystarczającej masy materiału rozszczepialnego w konfigurację silnie nadkrytyczną — co wymaga dokładnej analizy hydrodynamicznej każdego możliwego scenariusza awaryjnego. Druga to wypełnianie wnęki materiałem, który w normalnych warunkach jest obecny i wyjmowany dopiero przy uzbrajaniu — tak, by „spoczynkowa" geometria rdzenia nie mogła być niebezpiecznie zapaść. Trzecia to wstawienie warstwy silnie pochłaniającej neutrony (bor-10, kadm) wewnątrz lub wokół rdzenia — tak by nawet gdyby rdzeń wpadł w słabą nadkrytyczność, pochłaniacz szybko ją zgasił, zanim wytworzy się znaczący uzysk.¹

Związek one-point safety z geometrią rdzenia jest też powodem, dla którego nowoczesne głowice nie mogą być analizowane pod kątem bezpieczeństwa bez znajomości ich szczegółowych równań stanu i właściwości materiałowych. Nawet bardzo podobne geometrie mogą zachowywać się zupełnie inaczej w warunkach awaryjnych, jeśli materiał rdzenia ma inne parametry sprężysto-plastyczne lub inne właściwości pod ekstremalnym ciśnieniem.^1,5

Napięcie między sprawnością a bezpieczeństwem: trwały dylemat projektowy

Historia one-point safety jest też historią stałego napięcia między dwiema celami projektowymi, które częściowo się wykluczają: maksymalną sprawnością nuklearną z jednej strony i bezpieczeństwem awaryjnym z drugiej. Rozwiązania maksymalizujące sprawność — wyżej wydrążone rdzenie, wąskie szczeliny standoff, cieńsze tampery — z reguły zwiększają podatność na niebezpieczne asymetryczne zapadnięcie w warunkach awaryjnych.^1,3

To napięcie przybrało konkretną formę polityczną w USA w latach 70. i 80. Środowiska związane z bezpieczeństwem, skupione wokół Sandia National Laboratories, naciskały na szersze wdrożenie IHE i zaostrzenie wymagań one-point safety. Środowiska projektowe z Los Alamos i Lawrence Livermore priorytetyzowały parametry bojowe i niezawodność działania zamierzonego. Przez wiele lat ta debata była utajniona, a decyzje o przyjęciu lub odrzuceniu konkretnych rozwiązań bezpieczeństwa były podejmowane na poziomie rządowym z minimalną transparentnością zewnętrzną.⁶

Dopiero wypadki, zwłaszcza Goldsboro i Thule, zmusiły do zaostrzenia wymagań. Po Traktacie o zakazie testów (NPT, 1968) i Traktacie SALT/START, gdy stało się jasne, że redukcja arsenałów jest realną perspektywą, rosło też znaczenie bezpieczeństwa każdej konkretnej głowicy — bo mniejszy arsenał był bardziej widoczny i każdy incydent miał większy efekt polityczny. Paradoksalnie, rozbrojenie nuklearne i bezpieczeństwo nuklearne stały się sprzymierzeńcami: mniej głowic oznaczało więcej zasobów na uczynienie każdej z nich bezpieczniejszą.^6,7

Sandia National Laboratories: instytucjonalny strażnik bezpieczeństwa

Jedną z mniej znanych, ale kluczowych instytucji w historii bezpieczeństwa nuklearnego jest Sandia National Laboratories — ośrodek działający w Nowym Meksyku i Kalifornii, techniczne ramię Departamentu Energii odpowiedzialne za inżynierię bezpieczeństwa (nie fizykę) broni nuklearnej. Podczas gdy Los Alamos i Lawrence Livermore koncentrowały się na projektowaniu głowic — ich wydajności, niezawodności bojowej i miniaturyzacji — Sandia zajmowała się pytaniem: jak sprawić, żeby ta głowica była bezpieczna w eksploatacji.⁶

Ta instytucjonalna separacja między fizyką bojową a inżynierią bezpieczeństwa była nieprzypadkowa. Chodziło o to, by oceny bezpieczeństwa były robione przez instytucję, której priorytetem jest właśnie bezpieczeństwo — nie sprawność nuklearna ani parametry bojowe. Sandia opracowała wiele z kluczowych technologii bezpieczeństwa: układy strong link/weak link, specjalne zapalniki elektryczne o małym prawdopodobieństwie niezamierzonego odpalenia, systemy PAL, procedury testowania one-point safety, a także — we współpracy z laboratoriami materiałowymi — standardy dla IHE.⁶

Raport Sandia z 1968 roku, który analizował incydent w Goldsboro, był pierwszym publicznym dokumentem jasno stwierdzającym, że konkretna, wdrożona bojowo głowica nie jest one-point safe. Ten raport był przełomem: po raz pierwszy instytucja odpowiedzialna za bezpieczeństwo wprost zakwestionowała gotowość bojową systemów uzbrojenia z uwagi na ryzyko awaryjne, nie na ryzyko niezadziałania. To właśnie napięcie między Sandią (bezpieczeństwo) a projektantami głowic (wydajność bojowa) kształtowało politykę nuklearną USA przez kolejne dwie dekady.^6,7

Arsenały sowieckie i globalna perspektywa one-point safety

Dyskusja o one-point safety jest często prowadzona przez pryzmat arsenału USA, bo to właśnie tam dokumentacja jest najszersza i częściowo dostępna. Jednak tematfundamentalnie dotyczy każdego państwa nuklearnego — i tutaj porównanie jest intrygujące. Radzieckie, a następnie rosyjskie podejście do bezpieczeństwa nuklearnego przez długi czas nie było publicznie omawiane.^6,7

Analitycy zachodni zwracali uwagę, że część radzieckich głowic mogła mieć niższy priorytet dla one-point safety w klasycznym rozumieniu, a zamiast tego nacisk kładziono na bezpieczeństwo autoryzacyjne (odpowiednik PAL) oraz na proceduralne zabezpieczenia w łańcuchu dowodzenia. Po rozpadzie ZSRR, gdy część arsenału nuklearnego znalazła się na terytorium nowo powstałych państw — Ukrainy, Kazachstanu, Białorusi — kwestia bezpieczeństwa tych głowic stała się priorytetem dyplomatycznym. Programy CTR (Cooperative Threat Reduction, tzw. program Nunna-Lugara) finansowane przez USA obejmowały m.in. wsparcie techniczne dla poprawy bezpieczeństwa arsenałów b. radzieckich, choć szczegóły tej współpracy pozostają klasyfikowane.⁶

Brytyjskie głowice nuklearne (Trident) są zaprojektowane zgodnie z wymaganiami one-point safety zbliżonymi do standardów USA — co jest logiczne, biorąc pod uwagę bliską współpracę techniczną Londynu i Waszyngtonu w dziedzinie nuklearnej, formalizowaną przez Umowę o wzajemnej obronie z 1958 roku. Francja i Chiny rozwijają swoje arsenały z mniejszą transparentnością, ale analitycy zakładają, że poważne programy jądrowe nieuchronnie dochodzą do podobnych rozwiązań technicznych — bo fizyka wypadku nuklearnego jest taka sama niezależnie od flagi na bombie.⁶

Szczególną kategorią są arsenały Indii i Pakistanu, gdzie bezpieczeństwo głowic było przedmiotem intensywnych debat analitycznych. Oba kraje przez pewien czas utrzymywały głowice w formie nie do końca zmontowanej — ze składnikami przechowywanymi osobno — co samo w sobie jest pewną formą bezpieczeństwa, ale tworzy inne ryzyka (nieoczekiwane zmontowanie, kradzież składników). Wraz z rozwojem arsenałów i wzrostem gotowości bojowej pytania o one-point safety pełnozmontowanych głowic stały się bardziej naglące.⁶

Program Stockpile Stewardship: one-point safety bez testów

Po zakończeniu zimnej wojny i moratorium testów nuklearnych ogłoszonym przez USA w 1992 roku pojawiło się nowe wyzwanie: jak utrzymać pewność co do one-point safety arsenału bez możliwości testowania? Odpowiedzią był program Stockpile Stewardship and Management (SSP), uruchomiony przez DOE w połowie lat 90.²

Program SSP opiera się na trzech filarach. Pierwszym są zaawansowane symulacje komputerowe: kody hydrodynamiczne i neutroniczne kalibrowne na danych historycznych z testów oraz uzupełniane danymi z eksperymentów nienuklearnych. Komputery używane przez LANL i LLNL do tych symulacji to regularnie jedne z najszybszych maszyn na świecie — co dobrze pokazuje, jak obliczeniożerna jest pełna symulacja wybuchu nuklearnego z uwzględnieniem materiałoznawstwa, hydrodynamiki i fizyki reaktorowej jednocześnie.^2,6

Drugim filarem są eksperymenty subkrytyczne — takie, w których materiał rozszczepialny jest poddawany silnym ciśnieniom i naprężeniom, ale w konfiguracji zaprojektowanej tak, by nie doszło do samoistnej reakcji łańcuchowej. W Nevada National Security Site takie eksperymenty (np. seria CRESCENDO i ARMANDO) pozwalają mierzyć właściwości materiałowe plutonu w warunkach ekstremalnych — co jest krytyczne dla kalibracji kodów obliczeniowych.²

Trzecim filarem są eksperymenty z plazmą gorącą i promieniowaniem rentgenowskim w National Ignition Facility (NIF) w Lawrence Livermore, gdzie warunki odpowiadające części implosji mogą być badane w skali laboratoryjnej. NIF, choć zbudowany oficjalnie z myślą o badaniach syntezy, jest też kluczową infrastrukturą SSP — bo pozwala walidować kody obliczeniowe w warunkach niedostępnych dla żadnej innej metody. Wynik programu SSP jest taki, że USA utrzymuje pewność co do one-point safety i niezawodności bojowej arsenału — ale jest to pewność oparta na pośrednich dowodach i modelowaniu, nie na bezpośrednich testach. Dla krytyków jest to niedopuszczalne ryzyko; dla zwolenników — dostatecznie solidna podstawa do utrzymania wiarygodnego odstraszania.^2,6

Niebezpieczeństwo „improwizowanego" bezpieczeństwa: lekcja z wczesnych arsenałów

Historia bezpieczeństwa nuklearnego zawiera ważne ostrzeżenie dotyczące konstrukcji prowizorycznych. Pierwsze powojenne głowice — zaprojektowane pod presją zimnowojennej konkurencji i produkcji masowej — często zawierały rozwiązania bezpieczeństwa dodane post factum do projektów zoptymalizowanych pod kątem maksymalnej sprawności. Wynikło to z naturalnego priorytetu: najpierw zbuduj broń, która działa, potem zadbaj o to, by nie działała przypadkowo.⁷

To podejście zostawiło swój ślad w wypadkach takich jak Goldsboro. Mk-39 była pod względem uzysku nuklearnego bronią niezwykle zaawansowaną jak na swój czas — ale jej filozofia bezpieczeństwa opierała się głównie na liczbie blokad elektrycznych, a nie na one-point safe geometrii rdzenia. Gdy kilka blokad zawiodło jednocześnie w warunkach katastrofy, okazało się, że ostatnią linią obrony był mechaniczny przełącznik wartości kilku dolarów.⁷

Ta lekcja zmieniła filozofię projektowania: nowoczesne głowice są projektowane z one-point safety jako wymaganiem wbudowanym od etapu wstępnego konceptu rdzenia, nie jako cechą dodaną do gotowego projektu. Bezpieczeństwo stało się równorzędnym wymaganiem projektowym obok sprawności, niezawodności bojowej i wymiarów — nie mniej, nie bardziej ważnym, lecz jednakowo fundamentalnym. Ta zmiana filozofii, choć niewidoczna dla postronnych obserwatorów, jest jednym z największych osiągnięć inżynierii nuklearnej od lat 60.^6,7

Podsumowanie: wielowarstwowość jako zasada

Najkrótsze podsumowanie wygląda więc tak: one-point safety jest wymaganiem, aby przypadkowe, silnie asymetryczne odpalenie materiałów wybuchowych nie prowadziło do dużej eksplozji jądrowej. Osiąga się to nie jedną sztuczką, lecz kombinacją geometrii rdzenia, pochłaniaczy neutronów, elementów uzbrajania, źródeł wczesnej predetonacji i dokładnego poznania hydrodynamiki materiału rozszczepialnego.^1,2,6

Dodatkowe materiały multimedialne

Na poziomie intuicyjnym najważniejsze jest jedno: dobra broń jądrowa nie ma po prostu działać wtedy, kiedy trzeba. Ma też nie działać istotnie wtedy, kiedy coś pójdzie źle.

Powiązane kalkulatory i narzędzia

• k_eff — pokazuje, jak geometria, moderator i straty neutronów wpływają na krytyczność układu.

Ćwiczenia praktyczne

Pierwsze ćwiczenie powinno polegać na porównaniu dwóch wariantów rdzenia: prostszego, bardziej konserwatywnego oraz bardziej ambitnego z pustą przestrzenią roboczą. Należy:

1. wskazać, gdzie w obu wariantach może powstać lokalna nadreaktywność przy asymetrycznym zapadnięciu,
2. porównać rolę pustki, podpór i tampera,
3. opisać, jak zadziałałaby wczesna predetonacja,
4. wypisać, które elementy projektu zmniejszają, a które zwiększają ryzyko dużego uzysku awaryjnego,
5. sformułować wniosek, dlaczego wzrost sprawności zwykle utrudnia spełnienie wymagań one-point safety.

Celem ćwiczenia jest pokazanie, że bezpieczeństwo awaryjne jest bezpośrednio związane z geometrią i hydrodynamiką samego rdzenia.

Drugie ćwiczenie powinno dotyczyć skali przemysłowej. Należy:

1. przyjąć program rozwijający nowy primary o wysokiej sprawności,
2. rozpisać, jakie dane materiałowe o plutonie i jego zachowaniu pod ciśnieniem stają się krytyczne,
3. wskazać, jakie typy doświadczeń pozwalają wykrywać problemy one-point safety,
4. porównać koszt poprawy bezpieczeństwa przez zmianę geometrii z kosztem poprawy go przez dodatkowe systemy blokad,
5. wyjaśnić, dlaczego testy awaryjne i hydronuclear są integralną częścią programu bezpieczeństwa, a nie dodatkiem po fakcie.

To ćwiczenie ma pokazać, że one-point safety jest jednocześnie problemem projektowym, materiałowym i organizacyjnym.

Przejdź do ćwiczenia interaktywnego

Powiązane artykuły

To wymaganie konstrukcyjne najlepiej porównać z zabezpieczeniami głowic jądrowych, two-point linear implosion i Demon Core - tragicznymi wypadkami w Los Alamos, bo razem pokazują projektowe, eksploatacyjne i historyczne znaczenie bezpieczeństwa krytyczności.