切尔诺贝利

1986 年 4 月 26 日凌晨，苏联境内、今天乌克兰境内的切尔诺贝利核电站 4 号机组发生灾难。爆炸与火灾破坏了反应堆，大量放射性物质进入环境。¹ 在曼哈顿计划的故事里，人们努力使核反应能够持续；到了这篇故事，我们需要问：一个能够运行的系统，为什么会进入无法控制的状态？调查者又怎样证明自己的解释？

这不是一篇寻找唯一坏人的故事。事故涉及物理设计、运行状态、操作、规程、风险信息和监管。更重要的是，1986 年的初步国际报告并不是最后的解释：1992 年 INSAG-7 根据后来获得的资料作了修订。² 这个修订过程，比一句“人类应该尊重科学”更能说明科学研究怎样工作。

1 那晚的试验究竟想测什么

试验关心的是供电问题：如果正常供电中断，汽轮发电机凭借旋转惯性继续运转的短暂阶段，是否能给相关设备提供电力，衔接备用电源。它本来是在检验一项安全相关能力，却在实际运行条件下走向灾难。³

这适合连接高中物理的转动能量：

\[E_{\mathrm{rot}}=\frac12I\omega^2,\qquad P=-\frac{dE_{\mathrm{rot}}}{dt}.\]

如果负载持续取走能量，转速就会下降。能够转多久，取决于储存的能量、损耗和负载；有电压也不等于能按要求提供足够功率。试验必须规定合格标准、运行范围和停止条件。

研究设计 安全试验也需要证明自己安全

学生常把“进行试验”理解成勇敢地试一下。工程试验需要先回答：为什么一定要在真实系统上做；能否先做部件实验或模拟；试验期间哪些保护仍然有效；条件改变以后谁能决定暂停；原来的许可是否仍适用。

这是一项可以迁移到学校实验的原则。验证电路是否正常，不应靠让元件承受无法预测的电流；检验材料强度，不应让旁观者进入失效区。试验的研究目标与试验的边界条件，需要同时写进方案。

2 反应堆里 水不只有一种作用

切尔诺贝利采用 RBMK 类型：石墨在其中承担重要的中子慢化作用，水承担冷却等作用，也会吸收中子。⁴ 不能把所有核电站都理解成同一台“烧开水的机器”。反应堆的材料和布局会改变反馈机制。

在相关运行状态下，水中蒸汽空泡增加、吸收中子的水减少，可能使反应性上升。功率上升又可能促进更多蒸汽产生，形成增强自身变化的反馈。⁵

知识展开 正反馈怎样失去稳定

反馈的“正”“负”描述对原有变化的作用方向。负反馈倾向于抑制偏离，正反馈倾向于放大偏离；它们不分别等于“好”“坏”。扩音器啸叫、雪崩和市场中的某些过程也可以形成正反馈。

课堂可以使用一个远比反应堆简单的线性模型：

\[\frac{dx}{dt}=ax+u(t).\]

\(x\) 是相对参考状态的偏离，\(u\) 是外部扰动。停止扰动后，若 \(a<0\)，偏离逐渐衰减；若 \(a>0\)，偏离继续增大。真实系统还会有延迟、多个状态变量、非线性和上限。因此互动中的指数曲线只用于理解稳定性，不用于计算当晚的功率或爆炸时间。

另一个必须保留的物理关系是热量收支：

\[C\frac{dT}{dt}=P_{\mathrm{generated}}-P_{\mathrm{removed}}.\]

即使平均功率看起来不大，局部产热和冷却不匹配也可能成为问题。“仪表显示的平均值”和“每个部位承受的状态”，不是同一个量。这是为什么空间分布会进入严肃的事故分析。

3 停堆动作为什么还需要分析

正常直觉是：插入吸收中子的控制棒，就会抑制反应。事故前这种控制棒还包含石墨置换段；在某些初始位置与堆芯状态下，开始插入时，它会先改变局部的水和石墨分布，可能短暂增加局部反应性。⁶ 这不能简化成“石墨总是使反应堆爆炸”，也不能画成“整根控制棒都是石墨”。

当学生理解这个机制后，再问一个工程问题：被称为紧急保护的操作，是否在全部许可状态下都能朝安全方向作用？如果不能，哪些状态必须被设计排除、被仪器识别并被操作人员知道？

这里应当区分机制与动机。事故记录中能找到某个按钮被按下的时间，不意味着我们就知道按下它时每个人脑中的想法。INSAG-7 附录中的调查说明，对按下紧急停堆按钮的原因存在无法确定之处。⁷ 讲述可以保留悬念，却不应替历史人物编造确定的内心独白。

4 调查者怎样从碎片重建几十秒

事故过后，没有人能重新运行原来的系统，让一切再发生一次。调查需要把运行记录、自动采集信号、设备损伤、人员证词和物理模型拼接起来。

数据与误差展开 时间分辨率会限制结论

若某仪器每 5 分钟记录一次，就不能直接用它确定几秒内事件的先后。INSAG-7 的附录明确讨论了不同系统的记录间隔、时钟与同步问题。⁷ 这为高中课堂提供了一个非常实际的概念：采样间隔、读数精度与时钟误差，是不同的不确定度。

可以给两组学生相同的合成事件序列，一组每秒看一个点，另一组每 10 秒看一个点。让他们分别判断“流量下降”和“功率上升”谁先发生。若证据不足，正确答案可以是“这组记录无法确定”。不确定性应写进结论，不应被流畅的故事掩盖。

调查中还需要做敏感性分析：改变有不确定性的初始状态，结论是否仍然成立？哪些机制是多种模型共同需要的，哪些细节依赖特定假设？这把事故调查与现代科研的模型比较联系起来。

5 一个报告 为什么六年后需要重写

1986 年 INSAG-1 依据当时得到的苏联资料讨论事故。1992 年 INSAG-7 纳入后续信息，把更多注意力放到设计安全特征和监管条件，同时保留对不当操作的批评。其结论指向设计、人员行为以及安全和监管框架的共同问题。²

这不是把责任从一群人简单移给另一群人。最有价值的变化是问题扩大了：操作规程是否充分；已知危险是否传达到现场；系统是否容许进入难以控制的状态；保护装置是否适合这种状态；负责评估的人是否独立。

原始报告、后来的技术修订与影视作品应该分层阅读。影视法庭场景能帮助观众理解冲突；课堂里的机制和结论，应回到可定位的报告段落。尤其不能把“有人违反了规定”直接当作“违反规定足以解释整个事故”。每项行为需要检查它的实际因果作用。

课堂停顿 什么变化才算修正了理论

让学生比较两份由教师概括的解释：第一份强调操作者，第二份加入设计与组织条件。要求他们指出：新解释需要哪些新增证据？它解释了什么旧解释没有解释的现象？哪些旧结论仍然成立？如果只有换一个责备对象，解释力有没有增加？

这里可以与裂变发现比较：科学知识既会通过新实验扩展，也会通过重新审读旧材料而修订。调查的诚实性，体现在愿不愿意公开改变此前的判断。

6 Legasov 的位置和整个调查共同体

Valery Legasov 是进入这个故事的一个人物入口。IAEA 的存档会议资料回顾了他与其他苏联专家在 1986 年维也纳国际讨论中的作用。⁸ 但事故知识来自许多人的工作，包括运行人员、设计者、调查机构、国际专家、医疗团队与后来的研究者。

这让“科学家的人文精神”成为一个具体问题：一个人是否愿意让公众知道危险，是否愿意修正曾经支持的解释，以及是否把制度改进看得比个人形象更重要。对于 Legasov 的个人经历和动机，需要分别依据档案、回忆和传记；本篇不把电视剧中的独白或法庭发言当作历史现场记录。

科学家的勇气值得讲；同时要问，为什么公众安全需要依赖少数人付出极大代价才能说出问题。稳定的信息渠道、能够追问设计者的监管、受保护的异议程序，才能使发现问题成为日常工作。

7 辐射释放以后 人面对的是不同时间尺度

事故破坏以后，放射性物质可以通过空气沉降、食物和水进入环境与人体。Pripyat 居民于 4 月 27 日开始撤离；撤离不仅改变暴露，也改变了人的家庭、工作和社区生活。⁹¹⁰

“放射性”不是一个统一的危险值。碘-131 的物理半衰期约 8 天，铯-137 约 30 年。¹¹ 早期需要关注快速变化的释放、食物途径与器官暴露，后期则涉及持久污染、土地使用与长期监测。

\[N(t)=N_0\,2^{-t/T_{1/2}},\qquad A=\lambda N,\qquad \lambda=\frac{\ln 2}{T_{1/2}}.\]

物理衰变只是环境变化的一部分。迁移、清理、摄入和生物排出也会改变人接触的数量。对于持续输入的体系，不能直接套用“一个封闭样品只剩一半”的公式。

知识展开 Bq Gy Sv 各自在回答什么

这些区别来自辐射计量与防护定义。¹² 可以用“源有多活跃”“能量进入了哪里”“怎样比较防护影响”三层问题帮助学生理解。电离辐射能够损伤细胞中的分子；人体能量总量很小，也不意味着微观损伤可以忽略。

8 健康结论 怎样既严肃又准确

UNSCEAR 记载，现场工作人员与应急人员中有 134 人发生急性放射病，其中 28 人在最初数月死亡。¹³ 这个数字具有明确人群和时间范围；它不能改名为“事故全部死亡人数”。

另一方面，暴露时为儿童或青少年的群体中，后来的甲状腺癌增加与放射性碘暴露有明确研究联系。¹⁴ 若要分析长期影响，需要重建剂量、定义随访人群、比较背景发病、说明筛查强度和诊断变化。观测到的病例总数、归因于暴露的病例估计和预测未来超额死亡，属于三种不同的统计陈述。

WHO 2005 年材料中的约 4,000 例潜在最终死亡，是针对较高暴露群体的模型估计；它不是已经逐个确认的死亡名单，也不是覆盖所有地区与所有人的无条件总数。¹⁵ 课堂若呈现这个数字，应同时显示人群范围、估计性质和发表年代。

同样需要认真对待的是撤离、失去生计、污名和对健康的长期焦虑。WHO 将这些心理与社会影响纳入事故后健康工作。¹⁰ 它们不是因为“没有足够放射性剂量”就可以忽略的痛苦。认真区分机制，是为了选择有效的帮助，并不是为了把人的遭遇化成一个更小的数字。

研究设计 长期队列怎样回答问题

让学生设计一项假想研究：按暴露年龄和估计剂量分组，统一检查方法，在多个时间点随访；记录流动、失访与其他因素。再问，如果高暴露组检查得更频繁，会怎样影响“发现了多少病例”？若参与者迁走，应不应该当作没有患病？这些问题与 Patterson 建立自然背景的工作相连：没有适当的比较基准，就很难解释一个数值意味着什么。

9 安全文化 怎样落到可以检查的行动上

IAEA 对事故的后续讨论强调安全文化和跨国学习。¹⁶ “安全第一”只有成为具体行动才有意义：危险状态能否被识别；停下试验会不会受到惩罚；问题是否传到能够改变设计的人那里；近失事故是否被记录；规程有没有明确解释为什么存在限制。

可以把事故的因果图分成四层：触发事件、物理放大机制、失效的保护、允许这些条件相遇的组织背景。只解决最靠近灾难的一项，可能留下其他路径。例如培训能够改善操作，无法独自消除保护装置的设计缺陷；改装设备也不能保证风险信息以后总能公开。

下一篇挑战者号会让学生看到另一个领域中的同类问题：系统在多次运行后仍然存在异常，而组织怎样解释异常，将改变它未来面对的风险。