核電站人因可靠性模型

1、 核電站人因可靠性分析模型核電站人因可靠性分析模型張張 力力 教授教授國家自然科學(xué)基金資助項目國家自然科學(xué)基金資助項目（79870004，70271016）國防軍工技術(shù)基礎(chǔ)計劃項目國防軍工技術(shù)基礎(chǔ)計劃項目（Z012002A001，Z012005A001)湖南工學(xué)院（籌）安全工程與管理研究所人因可靠性專題講座之六人因可靠性專題講座之六1 HRA的作用2 HRA需求分析3 核電站人因可靠性分析模型4 應(yīng)用實例5 討論 本文論述了核電站人因可靠性分析的目的和需求；通過THERP、HCR模型特性的分析和研究，建立了結(jié)構(gòu)化的THERPHCR模型及相應(yīng)的人因事件分析模式和技術(shù)，并給出了一個應(yīng)用實例。最后，

2、對該模型尚需改進之處進行了討論。1 HRA的作用的作用 辨識與評價人因失誤 支持PSA2 核電站核電站HRA需求分析需求分析HRA的三個基本目標： 辨識什么失誤可能發(fā)生 這些失誤發(fā)生的概率 如何減少失誤和/或減輕其影響 完整的完整的HRA過程過程 （1）任務(wù)分析：描述運行人員在事故過程 中應(yīng)當做什么；（2）失誤分析：確定什么可能會出錯；（3）表現(xiàn)形式：以一個邏輯的和量化的結(jié) 構(gòu)，確定人與其它硬件、軟件和環(huán)境 事件共同卷入的事件的后果影響；（4）量化：采用適當?shù)哪Ｐ屯扑闶д`的 可能性；（5）失誤減少：減少人誤對風(fēng)險的影響；（6）質(zhì)量保證和資料編制：確保該評價是 有效的，且能夠作為將來設(shè)計/運 行

3、的一個信息資源。3 核電站人因可靠性分析模型核電站人因可靠性分析模型人因失誤率預(yù)測法（人因失誤率預(yù)測法（THERP） 圖圖1 簡單的簡單的HRA事件樹事件樹ab/aS F FFB/ab/A A B/A人員作業(yè)成功概率: Pr(S)=a (b/a)失敗概率: Pr(F)=a(B/a)+A(b/A)+A(B/A)行為形成因子（PSF）修正 HEP=BHEP(PSF)1(PSF)2 相關(guān)性修正 )()|(,. 520)(191)|(,. 47)(61)|(,. 32)(1)|(,. 21)/(,. 1BPABPZDBPABPLDBPABPMDBPABPHDABPCD人的認知可靠性預(yù)測法（人的認知可靠

4、性預(yù)測法（HCR）HCR方法的兩個假定 1 所有人員行為類型可分為三類： 技能型、規(guī)則型、知識型； 常規(guī) 操作 操作員清楚地理解 過渡工況或操作內(nèi)容 不需要 規(guī)程 規(guī)程覆蓋 了情景 操作員 理解規(guī)程 操作員對規(guī)程 使用熟悉 人的行為 類型 技能型 規(guī)則型 知識型 技能型 技能型 規(guī)則型 規(guī)則型 知識型 知識型 圖圖2 HCR行為類型辨識樹行為類型辨識樹 2 每一行為類型的失誤概率僅與允許時間t 和執(zhí)行時間T1/2的比值有關(guān)，且遵從三參 數(shù)的威布爾分布 ：T1/2 =T1/2，n（1+K1）（1+K2）（1+K3） t：允許操縱員進行響應(yīng)的時間 T1/2：操縱員執(zhí)行時間 T1/2，n：一般狀況的

5、執(zhí)行時間 K1：操作經(jīng)驗； K2：心理壓力；K3：人機界面； 、：操作人員行為類型參數(shù) 2/1/Ttep表表1 參數(shù)參數(shù) 、 、 選取表選取表 行為類型 熟練（SKILL）規(guī)則（RULE）知識（KNOWLEDGE） 0.407 0.601 0.791 1.2 0.9 0.8 0.7 0.6 0.5表表2 HCR模型的行為形成因子及其取值模型的行為形成因子及其取值操作員經(jīng)驗(K1) 1.專家，受過很好訓(xùn)練 -0.22 2.平均訓(xùn)練水平 0.00 3.新手，最小訓(xùn)練水平 0.44 心理壓力(K2) 1.嚴重應(yīng)激情景 0.44 2.潛在應(yīng)激情景/高工作負荷 0.28 3.最佳應(yīng)激情況/正常 0.00

6、 4.低度應(yīng)激/放松情況 0.28 人機界面（K3） 1.優(yōu)秀 -0.22 2.良好 0.00 3.中等（一般） 0.44 4.較差 0.78 5.極差 0.92 THERP+HCR模式模式THERP、HCR各自解決問題的側(cè)重點 THERP: 與時間無關(guān)的序列動作 HCR: 與時間密切相關(guān)的認知行為 核電站人員的實際行為：認知判斷+操作 理想模式： THERP+HCR THERPHCR建模規(guī)則建模規(guī)則（1）HRA事件樹建模規(guī)則事件樹建模規(guī)則 A 對于實現(xiàn)同一功能且在同一功能分區(qū)的 同類型操作行為，視為完全相關(guān)的操作。 B 不考慮操作者對自身行為的恢復(fù)。 C 考慮其他對操作者操作行為有監(jiān)督作用

7、的人員的恢復(fù)。 D 根據(jù)操作界面的狀況，考慮操作中有選 錯與做錯兩種可能。 E 對于執(zhí)行一系列多種類型的操作行為，根 據(jù)電站條件假設(shè)取值。 F 對于規(guī)程中描述執(zhí)行A操作，A失效，執(zhí) 行 B，B失效，執(zhí)行C的動作序列， 僅考 慮A 操作的失誤，不考慮繼續(xù)執(zhí)行B、C操 作的恢復(fù)。 G 一般狀況下，不考慮操作人員忽略規(guī)程中 某一項操作的概率。 H 操作失誤概率數(shù)據(jù)主要來源于UREG/CR- 1278表2012（主控室內(nèi)操作失誤）和表 2013（現(xiàn)場操作失誤）。（2）相關(guān)性原則）相關(guān)性原則 一回路操縱員與二回路操縱員之間不考慮對對方操作或指令的監(jiān)督作用，只考慮值長對兩名操縱員操作的監(jiān)督作用。且操縱員與

8、值長之間的相關(guān)度為低。在副值長進行操作時，操縱員與副值長之間的相關(guān)度為高。事故后現(xiàn)場技術(shù)員也將按操縱員的指令參與有關(guān)操作，操縱員與現(xiàn)場技術(shù)員之間的相關(guān)度為中等。安全工程師在使用SPI規(guī)程期間不對主控室各人員的具體的操作行為有監(jiān)督作用，而只是按規(guī)程對安全參數(shù)進行監(jiān)測。但在RRA連接狀態(tài)下或無相應(yīng)規(guī)程使用的情況下，則認為安全工程師對主控室內(nèi)重要的操作有監(jiān)督作用，且相關(guān)度為高。（3）名義）名義HEP修正原則修正原則A 在全廠斷電、ATWT和執(zhí)行U規(guī)程后所進 行的操作失誤概率，取其名義值的5倍。B 其它事故狀況下取名義值的2倍。C 通過模擬盤的信號燈、降溫速率、閥門 開度指示裝置、流量顯示等多種途徑，

9、 監(jiān)督人員可對操作人員的行為進行有效監(jiān) 督，并據(jù)此發(fā)現(xiàn)操作人員的失誤。由于獲 取該信息的途徑較多，因此，監(jiān)督人員未 發(fā)現(xiàn)操作人員的操作失誤的概率可依據(jù) NUREG/CR-1278 取定為310-3。（4）人員行為類型判斷規(guī)則）人員行為類型判斷規(guī)則 一般情況依據(jù)圖2判斷，但進入了事故規(guī)程或報警后的診斷行為，從保守角度考慮均視為規(guī)則型行為。ATWT等情況下無相應(yīng)規(guī)程可用，需要根據(jù)個人的經(jīng)驗、知識進行診斷，視為知識型行為。（5）事件處理中時間劃分規(guī)則）事件處理中時間劃分規(guī)則 事件處理中允許操縱員響應(yīng)的時間分為：A 事件發(fā)生到引發(fā)可引導(dǎo)操縱員進入該事件處 理規(guī)程（DEC、A0）或報警卡的報警信號的 時

10、間。B 操縱員利用事故規(guī)程進行一系列的診斷，直 至作出具體操作行為的診斷時間。C 有關(guān)人員（操縱員、副值長或現(xiàn)場技術(shù)員） 完成事件成功準則所要求的操作的執(zhí)行時間。（6）對模型中有關(guān)修正因子的確定）對模型中有關(guān)修正因子的確定安全工程師的診斷行為： K1=0（平均培訓(xùn)水平） K2=0.44（需進入SPU/U規(guī)程，有 極高的心理壓力） 或K20.28（執(zhí)行SPI規(guī)程，但不需 進入SPU/U規(guī)程，有較 高的心理壓力） K3=0（人機界面良好）其他人員： 操作經(jīng)驗：平均培訓(xùn)水平，K1=0 心理應(yīng)激水平：A工況、全廠斷電、 ATWT事件狀況下， K2=0.44 ； 其它事故狀況， K2=0.28 人機界面

11、：良好，K3=0人因事件分析模式和技術(shù)工程應(yīng)用的需求：工程應(yīng)用的需求： 可操作性 資料完備性 可追溯性 （1） 事件背景 刻劃事件發(fā)生前后系統(tǒng)的狀態(tài)和為保證系統(tǒng)功能而要求操縱員執(zhí)行的相應(yīng)動作以及事件后果。（2） 事件描述 當值人員根據(jù)規(guī)程對與事故相關(guān)的關(guān)鍵系統(tǒng)或設(shè)備的狀態(tài)進行判斷以及進行的相應(yīng)的操作行為和事故演進及處理過程。（3） 事件成功準則 為確保事件成功所進行的關(guān)鍵性操作。（4）提問清單及調(diào)查與訪談記錄表 根據(jù)對事故進程的理解，列出需要了解或確認的問題，主要包括操縱員、安全工程師對事件進程的理解，運行人員所用規(guī)程及規(guī)程的易用性，事件進程中所需的操作步驟、條件及關(guān)系，操作現(xiàn)場的人-機-環(huán)境

12、系統(tǒng)狀況，人員間相關(guān)性及操作步驟間的相關(guān)性，事故可能造成的后果及運行人員對其嚴重程度的理解（心理壓力），允許時間、實際診斷時間、操作時間、一般執(zhí)行時間等。（5）調(diào)查、訪談結(jié)論 事件的進程、任務(wù)分析、人員每一動作的意義、動作目的、成功準則、系統(tǒng)人-機接口的狀況、系統(tǒng)狀態(tài)、運行人員的心理狀況以及THERP和HCR模式所需的各類信息和數(shù)據(jù)（6） 事件分析 事件過程分析：根據(jù)事件進程將事件劃分 為幾個階段； 建模分析：對每一階段的人員行為進行初步分 析，決定采用何種模式計算其失誤 概率。（7） 建模與計算 建模分析 定量分析模型 數(shù)學(xué)計算系統(tǒng)情況及有關(guān)假設(shè)系統(tǒng)情況及有關(guān)假設(shè) 對電站人員配備情況、人員之

13、間的工作關(guān)系和緊張情況、規(guī)程使用情況等作出統(tǒng)一約定和假設(shè)。另外，基于熱工水力計算，需給出各事件的有關(guān)時間參數(shù)。HRA實例1: SGTR（蒸汽發(fā)生器傳熱管破裂） 核電廠一回路和二回路系統(tǒng)示意圖 反應(yīng)堆安全殼廠房蒸汽發(fā)生器卸壓閥安全殼噴淋裝置至安全殼噴淋泵釋放閥至汽輪機卸壓器穩(wěn)壓器壓力殼安全殼地坑N2安注泵至上充泵至容積控制箱主冷卻劑泵冷冷段段熱熱段段給水泵輔助給水泵一回路系統(tǒng)二回路系統(tǒng)安注箱事故序列建模事故序列建模： 事件樹建模 故障樹建模 SGTR功能事件樹 蒸 汽 發(fā) 生 器傳 熱 管 破 裂反 應(yīng) 性 控 制排 出 堆 芯 衰 變 熱 和儲 存 熱保 持 反 應(yīng) 堆 冷 卻 劑裝 量SGT

14、RRCRCDHMRCI1234okcdcdcdMRCIRCDIRC事件樹分析事件樹分析 電廠響應(yīng)分析 操縱員響應(yīng)分析 事件樹題頭 事件樹的展開 事件序列： 11個 SGTR事故序列事件樹 SGTRRTAFWSGTR/ISDTPEDTPECAHPIRHR1234567891011OKOKCDCDCDOKCDCDCDCDCDDTPEDTPEDTPE-RHRDTPE-HPIDTPE-DTPECASGTR/ISSGTR/IS-RHRSGTR/IS-HPISGTR/IS-DTPECAAFWRTNo.Conseq.Code蒸汽發(fā)生器傳熱管斷裂反應(yīng)堆保護系統(tǒng)輔助給水系統(tǒng)SG隔離E3RCS降溫降壓ECA-3R

15、CS降溫降壓ECA-3高壓安注系統(tǒng)停冷系統(tǒng)A系統(tǒng)故障樹分析系統(tǒng)故障樹分析 SGTR 人因事件在PSA模型中基本位置 至圖6.3事件樹 A 點SGTR/ISSGTR時蒸汽發(fā)生器的隔離失效BZZQ-0001CC9FOEUPS1BZZQ-0001VTAFC1#主蒸汽隔離閥的支持系統(tǒng)失效SGIS-1E-3-SG/IS-HE1主蒸汽隔離閥本體不能關(guān)SGTR時蒸汽發(fā)生器的隔離人因失誤1主蒸汽隔離閥控制回路失效重要儀表電源段失電SGTR人因事件分析人因事件分析 SGTR人因事件：蒸汽發(fā)生器傳熱管破裂（SGTR）后，操縱員未能在20分鐘內(nèi)隔離破管蒸汽發(fā)生器 事件背景 事件描述：蒸汽發(fā)生器傳熱管破裂進入E-0規(guī)

16、程執(zhí)行至23步，蒸汽發(fā)生器抽氣器排汽放射性N-16高報或蒸汽發(fā)生器排污水放射性高報執(zhí)行E-3規(guī)程至第3步識別破管的蒸汽發(fā)生器關(guān)閉破管蒸汽發(fā)生器主蒸汽隔離閥隔離破管蒸汽發(fā)生器 事件成功準則：在20分鐘內(nèi)，操縱員調(diào)整蒸汽發(fā)生器的大氣釋放閥開啟定值至7.0Mpa,關(guān)閉破管蒸汽發(fā)生器主蒸汽隔離閥和主給水閥 調(diào)查與訪談結(jié)論調(diào)查與訪談結(jié)論 根據(jù)熱工水力學(xué)計算，蒸汽發(fā)生器傳熱管斷裂，操縱員在分鐘內(nèi)隔離破管蒸汽發(fā)生器 根據(jù)系統(tǒng)假設(shè)，SGTR引發(fā)報警信號的時間T0為0分鐘 根據(jù)訪談，完成從進入E0規(guī)程至執(zhí)行到E-3規(guī)程隔離破管蒸汽發(fā)生器一般執(zhí)行時間為4分鐘 隔離破管蒸汽發(fā)生器的操作包括：調(diào)整破管蒸汽發(fā)生器的大氣

17、釋放閥開啟設(shè)定值至7.0Mpa；關(guān)閉破管蒸汽發(fā)生器的主蒸汽隔離閥及其旁路閥；關(guān)閉破管蒸汽發(fā)生器的主給水閥（隔離破管蒸汽發(fā)生器的給水） 隔離破管蒸汽發(fā)生器的一般操作時間Ta為2分鐘 根據(jù)系統(tǒng)邊界條件和假設(shè)，操縱員在此事故處理過程總的人員行為為規(guī)則型行為 根據(jù)系統(tǒng)假設(shè)，操縱員均經(jīng)過一般水平的培訓(xùn) 根據(jù)調(diào)查訪談，在此事故狀況下，操縱員的心理壓力較高 根據(jù)系統(tǒng)假設(shè)，系統(tǒng)人機界面狀況為一般。 反應(yīng)堆操作員負責隔離破管蒸汽發(fā)生器的操作行為，值長對其操作行為的正確性負監(jiān)督職責，其相關(guān)度為中事件分析事件分析事件分為三個主要階段 操縱員發(fā)現(xiàn)N-16報警信號進入E-0規(guī)程（覺察階段） 操縱員由E0規(guī)程進入執(zhí)行至E

18、-3規(guī)程作出需隔離破管SG的診斷（診斷階段） 操縱員按規(guī)程指引，隔離破管SG（操作階段） 建模分析建模分析 SGTR人因事件屬于C類人誤行為。響應(yīng)行動序列失誤概率 根據(jù)操縱員培訓(xùn)及事故所觸發(fā)的報警信號的重要性、明顯性， p1可認為非常小。 操縱員進入E0規(guī)程后，操縱員依次按E0規(guī)程至E-3規(guī)程進行操作。根據(jù)調(diào)查訪談結(jié)論，人的行為類別為規(guī)則型，其失誤概率p2可用HCR模型計算。 操縱員隔離破管SG，p3根據(jù)HRA人因事件樹進行計算321211321)1)(1 ()1 (ppppppPPPP 建模與計算建模與計算 察覺失誤概率 診斷失誤概率 T1/2，n = 4s，Ta = 2s， K1=0， K

19、2=0.28，K3=0.44 =0.601,=0.9,=0.6 (調(diào)查訪談結(jié)論6) p2 = 7.14010-2 41101p21/Td2Tep 44.1728. 1202028. 010acdTTTT 37. 7312111, 2/12/1KKKTTn 操作失誤概率操作失誤概率操縱員隔離破管SG，需要完成三個重要的序列動作：a.調(diào)整大氣釋放閥至定值7.0Mpab.關(guān)閉破管SG主蒸汽隔離閥 c.關(guān)閉破管SG主給水閥 操縱員隔離破管蒸汽發(fā)生器HRA事件樹a 1b 1c 1a 2b 2c 2A 1A 2F 1B 1B 2C 1C 2SF 2F 3 SGTR整體人因事件失誤率為 443310268.

20、 410270. 410166. 1321FFFp321211321)1)(1 ()1 (ppppppPPPP 32424410020. 2)10140. 71)(1011 (10140. 7)1011 (101310020. 2210347. 7HRA 實例2 事件名稱事件名稱 RRA中破口，操縱員未及時投入低壓安注且打開GCTa閥。事件背景事件背景 C工況下，RRA系統(tǒng)出現(xiàn)中破口，引起一回路壓力下降，安全殼壓力因破口漏流而上升，穩(wěn)壓器低水位LOW3或安全殼高壓HI-2報警引導(dǎo)操縱員進入A10規(guī)程。在A10規(guī)程里，要求操縱員在19分鐘內(nèi)完成啟動安注以恢復(fù)一回路水量，并打開所有可用蒸汽發(fā)生器的

21、GCTatm閥。若操作員未成功完成該任務(wù)，且值長及STA又未及時糾正，則將導(dǎo)致堆熔。事件描述事件描述 C工況，RRA系統(tǒng)中破口 放射性活度高報警 引導(dǎo)操縱員進入DEC規(guī)程 安全殼高壓HI-2信號報警或穩(wěn)壓器低水位LOW3報警 操縱員進入A10規(guī)程 一回路操縱員手動啟動RPA058TO、RPB058TO兩列低壓安注并通知二回路操縱員開啟GCT131、132、133VV閥。事件成功準則事件成功準則 在事故發(fā)生19分鐘內(nèi)成功啟動RPA058TO、RPB058TO兩列安注并將蒸汽發(fā)生器通大氣閥GCT131、132、133VV開至全開。調(diào)查與訪談結(jié)論調(diào)查與訪談結(jié)論 1根據(jù)熱工水力學(xué)計算，操縱員需在T1=

22、19分鐘內(nèi)完成手動啟動兩列安注并開啟三個GCT閥。 2根據(jù)電站基本情況及假設(shè)，操縱員經(jīng)過平均水平訓(xùn)練（有執(zhí)照且有6個月操作經(jīng)驗）。 3根據(jù)電站基本情況及假設(shè)，操縱員在C工況下有一定的心理壓力，其修正因子取0.28。 4根據(jù)熱工水力學(xué)計算，由事故發(fā)生到引發(fā)放射性活度高HI-2級報警的時間T2為1分鐘。 5根據(jù)電站基本情況及假設(shè)，操縱員執(zhí)行DEC規(guī)程的時間T3為4分鐘。 6由于操縱員進入A10規(guī)程后所采取的第一個行為就是根據(jù)安全殼壓力高信號作出投入安注并開啟GCTatm閥的診斷，操縱員在A10規(guī)程中的執(zhí)行時間很短，可忽略。 7一回路操縱員完成手動啟動兩列安注動作的操作時間為T4為1分鐘，二回路操縱

23、員完成GCTatm閥門的開啟時間T5為1分鐘。 8一回路操縱員與二回路操縱員同時進行各自的操作行為，故事故處理中總操作時間以1分鐘計算。事件分析事件分析（1） 該事件可分為三個階段：該事件可分為三個階段： 1）操縱員由放射性活度高HI-2級報警進入DEC規(guī)程診斷。 2） 操縱員由DEC規(guī)程引導(dǎo)進入A10規(guī)程，并作出手動啟動兩列安注與開啟所有GCT閥的判斷。 3）操縱員手動啟動兩列安注并將GCT閥開至全開。（2 2）建模分析：）建模分析： 1）根據(jù)報警信號特征及操縱員均經(jīng)過良好的培訓(xùn)，在此認為操縱員未發(fā)現(xiàn)DEC報警并進入DEC規(guī)程的概率P1非常小; 2）操縱員在執(zhí)行DEC、A10規(guī)程的判斷與操作

24、均為基于操作規(guī)程的行為，可以用HCR模式計算其失誤概率P2; 3）一回路操縱員按操作規(guī)程開啟手動安注按鈕的同時，二回路操縱員開啟三個GCT閥，其操作行為屬于典型的序列操作,其操作失敗概率P3可用THERP方法求出。 建模與計算建模與計算 事件失誤率事件失誤率P=P1+P2+P3 1根據(jù)事件分析中2.1），根據(jù)電站基本情況及假定得 P1=1.0010-42. 式中, 允許操作員進行診斷的時間 t=T1-T2-T5（1+0.28）=19-1-11.28=16.72min 平均診斷時間T1/2，n =T3=4min K1=0 （平均訓(xùn)練水平） K2=0.28 （調(diào)查訪談結(jié)論3） K3=0 （人機界面良好） T1/2=T1/2，n (1+K1) (1+K2) (1+K3)=5.12min =0.601,=0.9,=0.6 (規(guī)則型) 代入(1)式,得P2=2.1910-2 2/1/Ttep3操縱員啟動低壓安注和開啟GCTatm，其HRA事件樹如下圖:A1a2b2a1b1B1B2A2F2SA3a3b3B3F1 其中： a1 操縱員成功完成安注 A1操縱員未