人因可靠性專題講座之六核電站人因可靠性模型分析

1、 核電站人因可靠性模型分析人因可靠性專題講座之六1 HRA的作用2 HRA需求分析3 核電站人因可靠性分析模型4 應用實例5 討論 本文論述了核電站人因可靠性分析的目的和需求；通過THERP、HCR模型特性的分析和研究，建立了結構化的THERPHCR模型及相應的人因事件分析模式和技術，并給出了一個應用實例。最后，對該模型尚需改進之處進行了討論。1 HRA的作用 辨識與評價人因失誤 支持PSA2 核電站HRA需求分析HRA的三個基本目標： 辨識什么失誤可能發(fā)生 這些失誤發(fā)生的概率 如何減少失誤和/或減輕其影響 完整的HRA過程 （1）任務分析：描述運行人員在事故過程 中應當做什么；（2）失誤分析

2、：確定什么可能會出錯；（3）表現(xiàn)形式：以一個邏輯的和量化的結 構，確定人與其它硬件、軟件和環(huán)境 事件共同卷入的事件的后果影響；（4）量化：采用適當?shù)哪Ｐ屯扑闶д`的 可能性；（5）失誤減少：減少人誤對風險的影響；（6）質量保證和資料編制：確保該評價是 有效的，且能夠作為將來設計/運 行的一個信息資源。3 核電站人因可靠性分析模型人因失誤率預測法（THERP） 圖1 簡單的HRA事件樹ab/aS F FFB/ab/A A B/A人員作業(yè)成功概率: Pr(S)=a (b/a)失敗概率: Pr(F)=a(B/a)+A(b/A)+A(B/A)行為形成因子（PSF）修正 HEP=BHEP(PSF)1(PS

3、F)2 相關性修正 人的認知可靠性預測法（HCR）HCR方法的兩個假定 1 所有人員行為類型可分為三類： 技能型、規(guī)則型、知識型； 圖2 HCR行為類型辨識樹 2 每一行為類型的失誤概率僅與允許時間t 和執(zhí)行時間T1/2的比值有關，且遵從三參 數(shù)的威布爾分布 ：T1/2 =T1/2，n（1+K1）（1+K2）（1+K3） t：允許操縱員進行響應的時間 T1/2：操縱員執(zhí)行時間 T1/2，n：一般狀況的執(zhí)行時間 K1：操作經(jīng)驗； K2：心理壓力；K3：人機界面； 、：操作人員行為類型參數(shù) 表1 參數(shù)、選取表 行為類型 熟練（SKILL）規(guī)則（RULE）知識（KNOWLEDGE） 0.407 0.

4、601 0.791 1.2 0.9 0.8 0.7 0.6 0.5表2 HCR模型的行為形成因子及其取值操作員經(jīng)驗(K1) 1.專家，受過很好訓練 -0.22 2.平均訓練水平 0.00 3.新手，最小訓練水平 0.44 心理壓力(K2) 1.嚴重應激情景 0.44 2.潛在應激情景/高工作負荷 0.28 3.最佳應激情況/正常 0.00 4.低度應激/放松情況 0.28 人機界面（K3） 1.優(yōu)秀 -0.22 2.良好 0.00 3.中等（一般） 0.44 4.較差 0.78 5.極差 0.92 THERP+HCR模式THERP、HCR各自解決問題的側重點 THERP: 與時間無關的序列動作

5、 HCR: 與時間密切相關的認知行為 核電站人員的實際行為：認知判斷+操作 理想模式： THERP+HCR THERPHCR建模規(guī)則（1）HRA事件樹建模規(guī)則 A 對于實現(xiàn)同一功能且在同一功能分區(qū)的 同類型操作行為，視為完全相關的操作。 B 不考慮操作者對自身行為的恢復。 C 考慮其他對操作者操作行為有監(jiān)督作用 的人員的恢復。 D 根據(jù)操作界面的狀況，考慮操作中有選 錯與做錯兩種可能。 E 對于執(zhí)行一系列多種類型的操作行為，根 據(jù)電站條件假設取值。 F 對于規(guī)程中描述執(zhí)行A操作，A失效，執(zhí) 行 B，B失效，執(zhí)行C的動作序列， 僅考 慮A 操作的失誤，不考慮繼續(xù)執(zhí)行B、C操 作的恢復。 G 一般

6、狀況下，不考慮操作人員忽略規(guī)程中 某一項操作的概率。 H 操作失誤概率數(shù)據(jù)主要來源于UREG/CR- 1278表2012（主控室內(nèi)操作失誤）和表 2013（現(xiàn)場操作失誤）。（2）相關性原則 一回路操縱員與二回路操縱員之間不考慮對對方操作或指令的監(jiān)督作用，只考慮值長對兩名操縱員操作的監(jiān)督作用。且操縱員與值長之間的相關度為低。在副值長進行操作時，操縱員與副值長之間的相關度為高。事故后現(xiàn)場技術員也將按操縱員的指令參與有關操作，操縱員與現(xiàn)場技術員之間的相關度為中等。安全工程師在使用SPI規(guī)程期間不對主控室各人員的具體的操作行為有監(jiān)督作用，而只是按規(guī)程對安全參數(shù)進行監(jiān)測。但在RRA連接狀態(tài)下或無相應規(guī)程

7、使用的情況下，則認為安全工程師對主控室內(nèi)重要的操作有監(jiān)督作用，且相關度為高。（3）名義HEP修正原則A 在全廠斷電、ATWT和執(zhí)行U規(guī)程后所進 行的操作失誤概率，取其名義值的5倍。B 其它事故狀況下取名義值的2倍。C 通過模擬盤的信號燈、降溫速率、閥門 開度指示裝置、流量顯示等多種途徑， 監(jiān)督人員可對操作人員的行為進行有效監(jiān) 督，并據(jù)此發(fā)現(xiàn)操作人員的失誤。由于獲 取該信息的途徑較多，因此，監(jiān)督人員未 發(fā)現(xiàn)操作人員的操作失誤的概率可依據(jù) NUREG/CR-1278 取定為310-3。（4）人員行為類型判斷規(guī)則 一般情況依據(jù)圖2判斷，但進入了事故規(guī)程或報警后的診斷行為，從保守角度考慮均視為規(guī)則型行

8、為。ATWT等情況下無相應規(guī)程可用，需要根據(jù)個人的經(jīng)驗、知識進行診斷，視為知識型行為。（5）事件處理中時間劃分規(guī)則 事件處理中允許操縱員響應的時間分為：A 事件發(fā)生到引發(fā)可引導操縱員進入該事件處 理規(guī)程（DEC、A0）或報警卡的報警信號的 時間。B 操縱員利用事故規(guī)程進行一系列的診斷，直 至作出具體操作行為的診斷時間。C 有關人員（操縱員、副值長或現(xiàn)場技術員） 完成事件成功準則所要求的操作的執(zhí)行時間。（6）對模型中有關修正因子的確定安全工程師的診斷行為： K1=0（平均培訓水平） （需進入SPU/U規(guī)程，有 極高的心理壓力） 或K2（執(zhí)行SPI規(guī)程，但不需 進入SPU/U規(guī)程，有較 高的心理壓

9、力） K3=0（人機界面良好）其他人員： 操作經(jīng)驗：平均培訓水平，K1=0 心理應激水平：A工況、全廠斷電、 ATWT事件狀況下， K2=0.44 ； 其它事故狀況， 人機界面：良好，K3=0人因事件分析模式和技術工程應用的需求： 可操作性 資料完備性 可追溯性 （1） 事件背景 刻劃事件發(fā)生前后系統(tǒng)的狀態(tài)和為保證系統(tǒng)功能而要求操縱員執(zhí)行的相應動作以及事件后果。（2）事件描述 當值人員根據(jù)規(guī)程對與事故相關的關鍵系統(tǒng)或設備的狀態(tài)進行判斷以及進行的相應的操作行為和事故演進及處理過程。（3）事件成功準則 為確保事件成功所進行的關鍵性操作。（4）提問清單及調查與訪談記錄表 根據(jù)對事故進程的理解，列出需

10、要了解或確認的問題，主要包括操縱員、安全工程師對事件進程的理解，運行人員所用規(guī)程及規(guī)程的易用性，事件進程中所需的操作步驟、條件及關系，操作現(xiàn)場的人-機-環(huán)境系統(tǒng)狀況，人員間相關性及操作步驟間的相關性，事故可能造成的后果及運行人員對其嚴重程度的理解（心理壓力），允許時間、實際診斷時間、操作時間、一般執(zhí)行時間等。（5）調查、訪談結論 事件的進程、任務分析、人員每一動作的意義、動作目的、成功準則、系統(tǒng)人-機接口的狀況、系統(tǒng)狀態(tài)、運行人員的心理狀況以及THERP和HCR模式所需的各類信息和數(shù)據(jù)（6）事件分析 事件過程分析：根據(jù)事件進程將事件劃分 為幾個階段； 建模分析：對每一階段的人員行為進行初步分

11、析，決定采用何種模式計算其失誤 概率。（7）建模與計算 建模分析 定量分析模型 數(shù)學計算系統(tǒng)情況及有關假設 對電站人員配備情況、人員之間的工作關系和緊張情況、規(guī)程使用情況等作出統(tǒng)一約定和假設。另外，基于熱工水力計算，需給出各事件的有關時間參數(shù)。HRA實例1: SGTR（蒸汽發(fā)生器傳熱管破裂） 核電廠一回路和二回路系統(tǒng)示意圖 事故序列建模： 事件樹建模 故障樹建模 SGTR功能事件樹 事件樹分析 電廠響應分析 操縱員響應分析 事件樹題頭 事件樹的展開 事件序列： 11個 SGTR事故序列事件樹 系統(tǒng)故障樹分析 SGTR 人因事件在PSA模型中基本位置 SGTR人因事件分析 SGTR人因事件：蒸汽

12、發(fā)生器傳熱管破裂（SGTR）后，操縱員未能在20分鐘內(nèi)隔離破管蒸汽發(fā)生器 事件背景 事件描述：蒸汽發(fā)生器傳熱管破裂進入E-0規(guī)程執(zhí)行至23步，蒸汽發(fā)生器抽氣器排汽放射性N-16高報或蒸汽發(fā)生器排污水放射性高報執(zhí)行E-3規(guī)程至第3步識別破管的蒸汽發(fā)生器關閉破管蒸汽發(fā)生器主蒸汽隔離閥隔離破管蒸汽發(fā)生器事件成功準則：在20分鐘內(nèi)，操縱員調整蒸汽發(fā)生器的大氣釋放閥開啟定值至7.0Mpa,關閉破管蒸汽發(fā)生器主蒸汽隔離閥和主給水閥 調查與訪談結論根據(jù)熱工水力學計算，蒸汽發(fā)生器傳熱管斷裂，操縱員在分鐘內(nèi)隔離破管蒸汽發(fā)生器根據(jù)系統(tǒng)假設，SGTR引發(fā)報警信號的時間T0為0分鐘根據(jù)訪談，完成從進入E0規(guī)程至執(zhí)行到

13、E-3規(guī)程隔離破管蒸汽發(fā)生器一般執(zhí)行時間為4分鐘隔離破管蒸汽發(fā)生器的操作包括：調整破管蒸汽發(fā)生器的大氣釋放閥開啟設定值至；關閉破管蒸汽發(fā)生器的主蒸汽隔離閥及其旁路閥；關閉破管蒸汽發(fā)生器的主給水閥（隔離破管蒸汽發(fā)生器的給水）隔離破管蒸汽發(fā)生器的一般操作時間Ta為2分鐘根據(jù)系統(tǒng)邊界條件和假設，操縱員在此事故處理過程總的人員行為為規(guī)則型行為根據(jù)系統(tǒng)假設，操縱員均經(jīng)過一般水平的培訓根據(jù)調查訪談，在此事故狀況下，操縱員的心理壓力較高根據(jù)系統(tǒng)假設，系統(tǒng)人機界面狀況為一般。反應堆操作員負責隔離破管蒸汽發(fā)生器的操作行為，值長對其操作行為的正確性負監(jiān)督職責，其相關度為中事件分析事件分為三個主要階段 操縱員發(fā)現(xiàn)N

14、-16報警信號進入E-0規(guī)程（覺察階段）操縱員由E0規(guī)程進入執(zhí)行至E-3規(guī)程作出需隔離破管SG的診斷（診斷階段）操縱員按規(guī)程指引，隔離破管SG（操作階段） 建模分析 SGTR人因事件屬于C類人誤行為。響應行動序列失誤概率根據(jù)操縱員培訓及事故所觸發(fā)的報警信號的重要性、明顯性， p1可認為非常小。操縱員進入E0規(guī)程后，操縱員依次按E0規(guī)程至E-3規(guī)程進行操作。根據(jù)調查訪談結論，人的行為類別為規(guī)則型，其失誤概率p2可用HCR模型計算。操縱員隔離破管SG，p3根據(jù)HRA人因事件樹進行計算 建模與計算察覺失誤概率診斷失誤概率 T1/2，n = 4s，Ta = 2s， K1=0， ， =0.601,=0.

15、9,=0.6 (調查訪談結論6) p2 = 7.14010-2 操作失誤概率操縱員隔離破管SG，需要完成三個重要的序列動作：a.調整大氣釋放閥至定值b.關閉破管SG主蒸汽隔離閥 c.關閉破管SG主給水閥 操縱員隔離破管蒸汽發(fā)生器HRA事件樹SGTR整體人因事件失誤率為 HRA 實例2 事件名稱 RRA中破口，操縱員未及時投入低壓安注且打開GCTa閥。事件背景 C工況下，RRA系統(tǒng)出現(xiàn)中破口，引起一回路壓力下降，安全殼壓力因破口漏流而上升，穩(wěn)壓器低水位LOW3或安全殼高壓HI-2報警引導操縱員進入A10規(guī)程。在A10規(guī)程里，要求操縱員在19分鐘內(nèi)完成啟動安注以恢復一回路水量，并打開所有可用蒸汽發(fā)

16、生器的GCTatm閥。若操作員未成功完成該任務，且值長及STA又未及時糾正，則將導致堆熔。事件描述 C工況，RRA系統(tǒng)中破口 放射性活度高報警 引導操縱員進入DEC規(guī)程 安全殼高壓HI-2信號報警或穩(wěn)壓器低水位LOW3報警 操縱員進入A10規(guī)程 一回路操縱員手動啟動RPA058TO、RPB058TO兩列低壓安注并通知二回路操縱員開啟GCT131、132、133VV閥。事件成功準則 在事故發(fā)生19分鐘內(nèi)成功啟動RPA058TO、RPB058TO兩列安注并將蒸汽發(fā)生器通大氣閥GCT131、132、133VV開至全開。調查與訪談結論 1根據(jù)熱工水力學計算，操縱員需在T1=19分鐘內(nèi)完成手動啟動兩列安

17、注并開啟三個GCT閥。 2根據(jù)電站基本情況及假設，操縱員經(jīng)過平均水平訓練（有執(zhí)照且有6個月操作經(jīng)驗）。 3根據(jù)電站基本情況及假設，操縱員在C工況下有一定的心理壓力，其修正因子取。 4根據(jù)熱工水力學計算，由事故發(fā)生到引發(fā)放射性活度高HI-2級報警的時間T2為1分鐘。 5根據(jù)電站基本情況及假設，操縱員執(zhí)行DEC規(guī)程的時間T3為4分鐘。 6由于操縱員進入A10規(guī)程后所采取的第一個行為就是根據(jù)安全殼壓力高信號作出投入安注并開啟GCTatm閥的診斷，操縱員在A10規(guī)程中的執(zhí)行時間很短，可忽略。 7一回路操縱員完成手動啟動兩列安注動作的操作時間為T4為1分鐘，二回路操縱員完成GCTatm閥門的開啟時間T5

18、為1分鐘。 8一回路操縱員與二回路操縱員同時進行各自的操作行為，故事故處理中總操作時間以1分鐘計算。事件分析（1） 該事件可分為三個階段： 1）操縱員由放射性活度高HI-2級報警進入DEC規(guī)程診斷。 2） 操縱員由DEC規(guī)程引導進入A10規(guī)程，并作出手動啟動兩列安注與開啟所有GCT閥的判斷。 3）操縱員手動啟動兩列安注并將GCT閥開至全開。（2）建模分析： 1）根據(jù)報警信號特征及操縱員均經(jīng)過良好的培訓，在此認為操縱員未發(fā)現(xiàn)DEC報警并進入DEC規(guī)程的概率P1非常小; 2）操縱員在執(zhí)行DEC、A10規(guī)程的判斷與操作均為基于操作規(guī)程的行為，可以用HCR模式計算其失誤概率P2; 3）一回路操縱員按操

19、作規(guī)程開啟手動安注按鈕的同時，二回路操縱員開啟三個GCT閥，其操作行為屬于典型的序列操作,其操作失敗概率P3可用THERP方法求出。 建模與計算 事件失誤率P=P1+P2+P3 1根據(jù)事件分析中），根據(jù)電站基本情況及假定得 10-42. 式中, 允許操作員進行診斷的時間 t=T1-T2-T5（）=19-1-1 平均診斷時間T1/2，n =T3=4min K1=0 （平均訓練水平） K2=0.28 （調查訪談結論3） K3=0 （人機界面良好） T1/2=T1/2，n (1+K1) (1+K2) =0.601,=0.9,=0.6 (規(guī)則型) 代入(1)式,得10-2 3操縱員啟動低壓安注和開啟G