核电厂重要人员动作分析与人因工程相结合研究

2021-05-11雷文静何建东胡军涛卓钰铖

自动化仪表 2021年3期

雷文静，何建东，胡军涛，卓钰铖

(上海申核能源工程技术有限公司，上海 200233)

0 引言

在核电厂中，重要人员动作分析和人因工程管理之间具有紧密联系。重要人员动作分析除了需要对电厂安全会造成影响的人的失误的可能性和机理进行评价，还要结合确定论和概率安全评价(probabilistic safety analysis,PSA)模型进行分析。将得到对电厂安全性与可靠性有重要影响的电厂情景、人员操作和人机接口(human system interface,HSI)部件以及相应的人员操作条件作为人因工程(human factors engineering,HFE)中的任务分析、规程制定和人机接口设计等的设计输入，并对人因工程的相关设计作出评价。

国内对重要人员动作分析与人因工程相结合的研究鲜有报道。本文在国外方法调研的基础上[1-2]，结合工程实际[3-10]，对如何开展核电厂HFE中的重要人员动作分析作了初步探讨。

1 人因工程中重要人员动作分析

1.1 目标及内容

进行HFE的重要人员动作分析的目标如下。

①重要人员动作分析结合人因工程设计的结果。

②人因工程设计能分析重要人员动作和人员失误机理，以最大限度地减小人员失误的可能，并为探测失误和进行恢复提供支持。

重要人员动作分析能为人机接口设计提供有价值的发现，因此HFE设计应该特别关注那些重要人员动作分析确定的、对电厂安全性和可靠性有重要影响的电厂情景、人员操作和人机接口。

重要人员动作分析与HFE的结合流程如图1所示。

图1 重要人员动作分析与HFE的结合流程图

重要人员动作分析与HFE结合的主要内容体现在以下几个方面。

①重要人员动作分析。采用概率论分析和确定论分析相结合的方式确定重要人员动作，供HFE在后续执行过程中对其进行重点考虑。

②与运行经验评审的结合。运行经验评审(operating experience review,OER)可识别出先前电厂或系统中被识别出的需要关注的操作/任务以及其他重要人员动作，为设计电厂的重要人员动作分析提供一定的参考和输入；另一方面，通过对设计电厂开展重要人员动作分析，能够判断OER识别出的这些操作在本设计电厂中是否依然重要，并对人因工程设计的其他要素提供参考。

③与功能要求分析和功能分配的结合。功能要求分析和功能分配将对赋予人和系统的功能进行分配，避免人和系统的局限性。一方面，功能要求分析和功能分配结果能够为重要人员动作分析提供输入；另一方面，重要人员动作分析的结果也可用于支持功能要求分析和分配的最终确定过程。

④与任务分析的结合。将识别出的重要人员动作分析结果作为HFE任务分析的输入；通过任务分析，为人机接口设计决定提供依据，确保人员效能要求与人的能力相符，并为人员配备、规程和培训开发提供输入。

⑤与人员配备和资质、HSI设计、规程开发、培训开发的结合。用这些HFE要素的结果来确认和改进PSA/人员可靠性分析(human reliability analysis,HRA)假设。

⑥与HFE验证和确认(verification and validation,V&V)的结合。重要人员动作中的行为假设(如执行的动作/操作、动作完成的时间)的确认是HFE集成系统确认的一部分。

⑦与设计实现的结合。对于新设计电厂，设计实现可与人因工程V&V结合，视为V&V的补充和延续。重要人员动作的分析结果可用于防止某些特定的临时性配置。

⑧与人员效能监测的结合。人员效能监测在电厂投入运行以后实施，重要人员动作分析结果可用于区分纠正动作的优先次序。

1.2 确定重要人员动作

根据重要人员动作分析的结果，确定关键的人员操作和风险重要人员动作。所确定的人员操作和动作用作任务分析和其他相关设计活动的输入。

1.2.1 关键的人员操作

定义关键人员操作有确定论和概率论两种准则。

①确定论准则：在设计基准事故中，为防止堆芯损伤所要求的人员操作。

②概率论准则：任何失误会导致总的堆芯损伤频率(core damage frequency,CDF)≥1E-04/堆年，或者大量放射性释放频率(large release frequency,LRF)≥1E-05/堆年的人员动作。

该评价基于基准PSA的定量分析结果。基准PSA研究范围包括功率运行工况内部事件，停堆工况内部事件，以及火灾、水淹和地震事件。

1.2.2 风险重要人员动作

风险重要人员动作包括用于事故缓解的风险重要的人员动作和支持维修、试验、检查和监督(maintenance test inspection and supervision,MTIS)活动的风险重要人员动作。采用PSA中经常使用的两种风险重要度方法来识别包含人员动作的风险重要任务。

(1)风险增加法。此方法研究将一个人员动作的失误概率设为1.0的情况下，可能导致的风险增加量。这种方法的目标是识别那些不能执行将导致风险显著增加的人员动作。这些任务包含在任务分析和集成的V&V中，以确保得到HSI系统的充分支持，从而最大限度地减小失误的可能。

(2)风险降低法。此方法研究将一个人员动作的失误概率设为0的情况下，可能导致的风险降低量。这种方法的目标是识别那些正确执行将导致风险显著降低的人员动作。这些任务包含在任务分析和集成的V&V中，以确保得到HSI系统的充分支持，从而最大限度地增加正确执行的可能。

PSA研究包括以下几方面：①功率运行工况下内部事件；②停堆工况下内部事件；③火灾、水淹事件；④地震事件。

另外，进行专用PSA模型的敏感性分析，为非安全系统的管理处理提供输入。在此研究中，在计算堆芯损伤频率时不考虑非安全相关系统的作用，只考虑安全相关系统。对以下方面进行专用PSA的敏感性研究：①功率运行内部事件；②停堆工况内部事件；③火灾和水淹事件。

这些PSA研究的结果用来确定风险重要人员动作。

(1)风险重要人员动作的定量化准则。

若由以下两种方法中的一种计算出一项任务的重要度大于相关的风险阈值，则将该任务定义为风险重要。这两种方法通常定量如下。

①风险增加法。此方法给出了关于保持现有风险水平的堆芯损伤频率的人员操作的重要性。针对此目的，把每项人员操作的失误概率设为1.0后，对堆芯损伤频率进行重新计算。人员操作的风险重要度定义为堆芯损伤频率的增加百分比。例如，风险重要度为100%是指任务的失效概率设为1.0之后堆芯损伤频率增加1倍，这相当于风险增加价值(risk achievement worth,RAW)为2.0。百分比越大，人员操作对维持现有的风险水平越重要。

功率运行内部事件、停堆工况内部事件的风险增加重要度阈值为200%(针对堆芯损伤和严重放射性释放)。这相当于风险增加值为3.0。低于此值的不需要进一步研究。

专用PSA敏感性研究中，风险增加重要度阈值为100%。

②风险降低法。此方法给出了人员动作在降低现有堆芯损伤和严重放射性释放风险水平方面的重要性。针对此目的，把每个人员动作的失误概率设为0之后，对堆芯损伤和严重放射性释放进行重新计算。人员动作的重要度定义为堆芯损伤频率和严重放射性释放频率的降低百分比。例如：风险降低值10%是指减小任务失效概率可以获得的最大收益为10%。降低百分比越大，该人员动作对降低现有风险水平越重要。

功率运行内部事件、停堆工况内部事件的风险降低重要度阈值为10%(针对堆芯损伤和严重放射性释放)。这相当于风险降低值(risk reduction worth,RRW)约为1.1。低于此值的不需要进一步研究。

专用PSA敏感性研究中，风险降低重要度阈值为5%。

(2)风险重要人员动作的定性准则。

除了定量方法，识别风险重要任务的定性准则也应用于PSA研究。一个由HRA/PSA、系统工程设计、HSI设计和HFE代表组成的专家组应用这些准则并识别相关的风险重要任务。专家组在作决定时，需考虑以下因素。

①如果RAW/RRW小于但接近准则，且：估计的操纵员实际完成时间接近于可用时间窗口；操纵员动作或对操纵员的要求是复杂的、独特的或具有潜在挑战性的；操纵员动作是防止某情景(可能会导致与安全目标相冲突)出现所必须的。

②专家组根据经验判断认为是风险重要的动作。

(3)风险重要的维修、试验、检查和监督任务的定性准则。

识别风险重要MTIS任务采用定性准则。通过检查“风险重要的”系统、构筑物和部件(system structure and component,SSC)识别风险重要的MTIS任务。SSC的准则在电厂设计可靠性保证大纲中给出。其中，部分“风险重要的”SSC以及部分有代表性的相关MTIS由专家组挑选出。该小组由来自设计过程中相关领域(如：系统工程、可靠性工程、PSA、HFE和HSI设计)的专家代表所组成。将由专家组识别的MTIS任务定义为风险重要并在任务分析、HSI设计和V&V中进行检查。

2 人因工程与重要人员动作分析结合过程

2.1 与运行经验评审的结合

OER将识别出先前电厂或系统中被识别出的有问题的操作/任务以及其他重要人员动作，为本电厂的重要人员动作分析提供一定的参考和输入；另一方面，通过对设计电厂开展重要人员动作分析，能够判断OER识别出的这些操作在本电厂中是否依然重要，并为人因工程设计的其他要素提供参考。

2.2 与功能要求分析和功能分配的结合

功能要求分析和功能分配将对赋予人和系统的功能进行分配，避免人和系统的局限性。一方面，功能要求分析和功能分配结果能够为重要人员动作分析提供输入；另一方面，重要人员动作分析的结果也可用于支持功能要求分析和分配的最终确定过程。

2.3 重要人员动作的识别

采用上文介绍的准则，结合概率论分析和确定论分析识别重要人动作和任务。将识别的重要人员动作和任务作为任务分析和HFE设计的输入。

2.4 重要人员动作的任务分析

重要人员动作分析确定用于任务分析输入的人员动作和任务序列(作为HFE项目的一部分)。这包括所有的概率论和确定论分析识别出的重要人员动作。

2.4.1 操作序列分析的输入

重要人员工作分析识别的人员动作和任务包含在操作序列分析检查的任务中。任务分析的输入包括执行的任务序列和行为要求的详细说明。这些输入用于指导HSI设计和规程开发。

HSI和规程专业将其分析结果(如：基于功能的任务分析、操作序列分析)和设计结果(应急操作规程、设计导则和显示画面描述)提交给重要人员动作分析人员审查和评议。

2.4.2 确认/改进重要人员动作假设

由于重要人员动作分析在设计过程的早期就开始进行，必然会对功能分配、执行的人员动作、HSI设计、规程的质量和相关的行为形成因子作出一些假设。随着设计工作的推进，需要对这些假设进行确认和改进。

一旦人机功能分配、初步的HSI设计和规程完成后，就可以进行更加详细的序列任务分析，以更准确地反映详细设计。此时就可以开始研究先进的数字化技术、详细的HSI设计和规程对操纵员执行的动作、操纵员的要求以及完成这些动作所估算的持续时间的影响。

当初步的HSI设计和规程完成后，就可以进行更加详细的操作序列分析和工作负荷分析，以更准确地估算完成识别的这些任务所需要的工作负荷和时间(详细的操作序列分析称作OSA-2)。结果记录在一份报告中并提供给重要人员动作分析人员。

随后，重要人员动作分析人员审查HFE设计和分析文件对重要人员动作假设的潜在影响。

2.5 重要人员动作任务的重新检查

假如确定某个重要人员动作任务可能对电厂安全有重大贡献，则通过任务分析、HSI设计和规程开发进行重新检查。这是为了识别操纵员任务或控制和显示环境的变化，以减小操纵员失误的可能，并为失误探测和恢复功能提供支持。

2.6 重要人员动作行为假设的确认

重要人员动作中，操纵员行为假设的确认是HFE集成系统确认的一部分。

将通过概率论分析和确定论分析识别的包含重要人员动作的情景作为HFE集成系统情景确认的组成部分。

将识别的需要确认的特定行为假设作为确认工作的组成部分。这些假设的例子有：操纵员能够在确定的时间窗口内完成某些动作。

将重要人员动作分析确定的情景作为HFE集成系统确认的组成部分，并搜集执行方法以支持对重要人员动作行为假设的确认。分析结果提供给重要人员动作分析人员。

利用HFE集成系统，对重要人员动作中操纵员行为假设的确认过程，不需要确认HRA的定量结果(概率)。

审查了HFE集成系统确认的结果后，重要人员动作分析人员决定是否需要对HRA建模假设和HRA定量化作出修改。假如需要，则修正HRA并评价对PSA结果的影响。

作为决定是否需要对HRA进行重新定量化的过程的一部分，HRA/PSA评价当前用于得到估算的失误概率的数据库是否仍是HRA定量化的最合适的数据源，或者已经有更加适合建模假设的且已被广泛认可的、新的失误定量化数据库可用。

将确认重要人员动作行为假设的过程编制成报告，并评价其对HRA/PSA定量化的影响(若有)。

3 核电厂重要人员动作分析与人因工程结合实例

本文以某核电厂为例，对核电厂重要人员动作分析与人因工程结合开展研究。其中，概率论准则仅以堆芯损坏频率(core damage frequency,CDF)开展分析，LRF与之类似。

3.1 重要人员动作分析总体假设

在通过概率论方式识别重要人员动作时，包含人员可靠性分析过程。示例电厂中，事故后人员失误事件分析的总体假设中与人因工程设计相关的包括：对于控制室的人员的工作职责、分工，本分析考虑每个动作有一位相关的操纵员和一位确认其操作的校核人员。在分析中，以示例电厂的应急操作规程作为参考。

目前的人员失误事件取值，是在以上假设基础上得到的。如果有些假设在设计中不能满足，则要对相关的人员失误事件取值作向上调整，CDF也会随之增大。

3.2 分析准则及实例

根据前面的定性、定量准则，以及示例核电厂现有的PSA模型和CDF结果，暂将CDF值为1E-4/堆年作为进行关键的人员操作分析时的阈值，将RAW值为2和RRW值为1.01分别作为风险增加法和风险减少法确定风险重要任务时的阈值。

基于以上讨论，对示例核电厂PSA模型中的人员操作任务进行了分析。下面给出对事故后人员操作的风险重要任务进行分析的例子。对关键的人员操作的分析与对事故后人员操作的风险重要任务的分析相类似。

以操纵员未能通过多样化驱动系统信号认识到堆芯冷却剂系统(reactor coolant system,RCS)需要降压并停运反应堆冷却剂泵的人员失误事件为例，进行分析。这个操作的RRW值为1.21。人员失误事件分析过程如表1所示。事件编码为REC-MANDAS，事件描述为LOCA或瞬态事故期间，操纵员未能通过多样化驱动系统信号认识到RCS需要降压并停运RCS泵。