中國AP1000的人因工程安全審評的幾個問題

馮 燕，路 燕，劉景賓，張云波

(環境保護部核與輻射安全中心，北京 100082)

AP1000核電站具有獨特設計特征，每個反應堆有兩回路。電廠設計目標是60年，壽期內不更換壓力容器，采用數字儀表控制系統和先進的主控室設計。主控室能夠在正常和預期的瞬態和設計基準事故期間控制電廠[1]。它包括能夠監測和控制電廠安全系統以及非安全相關控制系統的指示和控制。遠程停堆站包含指示和控制器，允許操作員在主控制不可用時，在事件發生后實現并維護電廠的安全停堆。主控室和遠程停站均按照人因的工程原理和實踐設計。由于在現代人機接口中采用的數字計算機和圖形顯示技術發生了快速變化，AP1000的設計認證側重于用于設計和實現人機界面的過程。人因工程在AP1000設計中的應用包括人因工程項目管理，運行經驗評審，功能需求分析與分配，任務分析，人員配置，人員可靠性分析與人因工程集，人機接口設計，規程開發，培訓大綱開發，人因驗證與確認，設計實現，人員效能監測等12個要素[2]。

人因工程包括資源和環境的設計和實施，幫助人們更可靠地執行任務。 數字計算機和彩色圖形顯示技術的快速變化為AP1000設計團隊提供了改善操作員實時決策支持的機會。 AP1000的全廠網絡可為電廠人員提供預處理數據。 工廠工作人員和工廠設備之間的實時過程控制接口是儀表和控制(I&C)設備，在集成的人機界面中驅動圖形顯示設備。 認知系統工程應用于人機界面的設計。電廠人員和設備之間的實時過程控制接口是圖形顯示設備驅動的儀控設備，并集成于人機接口。認知系統工程也應用于人機接口設計。在中國AP1000機組人因工程和控制室設計的審評過程中，以下幾個問題得到了重點關注。

1 主控室的背景噪聲

背景噪聲是指在發生，檢查，測量和記錄系統中與有用信號無關的任何干擾。 環境噪聲是指工業生產，建設，運輸和社會生活中產生的噪音。 在核電廠的設計控制室工作環境中，背景噪聲是指設備在主控室工作的噪音。

關于主控室背景噪聲有一系列標準。

NUREG0700 (人機接口設計審評導則)要求控制室的聲學設計應確保操縱員之間的語言通訊不能受損，聽覺信號易于檢測，并且最小化聽覺分散，刺激和疲勞。主控室的背景噪聲不能損害主控區域內任意兩點之間的語言通訊。

圖1 背景噪聲和距離之間的聲級函數 Fig.1 Voice level as a function of distance and ambient noise leve

NUREG0700也考慮了正常或輕微提高聲音的語言通訊。圖1說明具體距離時不同背景噪聲水平下的語言交流方式(正常，大聲……)[3]。

NUREG0700指出若在背景噪聲65dB的環境下，距離2.4米以上的操縱員就必須大聲說話。因此若控制室內的工作站，顯示盤或控制接口距離較遠，就必須降低背景噪聲限值。

IEC 60964-2009要求聽覺環境的設計應確保運營團隊容易溝通，環境噪聲的干擾最小，并可靠地獲知聲音信息，報警和應急信號等[4]。IEC 60964-2009指出主控室正常運行時的環境技術要求參見ISO11064-6控制中心的環境設計, Part 6: 控制中心的環境要求)。ISO 11064-6要求環境噪聲不超過45 dB LAeq,T，控制室的本底噪聲在30 dB to 35 dB LAeq,T。等效連續A聲級(LAeq,T)是指在規定的時間內，某一連續穩態聲的A[計權]聲壓，具有與時變得噪聲相同的均方A[計權]聲壓，則這一連續穩態聲的聲級，就是此時噪聲的等效聲級。噪聲等效聲級(分貝)數值越小越好。計算公式如下[5]：

EUR 2.10也明確了主控室的環境設計。包括主控室和技術支持中心的每個控制點的環境噪聲不超過50 dB，所有區域的正常或應急通風系統應滿足這一要求。

三門核電廠設計中，主控室的背景噪聲不超過50dBA, 噪聲峰值不超過65dBA .在電廠啟動階段的人因工程驗證活動中，主控室噪聲的實際測量值遠高于50dBA。

主控室的噪聲水平比驗收標準值高，這對操縱員通訊和效能產生負面影響。較高的噪聲水平會干擾語言通訊，操縱員極有可能不能正確的傾聽語言通訊和指令，引起操縱員失誤。除此之外，較高的背景噪聲水平影響操縱員探測聽覺信號，比如報警。聽覺干擾，刺激和疲勞也是潛在的后果。為了降低噪聲，必須采取一系列降噪措施。

2 對于三門核電廠DCP4733的考慮(主控室溫升問題)

事故工況下主控室應急可居留系統(VES)投運后72h之內，綜合考慮主控室人員可居留性和設備鑒定的要求，主控室溫升的驗收準則是不超過有效溫度85℉(29.5℃)的執照申請限值，該值對應的空氣參數為干球溫度95℉(35℃)且相對濕度50%。根據DCP4733報告的描述，結合主控室(MCR)內部設備的發熱強度，VES系統現有的設計不能實現控制溫升的要求。圖2和圖3是現有VES設計下的主控室溫度。VES系統若要維持主控室壓力邊界(MCRE)內設備鑒定和人員活動的要求，必須對現有設計作執照申請相關的變更，具體做法是在啟動VES后關閉MCR內非安全相關的電儀設備熱負荷，包括：局域網大屏幕顯示器、無蓄電池供應的照明、主控室區域輻射監測儀/處理器、TVS視頻控制器、辦公設備、廚房設備等熱負荷。表1是關閉主控室設備清單，圖4是設計變更后主控室溫升示意圖。變更實施后，設計基準事故(DBA)下啟動VES系統，MCR空氣溫度將不超過執照申請的相關要求。同時可以手動將上述非安全相關的MCR電儀設備重新投運。

圖2 無切斷方案下主控室溫度Fig.2 No load shedding with AC power

圖3 蓄電池耗盡工況下主控制室溫度Fig.3 No load shedding with battery exhaustion

圖4 切斷方案下主控室溫度Fig.4 Temperature with the load shedding

階段一關閉的設備熱負荷(W)階段二關閉的設備熱負荷(W)局域網大屏幕顯示器691×2局域網電腦72×3無蓄電池供應的照明2855MCR打印機158 5主控室區域輻射監測儀/處理器192就地控制站109×2TVS視頻控制器520大屏幕顯示器691×14辦公設備1094廚房設備2457其它2663 4

針對該設計變更的具體實施內容，VES觸發后，需要分兩個階段關閉部分非安全級的熱負荷，其中第一階段需關閉的設備包含15、16號局域網大屏幕顯示器、主控室區域輻射監測儀/處理器、TVS視頻控制器、熱水器、對流加熱器(值長辦公室)、飲水機、冰箱和打印機等，均對安全功能無影響，對于第一階段需關閉的設備對人因工程影響的分析是可以接受的。同時，對于關閉無蓄電池供電的部分照明，通過試驗分析表明ELS關閉后主控室照度變化不大，因此關閉ELS是可以接受的。

但關閉第二階段的14塊大屏幕，操縱員獲取電廠信息的途徑可能減少，或者不能直觀快速的獲取信息，這在一定程度上可能會增加操縱員負荷，而且此時主控室內的溫度可能也會上升，在事故工況下可能會引起人因失誤；而且關閉第二階段大屏幕后，進入主控室的其他人員無法迅速了解電廠的當前狀態，因此從控制室運行和人員負荷的角度第二階段不應關閉所有大屏幕。而且控制主控制室溫升的首選方案應是提高VES系統的能力和(或)減少主控制室內設備的發熱量。鑒于AP1000依托項目VES系統的設計特性，提高VES系統的能力已不可行，但通過設備選型以降低主控制室內設備(特別是大屏幕的發熱量)應是實際可行的。

3 集成系統確認試驗

人因驗證和確認全面評價核電廠人因工程設計是否符合人因工程設計準則，并使電廠人員能夠成功完成他們的任務以達到安全和其他運行目的。HFE V&V活動由以下活動組成：運行條件取樣、人機接口任務支持驗證、HFE設計驗證、集成系統確認和人因工程偏差(HED)解決。集成系統確認采用基于效能的試驗來評價集成系統的設計(即，硬件、軟件和人員各要素)是否滿足效能要求，并能夠支持電廠的安全運行。如果不滿足效能準則則定為HED。集成系統確認試驗須由操縱員在高度逼真、接近全范圍的培訓模擬機上進行[13]。圖5是核電廠人因工程驗證與確認活動總貌。

圖5 核電廠先進控制室人因工程驗證與確認總貌Fig.5 Overview of verification andvalidation activites

基于對ISV相關標準(NUREG 0711、NUREG 6393等)分析，以下幾方面為ISV主要的評價要素與準則[6，7]：

3.1 驗證團隊

ISV試驗由專門的驗證團隊完成，從事驗證的人員應參與設計。

3.2 試驗目標

詳細的試驗目標應被確定，以證明集成系統為電廠人員提供了充分的支持，使其安全運行電廠。

3.3 試驗平臺

集成系統確認試驗的試驗平臺需具有以下特點：接口完整性，接口實體逼真度，接口功能逼真度，環境逼真度，數據完整性逼真度，數據內容逼真度，數據動態逼真度。

3.4 電廠人員

參與ISV試驗的人員應能夠代表實際電廠中與HSI直接交互的人員(例如，持證操縱員，而不是接受培訓人員或工程人員)；應對參試人員進行取樣；選用人員時，應考慮最小人員配備，正常人員配備和最大人員配備水平；應避免選擇帶有偏好的測試人員。

3.5 效能測量

ISV使用一組有層次的效能測量指標，包括測量電廠性能、人員任務效能、情境意識、認知負荷，以及人體測量/生理因素[8-10]。同時，也有研究強調了對團隊協作測量的重要性[11]。同時還需要確定合適的測量指標，如時間、準確性、頻率、失誤(包括EOO 和 EOC)、所用的假設條件數量、參與人員的主觀意識、觀察人員的觀察結果等[12]。效能測量指標見表2。

表2 效能測量指標特性Table 2 Characteristics of performance measures

3.6 試驗設計

試驗設計包括以下幾個方面：情景分配，試驗程序，試驗人員培訓，被測試人員培訓和預試驗。

3.7 數據分析與HED識別

(1)使用定性和定量方法對試驗所收集的數據進行分析，該分析應建立所觀察的效能數據與所建立的效能評價準則之間的清楚關系。

(2)使用不同方法進行測試，獲取的不同結果應集中評估，而各自獲得的數據應先進行獨立分析。

(3)通過數據分析發現設計中的不足之處。

(4)當所觀察的效能不滿足效能準則時，應確定為HED。對于由“通過/不通過”測量指標確定的HED，應在設計完成之前進行解決。

3.8 確認結論

確認報告中應記錄ISV試驗的統計和邏輯依據，用于判斷集成系統的效能在目前和將來都是可接受的。確認報告文件中也記錄ISV試驗的局限性，以及這種局限性可能會對ISV試驗結論和設計的實施產生的影響。

全范圍模擬機平臺將在需要時可用于HFE V&V工作，模擬機包含了代表主控室的控制臺、盤、大屏幕、操縱員工作站以及最新可用的控制邏輯和操縱員畫面。集成系統確認試驗的人員從目標用戶里提取，選擇的人員應最能代表實際的運行人員，最終操縱AP1000電廠[14]。

三門核電廠的人因工程集成系統確認試驗活動包括四項活動：

(1)第一項活動是在中國標準電廠模擬機上，由西屋公司運行教練員作為被試人員進行集成系統確認活動并完成了中國AP1000標準電廠集成系統確認報告(CPP-OCS-GER-003,Rev 0)。

這份報告明確了幾點限制：模擬機限制(模擬機沒有包括一些電廠系統，軟件不能滿足測試的先決條件)，致使23個情境只開展了16個，并存在情境失敗情況(5個)；規程限制(規程沒有被人機接口確認，不能連續使用等)；被試人員限制(只有兩組操縱員用于試驗，這些操縱員是美國或西班牙的培訓教員，沒有中國的AP1000操縱員參加)。另外還有測試方法限制等因素。這次試驗依據CPP-OCS-GEH-001(China AP1000 Human Factors Engineering Verification and Validation Plan)中，沒有集成系統確認試驗計劃。

(2)第二項活動是在AP1000標準電廠模擬機上，使用美國受訓的操縱員作為被試人員，重新進行了一遍早期中國標準電廠ISV中包含有1級HED的情境以及早期由于模擬機原因未能覆蓋的7個情境(CPP-0CS-GER-007)。這項活動使用的是美國操作員，不能代表未來中國的操縱員。

(3)第三項活動是中國操縱員模擬機培訓觀察。在中國AP1000人因工程驗證和確認結果報告(CPP-OCS-GER-004,Rev 0)中。此項活動也有局限性：培訓情境與ISV的情境有很大不同；觀察者不能直接收集操縱員的任何主觀的數據和個人意見，這使觀察者結論(滿足ISV目標)大打折扣。此外，中國操縱員使用英語交流，降低了通訊效率并影響班組效能。此外，此次觀察也沒有采集操縱員的相關績效數據。

(4)第四項活動是在AP1000標準電廠模擬機上實施AP1000標準電廠ISV，并解決早期中國項目ISV中遺留的開口項和HED。APP-OCS-GER-320(AP1000 Human Factors Engineering Integrated System Validation Report),對AP1000標準電廠的ISV活動進行了描述和總結，但整個報告并未提及早期中國項目ISV中遺留的開口項和HED。

三門核電廠ISV進行時模擬機的狀態與實際使用的狀態相差較遠。同時，并未采用中國操縱員參與試驗，而是使用美國和西班牙的教員，試驗人員也承認這是一個局限。且補充的模擬機培訓觀察，沒有采集操縱員的相關績效數據，執行的任務也與ISV中的不相同，另外操縱員的熟練程度也不足。因此上述四項活動不能替代相關的確認試驗，應重新開展確認試驗。

4 人因工程偏差項(HED)

驗證和確認(V&V)全面評價確定電廠的人因工程符合人因工程設計原則，并使電廠人員能夠成功執行其任務，以確保電廠安全和運行目標。這些評價確定人因工程偏差項(HED)。人機接口任務支持驗證中， HED的定義是：(1)HSI不能完全支持人員任務要求，(2)存在不需要支持人員任務的HSI部件。HFE設計驗證是核實HSI的設計是否能夠適應HFE導則(例如NUREG-0700中的導則)所反映的人的能力和局限性。如果設計與HFE導則不一致則定為HED。集成系統確認采用基于效能的試驗來評價集成系統的設計(即，硬件、軟件和人員各要素)是否滿足效能要求，并能夠支持電廠的安全運行。如果不滿足效能準則則定為HED。HED解決合理地保證了在V&V活動中確認的HED已經得到了令人滿意的評估和解決。HED解決應與V&V一起反復進行。

三門核電廠的人因工程偏差項報告總結了中國AP1000人因驗證和確認活動期間確定的HED的狀態。從設計驗證，任務支持驗證和ISV生成的所有HED都被正式記錄和跟蹤到解決。 “人因工程偏差項解決總結報告”總結了HED解決過程的結果，并包含以下信息：HEDs根據其對安全性和可操作性的潛在影響進行優先排序;描述HED根據設計，程序或培訓計劃是可接受的理由關閉HED的理由;描述通過設計更改解決的HED決議，程序修改，人員配置建議或其他培訓要求;以及關閉HED所需的任何剩余活動的說明;在設計的基礎上關閉HED的理由【15】。但到目前為止，三門核電廠還有一些HED的狀態是開放的。

5 結論

中國的AP1000核電廠作為世界首臺AP1000機組，沒有豐富的建設經驗和運行經驗，控制室設計和人因工程能獲取的經驗反饋也不多，因此控制室的環境設計，驗證和確認方面可能會存在一些問題，所以進行充足的驗證和確認非常必要，在后續的電廠優化和新電廠設計中考慮這些問題，提升電廠的安全水平。

[1] 張淑慧，任永忠．AP1000核電廠儀控系統介紹〔J〕．自動化儀表，2010,31(10)：48-51+56．

[2] U.S. NRC. NUREG-0711, Human Factors Engineering Program Review Model. Rev. 3[S].Washington, DC: U.S. NRC ,2012.

[3] U.S. NRC. NUREG-0700, Human-System Interface Review Guidelines. Rev. 2[S].Washington, DC：U.S. NRC，2002.

[4] International Electrotechnical Commission.IEC60964, Nuclear power plant-Control rooms-Design，Rev. 2[S].Geneva:International Electrotechnical Commission ，2009.

[5] International Organization for Standardization.ISO116064-2, Ergonomic design of control centres-Part 2: Principles for the arrangement of control suites. Rev. 1[S].Geneva : International Organization for Standardization,2000.

[6]U.S. NRC. NUREG/CR-6393, Integrated System Validation: Methodology and Review Criteria[S].Washington, DC: U.S. NRC,1995.

[7]全國核儀器儀表標準化技術委員會.EJ/T 1118-2000核電廠控制室設計驗證和確認[S]北京：核工業標準化研究所，2000．

[8]HA Junsu，Seong，Poong Hyun，et al. Development of human performance measures for human factors validation in the advanced MCR of APR-1400[J].IEEE Transactions on Nuclear Science，2007，54(6)：2687-2700.

[9] 方舟．核電廠人因工程集成系統確認[J]．中國核電，2013，6(2)：111-114．

[10] Gawron V J. Human performance, workload, and situational awareness measures handbook，Second edition[M].Boca Raton: CRC press，2008.

[11] Tran T Q，Boring R L， Dudenhoeffer D D，et al. Advantages and Disadvantages of physiological assessment for next generation control room design.[C].Oak Ridge: Office of Scientific and Technical Information,2007.

[12] Michael T. Brannick，Eduardo Salas，Carolyn W. Prince.Team performance assessment and measurement: theory, methods, and applications[M].Abingdon: Taylor and Francis,1997.

[13] 張建波，孫永濱，劉燕子．核電廠先進控制室人因工程V&V方法體系探討[J].儀器儀表用戶，2013，20(5):23-27．

[14]馮燕，李亮，范瑾，等．核電廠先進控制室人因工程集成系統確認的探討[J]．自動化儀表，2015，36(7):37-39．

[15] Westinghouse Electric Company LLC.CPP-OCS-GER-420. China AP1000 Human Engineering Discrepancy Resolution Summary Report[R].Cranberry Township:Westinghouse Electric Company LLC，2014.