核電廠規程開發質量保證方法研究

吳 茜，張瑞萍，孟 光，呂愛國，余周俊

（華龍國際核電技術有限公司，北京 100036）

0 引言

核安全的重要性和核電系統的復雜性造就了核電廠規程的重要地位。遵守程序作為核電廠防人因失誤工具的關鍵一項，已成為核安全文化的一部分，規程質量至關重要。

經調研，核電廠規程相關問題的總體趨勢如下：

◇ 人因因子占總體事件的比例有明顯下降趨勢。

◇ 程序和文件缺陷類問題占總體事件比例基本不變，略有上升。

◇ 工作實踐類問題占人因因子比例逐年下降。

圖1 近5年國內核電廠事件根本原因統計Fig.1 Statistics of root causes of domestic nuclear power plant incidents in the past 5 years

◇ 程序和文件缺陷類問題占人因因子比例逐年上升，在2018 年首次超過工作實踐類問題，成為人因因子中占比最高的問題。

容易發現，近幾年各電廠對于人因工程的重視程度提高，人因事件總體比例下降。主要的成果是將工作實踐類問題的占比減少了，但程序和文件類問題尚未得到較好的解決。

為了解決這一問題，降低規程對人因事件的影響，提高核電廠規程開發的質量，在對標準要求和規程體系對比研究的基礎上，詳細分析了開發過程及行業內相關情況，提出了規程開發質量保證方法，該方法對各堆型及實驗堆具有普適的參考意義。

1 核電廠規程體系介紹

規程開發的目標是確保電廠以安全的方式啟動、運轉和停運，所有與安全有關的構筑物、系統和部件的運行必須按詳細的、書面的和已批準的規程進行。

國家核安全局對核電廠規程體系選擇方面無明確說明，相關文件規定如下：

《HAF103》中7.3 節要求：“所制定的運行規程必須包括核電廠正常運行、預計運行事件和設計基準事故情況下應采取的行動，并盡可能列入有關嚴重事故的條文。在預計運行事件和設計基準事故情況下可以使用系統定向的程序，但嚴重事故情況下宜使用以事故征兆為基礎的診斷和處理程序，并動用核電廠可供利用的全部能力；規程應便于執行人員按照正確的順序進行操作；必須明文規定運行人員被迫偏離書面程序情況下的責任和聯絡渠道[1]。”

表1 SEOP監控和控制的六大關鍵安全功能Table 1 Six key safety functions for SEOP monitoring and control

《核動力廠運行安全規定》中5.2.3 節要求：“必須制定正常運行規程，以保證核動力廠運行在運行限值和條件之內。對預計運行事件和設計基準事故必須制定事件導向規程或征兆導向規程，還必須制定應急運行規程或嚴重事故（超設計基準事故）管理指南。”

征兆導向法（SEOP）和狀態導向法（SOP）都屬于上文中“征兆導向規程”的范疇，都符合要求。

1.1 征兆導向法（SEOP）

征兆導向規程是以事故分析的概率論方法為基礎，認為核電廠的安全由一些與安全相關的參數控制，這些值的變化被稱為“征兆”，只要所有安全相關參數在預先規定的范圍內，就能夠確保電廠的關鍵安全功能（CFSs）。如果任一或多個參數超過安全限度，核電廠就處于異常工況或緊急狀態，此時操縱員可以利用針對征兆所制定的事故規程使核電廠恢復到安全狀態。

征兆導向事故規程的處理策略有兩種：

1）如果事件可以被診斷，則采用基于事件的規程，稱為最佳恢復導則（ORGs）。

2）如果事件不能被診斷，通過監視關鍵安全功能（CFSs）來克服事件導向法的一些局限性，引導并恢復電廠安全狀態。

因此，征兆導向可以幫助操縱員處理復雜的異常事件和選擇最合適的操作來恢復核電廠的安全狀態，進一步提高了核電廠的安全性。

從其內容上看，它不僅考慮對設計基準事故的處置，也考慮了多重故障。從處置的手段看，它首先保證核電廠的關鍵安全功能的完備，同時診斷事故的性質，一旦診斷清楚，則進入相應的事件導向最佳恢復導則（ORGs）；若由于操縱員誤動作造成關鍵安全參數異常，則通過持續對關鍵安全參數進行監督的關鍵安全功能恢復規程（FRGs）引導操縱員去糾正錯誤動作，保證核電廠最終達到穩定的安全狀態。

表2 SOP監控和控制的六大狀態功能Table 2 Six status functions for SOP monitoring and control

1.2 狀態導向法（SOP）

狀態導向法基于反應堆和相關系統的中子物理和熱工水力原理，對反應堆、蒸汽發生器和安全殼這3 個與核安全直接相關的基礎設備的行為進行模型化，從安全角度，提出了表征核電站事故后機組狀態的6 個狀態功能（State Function）。

根據反映機組狀態的6 個狀態功能的物理參數特征，為了機組的安全、穩定狀態，狀態導向法建立了一整套保證控制機組狀態惡化并退防的運行策略。這些運行策略，基于6 個狀態功能之間的各種可能組合而確定，其中融合了不同狀態功能所需的優先順序。進而，運行規程架構設計了循環監測、循環診斷導向，確保適時使用恰當的運行策略，達到全局控制機組狀態的目的。

1.3 對比分析

SOP 和SEOP 都在EOP 基礎上進行了優化，SOP 不依賴于具體的始發事件，基于對機組所體現出來的狀態，結合實際參數指引進入相應的事故處理規程。在狀態參數循環診斷過程中融入事件導向指引，即狀態導向+事件導向。SOP 程序實現了閉環控制：診斷——行動——監督——重新定向——行動。

SEOP 結合EOP 和SOP 規程的特點。其原理為，先運用事件導向及時進行事故處理，當發生疊加事故等復雜事故時，運用征兆導向進行診斷處理，即事件導向+征兆導向。

SOP 文件體系覆蓋全面，按照人員職責劃分，結構高度格式化、系統化；SEOP 文件體系只包含事故部分，按照機組功能劃分，文件體系相對分散，但分類明確。

通過介紹和對比分析，SEOP 在事故處理上具有一定的優勢，其事件導向+征兆導向的線性結構在事故處理中體現出來的高效性和使用體驗更有優勢。SOP 優化后在二代加的基礎上有大幅提升，可執行性和使用體驗得到大幅提升。

表3 應用情況及結論Table 3 Application and conclusion

圖2 事故處理規程開發過程Fig.2 Accident handling procedure design process

2 規程開發過程介紹

事故處理規程的開發分為多個步驟，如圖2 所示[2]。

- 確定事故處理導則或規程的原則：事故處理導則或規程的原則涉及事故處理方法的確定，事故處理導則或規程在核電廠規程中的作用，導則或規程人因工程、運行組織等方面的內容，事故處理規程和事故處理導則在導向方法上應保持一致。

- 事故處理導則：根據所確定的事故處理導則或規程的原則，進行事故處理導則開發。事故處理導則是事故處理規程的技術基礎，事故處理導則的開發一般有兩種方法，革新法和參考法。

- 編寫事故處理規程編者導則：編者導則用于規范并保證事故處理規程是完整的、準確的、易讀的和易使用的。編者導則應包含將事故處理導則轉化成事故處理規程的方法。

- 編寫事故處理規程：按照編者導則，基于事故處理導則，編寫核電廠的事故處理規程。需要考慮對編寫者的要求、由導則轉化為規程、功能分析和任務分析、驗證和確認等。

3 行業內技術進展

3.1 基于人因工程的事故規程配套畫面問題

以XX 數字化主控室的數字化事故規程配套畫面，存在畫面設計與規程功能不匹配、設計細節考慮不足影響效率、人因工效學考慮不足等問題進行介紹如下[3]：

1）畫面設計與規程所需功能不匹配

通過開展功能分析，調研數字化規程與配套頁面對應顯示信息發現，顯示頁面存在多個多余信息，占用大量空間。多余信息干擾操縱員對狀態監視、增加監視負荷，浪費空間導致原本一頁能夠呈現的對應信息需要2 ～3 張頁面方能完成，同時增加頁面調取、管理工作負荷。

2）設計細節不足影響工作效率

多年模擬機復訓經驗反饋發現，畫面設計細節考慮不足。例如，許多鏈接與任務無關，同時許多本可以增加工作效率的鏈接頁面中未有考慮，操縱員需要通過自身的長時記憶調取這些頁面，花費頁面調取時間的同時增加操縱員的認知負荷。

3）人因工效學考慮不足

電廠經驗反饋發現，頁面的許多不良經驗反饋是由未能有效對人視覺信息顯示人因工效學維度開展深入評估造成的。例如，界面布局對視覺監視規律考慮不夠充分，信息布局、重要信息、參數、報警未能充分利用顏色、圖形等方式增加操縱員注意力，未能充分考慮格式塔視覺認知經典理論中的相似性、相近性、連續性等問題的影響。

3.2 優化方案

1）優化界面布局及邊界形式

根據經驗反饋里的界面信息設置及布局問題和任務分析，確定必要信息、提出多余信息，對信息內容布局進行分類和重要度優化，同時使用不同顏色邊框進行區分，減少操縱員辨識信息區域時的認知負荷。

2）圖形化顯示重點參數

數值顯示的參數因為需要較為深入的認知加工過程，因此出現異常不易引起操縱員注意，考慮到人對于圖形輪廓及顏色的認知負荷較低且更易引起注意，為了強調重要參數，減少操縱員對此的認知負荷，優化時引入圖形顯示工具，例如色條圖形式，一旦到達閾值，色條圖變色。

3）精細化鏈接設計

圖3 規程開發質量保障方法Fig.3 Procedure development quality assurance method

根據運行經驗及操縱員行為數據統計，界面調取任務占用操縱員大量認知負荷和時間，而快速鏈接是數字化規程執行效率的重要影響因素。因此，秉持“一次點擊，即達目的”的原則進行優化，系統類畫面由原需要操縱多次優化為一次，增加參數、趨勢類畫面，標題即為鏈接。

4）儀表故障智能輔助診斷

將單一物理量平均值顯示方式優化為畫面比較所有測量值，差值超預設值后顯示框激活為紅色閃爍框，以此提醒操縱員出現異常參數、設備。

5）重要狀態參數智能輔助診斷

針對事故程序主要控制的目標參數（見第一節規程體系內的介紹），根據規程對參數的要求，使用智能技術對其進行輔助診斷。當參數超控制預期，或由于事故進展導致參數惡化，對參數框激活動態提示動作，提醒操縱員注意。

4 規程開發質量保證方法

4.1 規程開發中的人因工程考慮

規程開發中的人因工程需要考慮3 個因素[4]：

◇ 人因工程原則（如何評價規程體系或一份規程質量的優劣；用戶友好的規程，內涵是什么）。

◇ 人因工程活動（建立一套有效的方法論和過程，確保開發和規程滿足人因工程原則和要求）。

◇ 在運電廠規程維護的人因貢獻（將規程開發過程中的有益經驗，用于在運電廠的規程維護和優化）。

4.2 規程開發中的人因工程原則及保障方法

規程開發中的人因工程頂層原則：

◇ 完整性。

◇ 正確性。

◇ 清晰性。

◇ 呈現友好性：

◇ 語言友好性。

◇ 格式友好性（例如，構造層次性的規程）。

◇ 流程友好性。

◇ 一致性。

◇ 防錯性。

保障方法，如圖3 所示。

為了確保規程的高質量，除了執行上述過程，還需要考慮運行經驗、用戶能力和班組結構匹配、人機功能匹配性、任務流程合理性、人員負荷可接受性、重要人員動作、人機接口匹配性等因素。

5 結語

介紹了規程體系及開發過程，在對行業內規程問題及優化情況進行分析的基礎上，提出了規程開發的質量保證方法，該方法對各堆型及實驗堆具有普適的參考意義。