對某核電廠主給水喪失手動停堆后操縱員人因失誤的根本原因分析

馬國強,吳彥農(nóng),張 浩,王 喆,段 軍

(生態(tài)環(huán)境部核與輻射安全中心，北京 100082)

操縱員的行為影響著核電廠的安全運行。三哩島核事故表明，操縱人員做出不正確的動作可能會延緩事件后機組恢復(fù)，更甚者會導(dǎo)致核事故的發(fā)生。據(jù)統(tǒng)計,我國核電廠1991—2016年發(fā)生的運行事件中人因失誤因素導(dǎo)致事件發(fā)生占比達到47.1%，人因失誤成為導(dǎo)致我國核電廠發(fā)生執(zhí)照運行事件的主要因素[1]。

2018年，某AP1000型核電廠主給水喪失后由啟動給水為二回路供水，隨后操縱員手動停堆。為避免專設(shè)安全設(shè)施啟動信號(S信號)觸發(fā)，操縱員手動關(guān)小啟動給水調(diào)節(jié)閥，導(dǎo)致非能動余熱排出系統(tǒng)(PRHR)自動觸發(fā)，隨后一回路冷卻劑系統(tǒng)(RCS)溫度快速降低并自動觸發(fā)S 信號，相關(guān)專設(shè)安全設(shè)施自動響應(yīng)，操縱員執(zhí)行規(guī)程穩(wěn)定機組狀態(tài)，期間多次觸發(fā)了AP1000的安全系統(tǒng)，并且操縱員對冷卻劑系統(tǒng)進行泄壓導(dǎo)致堆芯出口過冷度出現(xiàn)低于0 ℃的情況，持續(xù)時間達到1小時35分鐘。為了充分吸取本起運行事件的經(jīng)驗教訓(xùn)，制定針對性的糾正措施，需要對該事件進行根本原因分析。

1 AP1000非能動堆芯冷卻系統(tǒng)簡介

AP1000是美國西屋公司設(shè)計的單堆布置的雙環(huán)路壓水堆，它在傳統(tǒng)壓水堆核電技術(shù)的基礎(chǔ)上，采用非能動技術(shù)的安全系統(tǒng)，如非能動堆芯冷卻系統(tǒng)、非能動安全殼冷卻系統(tǒng)等[2]。

非能動堆芯冷卻系統(tǒng)(PXS)包括非能動堆芯余熱排出子系統(tǒng)和非能動安全注入子系統(tǒng)。非能動安全注入子系統(tǒng)包括兩個堆芯補水箱(CMT)，兩個蓄壓箱(ACC)，一個安全殼內(nèi)換料水箱(IRWST)和相應(yīng)的管道、閥門、儀表組成[3]。事故情況下，CMT以冷熱水密度差作為驅(qū)動力將冷的濃硼水注入堆芯，ACC則依靠罐內(nèi)和一回路壓力差為驅(qū)動力快速注入濃硼水，IRWST也儲存有濃硼水，采用重力差的方式為堆芯提供長期冷卻。

非能動堆芯余熱排出子系統(tǒng)PRHR從1號熱管段引出，返回1號蒸汽發(fā)生器下腔室，非能動余熱排出熱交換器布置在IRWST內(nèi)[4]，最終采用自然或強制循環(huán)的方式將堆芯余熱通過IRWST中的水、安全殼內(nèi)的空氣和鋼制安全殼傳遞到環(huán)境大氣中。

2 因果分析法和原因因素圖法簡介

因果分析法就是將分析對象看作一個結(jié)果，追溯對產(chǎn)生該結(jié)果有直接貢獻的各種因素，然后再將這些因素看成新的結(jié)果，重復(fù)以上過程，如此循環(huán)直到找出分析對象最根本的原因為止，因果分析法在尋找人因和設(shè)備故障類事件的根本原因時經(jīng)常使用[5]。在找到事件的失效點后，通過多層的因果分析就可以找出失效的根本原因，分析過程和結(jié)果可以用原因因素圖清晰表示[6]。

原因因素圖分析法是通過使用不同的圖形符號并配以適當(dāng)?shù)奈淖终f明將事件發(fā)生的過程、事件分析的過程以及事件分析的結(jié)果以圖形的方式表達出來的原因分析方法[7]。該方法具有清晰、直觀的特點，可以使讀者清楚地了解事件發(fā)生過程和原因推理，其他的分析工具，例如屏障分析法、因果分析法、變化分析法等也可為ECF提供信息輸入。

3 主要事件序列

某核電廠處于功率運行狀態(tài)，主給水喪失后啟動給水系統(tǒng)自動啟動，因蒸汽發(fā)生器(SG)液位下降到26%且無法維持，值長下令手動停堆，執(zhí)行停堆或安注應(yīng)急運行規(guī)程(E-0規(guī)程)。

00∶00∶00，操縱員由E-0規(guī)程引導(dǎo)轉(zhuǎn)至“停堆響應(yīng)應(yīng)急運行規(guī)程”(ES-0.1規(guī)程)，倒班技術(shù)顧問開始執(zhí)行關(guān)鍵安全功能狀態(tài)樹規(guī)程(F-0規(guī)程)。

00∶02∶00 操縱員執(zhí)行ES-0.1步驟4，判斷兩臺SG壓力穩(wěn)定，繼續(xù)執(zhí)行后續(xù)步驟，但實際上此時SG壓力已出現(xiàn)緩慢下降趨勢。

00∶11∶00，為防止冷段溫度降至S信號觸發(fā)定值263 ℃，副值長(CRS)根據(jù)白班值的經(jīng)驗反饋建議，下令支持操縱員(SO2)調(diào)小蒸汽發(fā)生器啟動給水調(diào)節(jié)閥至30%。SO2先是緩慢調(diào)小閥門開度，隨后在其他人員催促下快關(guān)至30%，此時SG液位和給水流量符合PRHR啟動條件，自動觸發(fā)PRHR。

00∶13∶12，由于PRHR強制循環(huán)，同時二回路除氧器和汽輪機軸封用汽冷卻，導(dǎo)致一回路冷段溫度迅速下降至S信號觸發(fā)定值，CMT自動啟動，反應(yīng)堆操縱員(NO1)根據(jù)ES-0.1規(guī)程跳回至規(guī)程E-0第5步。

00∶31∶02，NO1根據(jù)E-0步驟34和步驟35，判斷機組狀態(tài)滿足非能動安全系統(tǒng)終止條件，隨后復(fù)位S信號并關(guān)閉CMT A/B出口隔離閥。

00∶35∶00，由于RCS冷管溫度在60 min內(nèi)下降超過56 ℃，RCS壓力和冷管溫度均在限值曲線A(為保證一回路壓力邊界完整的壓力和溫度曲線)右側(cè)且RCS冷管溫度低于115 ℃，滿足F-0規(guī)程橙色工況，CRS根據(jù)規(guī)程要求，下令開始執(zhí)行帶壓熱沖擊即將發(fā)生的響應(yīng)規(guī)程 (FR-P.1)。

00∶39∶19，NO1根據(jù)FR-P.1規(guī)程步驟4～6通過自動泄壓系統(tǒng)(ADS)對RCS進行手動降壓至6 MPa，隔離兩臺安注箱。20 min后，PZR窄量程液位上升至滿量程。

01∶22∶05，RCS壓力滿足FR-P.1規(guī)程步驟6停止降壓準(zhǔn)則，NO1關(guān)閉ADS系統(tǒng)，但在PRHR的冷卻作用下，RCS壓力仍然緩慢下降，堆芯過冷度也在緩慢下降。

01∶37∶31，NO1根據(jù)FR-P.1規(guī)程步驟25RNO，開啟壓力容器頂蓋排氣閥(RCS-V150A/C)來降低穩(wěn)壓器液位，將壓力容器頂蓋可能存在的汽體排放至IRWST。

01∶55∶19后，因穩(wěn)壓器液位未下降，副值長與值長討論認為壓力容器頂蓋處沒有汽空間，命令NO1關(guān)閉RCS-V150A/C。

02∶11∶39，RCS壓力降低至1.357 MPa，PZR水位從100%開始緩慢下降。6 min后，1號機操(CO1)通過啟動給水調(diào)節(jié)閥2-SGS-V255A/B開始向SG供水。

02∶56∶00，根據(jù)規(guī)程FR-P.1連續(xù)步驟29，因狀態(tài)不滿足堆芯出口溫度過冷度大于6 ℃，且PZR窄量程液位大于10%的要求，NO1手動觸發(fā)CMT，PRHR也隨即啟動。

03∶11∶00，為了建立二回路熱阱，副值長根據(jù)FR-P.1規(guī)程步驟30下令開啟主蒸汽大氣釋放閥(PORV)，對SG進行降溫降壓。48 s后，因一回路壓力持續(xù)下降，堆芯出口過冷度降低至0 ℃以下。

03∶52∶56，根據(jù)FR-P.1規(guī)程40步RNO，NO1再次開啟RCS-V150A/C對穩(wěn)壓器進行降液位，20 min后因穩(wěn)壓器液位依然沒有下降趨勢，便關(guān)閉RCS-V150A/C。

04∶17∶15，根據(jù)FR-P.1規(guī)程第32步連續(xù)步驟引導(dǎo)，2號機操(CO2)判斷RCS溫度不穩(wěn)定，執(zhí)行蒸汽排放至凝汽器規(guī)程(ES-0.3)步驟4RNO，復(fù)位主蒸汽隔離信號，并開始緩慢手動打開主蒸汽旁路隔離閥，對下游蒸汽管線進行暖管。14 min后，堆芯出口過冷度上升至0 ℃以上。

04∶47∶38，因PORV閥開度自動變化，導(dǎo)致堆芯出口過冷度再次降至0 ℃以下。CO2執(zhí)行ES-0.3規(guī)程步驟4RNO，手動打開主蒸汽隔離閥A/B。16 min后，堆芯出口過冷度上升至0 ℃以上。

05∶12∶00，機組狀態(tài)滿足FR-P.1連續(xù)步驟26條件，手動關(guān)閉CMT。

05∶47∶00，執(zhí)行至FR-P.1規(guī)程步驟30，CO2通過每次降低0.01 MPa的方式來調(diào)整旁排壓力設(shè)定值，但在設(shè)定0.99 MPa時誤將該值設(shè)定為0.9 MPa，導(dǎo)致旁排閥開度過大，再次觸發(fā)CMT和PRHR，CRS下令CO2將旁排閥關(guān)小直至全關(guān)。

05∶49∶12，根據(jù)FR-P.1規(guī)程連續(xù)操作步驟32RNO， NO1手動復(fù)位PRHR信號，調(diào)節(jié)關(guān)小PXS-V108A/B開度。

直至10∶45∶00，運行值根據(jù)規(guī)程成功建立二回路熱阱，并將各安全系統(tǒng)退出運行，事件處理過程結(jié)束。

4 事件原因分析

4.1 失效點原因分析

使用ECF分析法梳理事件序列并確定了6個失效點，隨后采用因果分析法對失效點的原因進行進一步分析。

(1)ES-0.1規(guī)程步驟4要求不明確，導(dǎo)致操縱員判斷錯誤

運行人員執(zhí)行至ES-0.1第4步時確認SG壓力穩(wěn)定，不執(zhí)行4RNO步驟“減少給水流量或關(guān)閉主蒸汽管線隔離閥”。事后查閱SG壓力記錄，顯示當(dāng)時SG壓力已出現(xiàn)了緩慢下降的趨勢。由于操縱員未執(zhí)行減少給水流量或關(guān)閉主蒸汽管線隔離閥的操作，導(dǎo)致RCS冷段溫度在12 min內(nèi)下降了11 ℃。

失效的原因為ES-0.1步驟4中未明確SG壓力穩(wěn)定或上升的判定依據(jù)，操縱員短時間內(nèi)難以準(zhǔn)確評價SG壓力是否穩(wěn)定，且該步驟不是連續(xù)步驟，盡管此后SG壓力持續(xù)緩慢下降，但操縱員仍執(zhí)行4RNO。

(2)CRS偏離應(yīng)急運行規(guī)程下達了不完整的指令

機組停機停堆后白班值擅自進入主控室參與事件應(yīng)對工作。操縱員執(zhí)行至ES-0.1步驟11時，根據(jù)規(guī)程要求應(yīng)檢查啟動給水調(diào)節(jié)閥處于自動狀態(tài)并維持SG窄量程液位在35%和52.5%之間，此時副值長根據(jù)白班值不適用的經(jīng)驗反饋建議，下令SO2手動調(diào)節(jié)關(guān)小啟動給水調(diào)節(jié)閥(2-SGS-V255A/B)至30%。CRS下達的工作指令中未包含ES-0.1規(guī)程中要求的控制SG液位范圍，不滿足《運行行為規(guī)范》“下令將自動系統(tǒng)置于手動之前，必須確定受控參數(shù)和控制帶”的規(guī)定。

(3)操縱員在主控室其他人員干擾下執(zhí)行了快關(guān)操作

在SO2調(diào)節(jié)關(guān)小啟動給水調(diào)節(jié)閥(2-SGS-V255A/B)的過程中，因主控室其他人員催促SO2快關(guān)啟動給水調(diào)節(jié)閥至30%開度，且SO2在未經(jīng)分析風(fēng)險的情況下盲目執(zhí)行快關(guān)操作后導(dǎo)致PRHR自動觸發(fā)，但在平時的操縱員培訓(xùn)課程中明確要求應(yīng)采用緩慢、平滑的控制手段調(diào)節(jié)啟動給水調(diào)節(jié)閥。

(4)操縱員打開壓力容器頂蓋排氣閥對穩(wěn)壓器降液位失敗

根據(jù)FR-P.1規(guī)程25RNO和40RNO的要求，操縱員兩次開啟壓力容器頂蓋排氣閥，穩(wěn)壓器液位都未出現(xiàn)預(yù)期下降現(xiàn)象，實際上，在反應(yīng)堆冷卻劑系統(tǒng)降溫降壓過程中，壓力容器頂蓋內(nèi)存在冷卻劑滯留區(qū)，在換熱不充分的情況下可能汽化形成汽腔從而擠壓冷卻劑進入穩(wěn)壓器，造成穩(wěn)壓器液位上升。此外，事件中S信號觸發(fā)導(dǎo)致二回路給水和排汽隔離，隨著一回路降溫降壓，二回路溫度逐漸超過一回路溫度，對SG一次側(cè)冷卻劑形成加熱作用，SG一次側(cè)的U型管內(nèi)也可能存在汽空間。

該情況表明FR-P.1規(guī)程所要求的通過壓力容器頂蓋排氣降低PZR液位的操作指令不適用于當(dāng)前工況。另外，該規(guī)程中也未說明在穩(wěn)壓器未出現(xiàn)預(yù)期下降現(xiàn)象時應(yīng)采取的措施。

(5)操縱員執(zhí)行規(guī)程FR-P.1連續(xù)步驟29不及時

02:21:00，該機組堆芯出口過冷度已降低至6 ℃以下，根據(jù)FR-P.1連續(xù)步驟29的要求，當(dāng)堆芯不滿足過冷度大于6 ℃，同時PZR窄量程液位大于10%時，應(yīng)按照29RNO的要求手動觸發(fā)CMT，直至02:56:00才手動觸發(fā)CMT，規(guī)程實際執(zhí)行時間比要求時間滯后了35 min。該失效點表明操縱員因?qū)σ?guī)程不熟悉，對關(guān)鍵參數(shù)監(jiān)測不及時，導(dǎo)致未嚴格按照規(guī)程執(zhí)行。

(6)CO2在降低旁排壓力時輸入錯誤的旁排壓力設(shè)定值

CO2通過每次降低0.01 MPa的方式來調(diào)整旁排壓力設(shè)定值，在無人員監(jiān)護的情況下時誤將旁排壓力值0.99 MPa設(shè)定為0.9 MPa，導(dǎo)致旁排閥開度過大，二回路帶熱量增加，一回路溫度和穩(wěn)壓器液位隨之降低，再次觸發(fā)CMT和PRHR動作。

可以看出，操縱員在執(zhí)行高風(fēng)險操作時未安排人員監(jiān)護，也沒有進行自檢，不滿足《運行行為規(guī)范》中關(guān)于“操縱員在主控室進行設(shè)備操作時，應(yīng)使用防人因失誤工具，包括：自檢、監(jiān)護、并行驗證、獨立驗證”的要求。

4.2 根本原因分析

采用因果分析法進一步挖掘和歸納上述分析結(jié)果中更深層次的原因，最終得到原因因素圖(見圖1)，主要包含以下兩點。

圖1 原因因素圖Fig.1 Event cause factor chart

(1)應(yīng)急運行規(guī)程不完善

事件期間出現(xiàn)多次因應(yīng)急規(guī)程制定不完善而導(dǎo)致操縱員誤操作的情況，從而使得事件不斷惡化，主要體現(xiàn)在：第一，ES-0.1步驟4規(guī)程中未明確SG壓力穩(wěn)定或上升的判定依據(jù)，導(dǎo)致操縱員未執(zhí)行正確的關(guān)閉。此外，該步驟不是連續(xù)步驟，盡管此后SG壓力仍持續(xù)緩慢下降，但操縱員按照程序要求仍無需采取關(guān)閉主蒸汽隔離閥等操作。第二，本次事件中由于一回路過冷度小于0 ℃，一回路壓力容器頂蓋和SG一次側(cè)的U型管內(nèi)附近都可能存在汽腔，操縱員根據(jù)FR-P.1規(guī)程25RNO和40RNO的要求，兩次開啟壓力容器頂蓋排氣閥RCS-V150A/C降低穩(wěn)壓器液位都未達到降低液位的效果，該規(guī)程中缺乏穩(wěn)壓器液位未下降應(yīng)采取的措施和條款。第三，本次事件中S信號觸發(fā)后二回路給水排氣被隔離，隨后規(guī)程指引操縱員對一回路進行降溫降壓操作，但對二回路的相關(guān)操作指令滯后。事件過程中由于二回路溫度及壓力高于一回路，進而形成倒傳熱引發(fā)蒸汽發(fā)生器一次側(cè)U型管內(nèi)部冷卻劑氣化。

(2)營運單位對于工作計劃或過程的有效性監(jiān)督不夠

事件中，操縱員多次未嚴格遵守培訓(xùn)要求、《運行操作的程序控制》和《運行行為規(guī)范》中的相關(guān)規(guī)定等，同時也出現(xiàn)了偏離應(yīng)急運行規(guī)程操作導(dǎo)致安全系統(tǒng)動作的情況。這體現(xiàn)了營運單位對調(diào)試試驗、日常運行、事件響應(yīng)工作中出現(xiàn)的不按規(guī)程操作的情況缺乏管理，工作有效性無法得到保障。

5 結(jié)論

對本次事件中出現(xiàn)的操縱員行為失誤導(dǎo)致PRHR啟動、手動停堆后S信號觸發(fā)、堆芯過冷度監(jiān)控不及時、錯誤輸入旁排壓力設(shè)定值等問題，建議從規(guī)程、工作實踐管理兩方面著手：

(1)驗證規(guī)程有效性

在本次事件中AP1000應(yīng)急規(guī)程出現(xiàn)了關(guān)鍵步驟缺乏判斷準(zhǔn)則、二回路相關(guān)操作要求滯后、規(guī)程指引動作失效的情況，建議營運單位對應(yīng)急運行規(guī)程有效性進行評估，明確非能動安全系統(tǒng)觸發(fā)條件和事件處理過程中需重點關(guān)注的關(guān)鍵參數(shù)。

(2)營運單位應(yīng)加強對各項工作的督導(dǎo)

事件中出現(xiàn)了操縱員不嚴格遵守《運行操作的程序控制》《運行行為規(guī)范》和《應(yīng)急運行規(guī)程》，以及對芯過冷度監(jiān)控不及時、錯誤輸入旁排壓力設(shè)定值等問題。為此，建議營運單位加強人員培訓(xùn)，保證相關(guān)人員熟悉規(guī)程要求。采取工作觀察、督導(dǎo)、考核等措施，糾正員工的不良工作習(xí)慣，要求工作人員嚴格按照相關(guān)規(guī)程開展工作。采用監(jiān)護操作、三段式溝通、明星自檢等防人因失誤工具保證人員行為可靠性。