基于故障樹分析法的乏燃料水池失去冷卻事件分析

劉時賢，侯秦脈，褚倩倩，車樹偉，焦 峰

（生態(tài)環(huán)境部核與輻射安全中心，北京 100082）

為了吸取執(zhí)照運行事件的經(jīng)驗教訓(xùn)，采取糾正措施防止類似事件重發(fā)，營運單位和核安全監(jiān)管機構(gòu)普遍要求對核電廠執(zhí)照運行事件進(jìn)行事件調(diào)查和根本原因分析。根本原因分析方法主要有故障樹分析法、屏障分析法、任務(wù)分析法、事件原因因素圖（ECF）分析法等。其中，故障樹分析法用樹狀圖來直觀地表示所有可能導(dǎo)致分析失效發(fā)生的原因，可以幫助確定事件可能的故障模式、故障的可能原因，并確定降低故障概率可以采取的措施［1］。

目前，故障樹分析法已在事件分析中得到廣泛應(yīng)用，如苑景凱等［2］結(jié)合REA系統(tǒng)設(shè)備運行控制原理及電磁流量計的原理，確定了導(dǎo)致REA系統(tǒng)自動補給因硼酸流量不一致跳閘的根本原因；王媛媛等［3］采用動態(tài)故障樹建立了核電廠數(shù)字化化學(xué)與容積控制系統(tǒng)上充功能的可靠性模型，采用最小割集法和Markov模型進(jìn)行可靠性定量分析；盧少林等［4］對柴油機缸蓋損壞的嚴(yán)重事故的因素進(jìn)行排查，確定了事故的根本原因。已有故障樹分析法的應(yīng)用主要集中于系統(tǒng)或設(shè)備故障事件分析，在人因事件分析中的應(yīng)用較少。在人因事件的分析中，因果分析法和原因因素圖法應(yīng)用較多，如焦峰等［5］對控制棒驅(qū)動機構(gòu)電源全部喪失導(dǎo)致反應(yīng)堆自動停堆事件進(jìn)行了根本原因分析；馬國強等［6］對某核電廠主給水喪失手動停堆后操縱員人因失誤進(jìn)行原因分析。上述工作［5，6］表明，目前對人因事件進(jìn)行分析較多使用原因因素圖法或因果分析法，較少采用故障樹分析法，本文將采用故障樹分析法對人因事件進(jìn)行根本原因分析。

2020年6月，國內(nèi)某核電廠操縱員錯誤關(guān)閉1號機組設(shè)備冷卻水系統(tǒng)（1RRI）公用負(fù)荷隔離閥，導(dǎo)致乏燃料水池失去冷卻8.5 min，違反了運行技術(shù)規(guī)范［7］。本文通過故障樹分析法對該事件進(jìn)行根本原因分析。

1 故障樹分析法簡介

故障樹分析法用樹狀圖來直觀地表示所有可能導(dǎo)致分析失效發(fā)生的原因［1］。通常最上層的棱形表示要調(diào)查的主要失效，即頂事件。故障樹中，橢圓形用來表示所有的失效或原因，下一層橢圓表示其上一層失效的原因，這些原因本身或它們的組合直接導(dǎo)致了上一層失效的發(fā)生；而對其下一層來說，它又表示要繼續(xù)調(diào)查的失效。導(dǎo)致每個第二層原因/失效的最直接原因列在第三層。重復(fù)這一過程，最后形成一個展開的有大量分枝的樹狀圖。位于故障樹最底層的橢圓，就是導(dǎo)致失效的深層次原因。

為了使故障樹圖有效并且容易理解，需要遵循以下兩條基本準(zhǔn)則：第一，下一層的橢圓與上一層的橢圓必須通過邏輯門連接起來，即每個失效必須與原因通過邏輯關(guān)系連接，如或門、與門、非門以及與非門等。第二，一個邏輯門不能直接連到另一個邏輯門上，邏輯門只能連接上一層的原因或失效和下一層的原因或失效。當(dāng)兩個或兩個以上的原因同時存在才可導(dǎo)致上一層失效時，用“與門”；在識別的原因里只要其中一個原因存在就能導(dǎo)致上一層失效時，用“或門”，故障樹流程如圖1所示。

圖1 故障樹流程Fig.1 Flowchart of fault tree

故障樹能夠清晰地表達(dá)原因和失效（上一層的原因）的邏輯關(guān)系。在故障樹的末端需要判斷消除哪些因素才能避免失效的出現(xiàn)，如果這一失效是事件發(fā)生的主要原因，那么這些末端的原因就是事件發(fā)生的根本原因。但建立正確的故障樹需要花費大量的時間，而且比其他分析方法需要更多的專業(yè)知識。

經(jīng)過多年的人類行為學(xué)研究，人們對出現(xiàn)不當(dāng)行為的原因有了較深刻的認(rèn)識，從而對導(dǎo)致人的不當(dāng)動作或狀態(tài)的原因進(jìn)行了歸納，這些歸納的成果為人因事件的故障樹分析提供了指引。通常采用“人員失誤分析五類因素引導(dǎo)模型”或“人員失誤或不當(dāng)動作失效機理分析模型”進(jìn)行人員失誤分析［8］，本文采用第一種模型對人因失誤事件進(jìn)行故障樹分析。

2 主要事件序列

2020年6月20日，某核電廠處于換料停堆模式。當(dāng)天11:30 ，召開T1 EIE001工前會，約12:00 ，操縱員開始設(shè)置T1EIE001 狀態(tài)，在確認(rèn)1RRI公用熱交換器切換至B列供水后，執(zhí)行主控部分第3步：通知現(xiàn)場關(guān)閉1RRI A列的公用熱交換器的手動隔離閥1RRI039/060VN，如圖2所示。

圖2 RRI系統(tǒng)圖Fig.2 Diagram of RRI system

14:59，操縱員執(zhí)行T1EIE001的A列安噴試驗后的恢復(fù)操作，在執(zhí)行“恢復(fù)來自A列的公用熱交換器供水閥1RRI041/058VN”指令時，開啟1RRI041/058VN（根據(jù)試驗程序的邏輯，應(yīng)該保持1RRI041/058VN關(guān)閉），操縱員看到程序備注信息“根據(jù)當(dāng)時1RRI運行狀態(tài)設(shè)置，防止串水”及1RRI A/B列公用負(fù)荷電動閥門均處于開啟狀態(tài)，誤認(rèn)為發(fā)生了串水，忘記之前在初態(tài)設(shè)置時已通知現(xiàn)場將1RRI A列至公用熱交換器的手動隔離閥1RRI039/060VN關(guān)閉，在未通過1RRI頭箱液位趨勢確認(rèn)是否已發(fā)生串水的情況下，向機組長申請操作1RRI006KG將1RRI公用負(fù)荷切換至A列冷卻，機組長未核實程序指令，也未獨立核實1RRI頭箱液位，便同意操縱員執(zhí)行操作，關(guān)閉了1RRI B列的公用熱交換器電動供水閥1RRI040/059VN。

15:08，操縱員執(zhí)行程序到要求現(xiàn)場“開啟A列的公用熱交換器供水閥1RRI039/060VN”指令時，意識到之前關(guān)閉1RRIB列的公用熱交換器電動供水閥1RRI040/059VN是錯誤的，重新開啟了1RRI040/059VN恢復(fù)公用熱交換器冷卻水，同時關(guān)閉1RRI A列的公用熱交換器電動供水閥1RRI041/058VN。

15:14，操縱員告知機組長執(zhí)行錯誤操作導(dǎo)致1RRI公用負(fù)荷流量短時失去。

16:35左右，機組長匯報值長，因程序理解偏差進(jìn)行操作導(dǎo)致1RRI公用負(fù)荷短時失去流量，值長考慮試驗將要結(jié)束，且狀態(tài)已經(jīng)恢復(fù)，同意機組長和操縱員繼續(xù)執(zhí)行試驗。

6月23日夜班后，值長進(jìn)行值班小結(jié)時，與機組長再次回顧執(zhí)行T1EIE001的過程，認(rèn)識到存在錯誤操作閥門偏差，對反應(yīng)堆換料水池和乏燃料水池冷卻和處理系統(tǒng)（PTR）的可用性受到影響需進(jìn)行分析，填寫人因偏差單進(jìn)行報告。

事件導(dǎo)致乏燃料水池失去冷卻8.5 min，乏燃料水池溫度由30.85℃上升至30.95℃，違反運行技術(shù)規(guī)范中“PTR系統(tǒng)兩列必須可用，其中至少一列運行以保證乏燃料水池的冷卻”的規(guī)定。

3 事件原因分析

3.1 事件的故障樹分析

（1）確定事件的主要失效點作為頂事件

本事件的主要失效點是操縱員錯誤關(guān)閉了1RRI B列至公用用戶電動隔離閥1RRI040/059VN，導(dǎo)致乏燃料水池失去冷卻。將主要失效點“錯誤關(guān)閉1RRI B列至公用用戶電動隔離閥”放在棱形框內(nèi)，作為故障樹的頂事件，是本次集中分析的重點問題。

（2）確定頂事件的所有可能原因和邏輯關(guān)系

頂事件“錯誤關(guān)閉1RRI B列至公用用戶電動隔離閥”屬于人因失誤事件，其所有可能原因包括交流問題、人員表現(xiàn)問題、人機接口問題、工作控制問題、管理方法問題五個方面［8］，用或門作為邏輯門將頂事件與其所有可能的五個原因連接起來，如圖3所示。從主要事件序列可知，本事件只涉及人員表現(xiàn)問題和工作控制問題，不涉及交流問題、人機接口問題以及管理方法問題。因此人員表現(xiàn)問題和工作控制問題作為需要進(jìn)一步分析的第一層原因，必須深層次分析。

（3）確定頂事件的第二層原因

將所找出的與本事件相關(guān)聯(lián)的第一層原因“人員表現(xiàn)問題”“工作控制問題”作為失效，去調(diào)查這兩個失效的原因，即頂事件的第二層原因，并用邏輯關(guān)系將這些原因和失效連接起來，如圖4所示。

圖4 頂事件的第二層原因Fig.4 The second causes of the top event

首先，“人員表現(xiàn)問題”的原因包括外部原因和內(nèi)部原因。其中，外部原因是指程序指令不明確，要求操縱員判斷執(zhí)行：操縱員執(zhí)行T1EIE001程序指令“恢復(fù)來自A列的公用熱交換器供水閥1RRI041/058VN”時，指令未明確是“開啟”還是“關(guān)閉”閥門，容易導(dǎo)致操縱員理解錯誤。內(nèi)部原因是指操縱員未正確理解程序的邏輯及指令的目的：程序指令要求“恢復(fù)來自A 列的公用熱交換器供水閥 1RRI041/058VN”，操縱員理解為試驗準(zhǔn)備階段設(shè)置的初態(tài)（試驗準(zhǔn)備階段，現(xiàn)場關(guān)閉 A 列公用負(fù)荷手動隔離閥 1RRI039/60VN 后開啟相應(yīng)電動隔離閥1RRI041/058VN ），錯 誤 開 啟 1RRI041/058VN（根據(jù)試驗程序的邏輯，應(yīng)該保持關(guān)閉），同時操縱員看到程序備注信息“根據(jù)當(dāng)時1RRI運行狀態(tài)設(shè)置，防止串水”以及1RRI A/B列公用負(fù)荷電動閥門均處于開啟狀態(tài)，誤認(rèn)為發(fā)生了串水，忘記之前在初態(tài)設(shè)置時已通知現(xiàn)場將1RRI A列至公用熱交換器的手動隔離閥1RRI039/060VN關(guān)閉，在未通過1RRI頭箱液位趨勢確認(rèn)是否已發(fā)生串水的情況下，向機組長申請操作1RRI006KG將1RRI公用負(fù)荷切換至A列冷卻（關(guān)閉1RRI B列的公用熱交換器電動供水閥1RRI040/059VN），實施了不當(dāng)操作。

其次，“工作控制問題”的原因包括工作組織、計劃存在問題，監(jiān)護(hù)、指導(dǎo)存在問題。其中，工作組織、計劃存在問題是指核電廠對重大高風(fēng)險活動準(zhǔn)備、管控不足：T1EIE001為大修期間高風(fēng)險運行活動，根據(jù)管理程序《運行一二部大修管理》要求，“大修中，對于篩選出的有重大風(fēng)險以及理解和執(zhí)行上有困難的定期試驗，其每一個試驗都應(yīng)在試驗前一周落實運行值的專人進(jìn)行準(zhǔn)備并由其負(fù)責(zé)按計劃執(zhí)行。定期試驗負(fù)責(zé)人應(yīng)與指定執(zhí)行人一起準(zhǔn)備，必要時尋求各專業(yè)的技術(shù)支持或成立專業(yè)小組。定期試驗負(fù)責(zé)人對試驗的全過程進(jìn)行跟蹤協(xié)調(diào)。”該試驗T1EIE001屬于篩選出的有重大風(fēng)險以及理解和執(zhí)行上有困難的定期試驗［7］，核電廠只在執(zhí)行試驗的前一天（6月19日）20:20召開預(yù)工前會，未提前交底，不符合管理程序《運行一二部大修管理》要求。因此，電廠對重大高風(fēng)險活動準(zhǔn)備、管控不足，試驗實施過程中未采取有效措施進(jìn)行風(fēng)險管控。監(jiān)護(hù)、指導(dǎo)存在問題是指機組長屏障失效，未對操縱員提供有效的監(jiān)護(hù)和支持：執(zhí)行T1EIE001過程中，當(dāng)操縱員通知機組長需操作1RRI006KG將1RRI公用負(fù)荷切換至A列冷卻時，機組長僅檢查了1RRI A/B兩列為公用熱交換器供水的電動閥門已開啟，既未核實程序指令，也未獨立核實1RRI頭箱液位，便同意操縱員執(zhí)行操作關(guān)閉了1RRI B列的公用熱交換器供水閥1RRI040/059VN。因此，機組長試驗管控能力不足，未對操縱員提供有效的監(jiān)護(hù)和支持，機組長屏障失效。

（4）確定頂事件的第三層原因

將頂事件的第二層原因“內(nèi)部原因：操縱員未正確理解程序的邏輯及指令的目的”作為失效，去調(diào)查其失效的原因，即頂事件的第三層原因，并用邏輯關(guān)系將原因和失效連接起來，如圖5所示。

“內(nèi)部原因：操縱員未正確理解程序的邏輯及指令的目的”的深層次原因包括操縱員試驗準(zhǔn)備、工作技能不足，以及操作過程中未采取自檢或其他防人因失誤方法。操縱員試驗準(zhǔn)備不足體現(xiàn)在：操縱員首次執(zhí)行本次試驗，缺乏試驗經(jīng)驗，且試驗未提前交底；工作技能不足主要體現(xiàn)在：操縱員忘記之前在初態(tài)設(shè)置時已通知現(xiàn)場將1RRI A列至公用熱交換器的手動隔離閥1RRI039/060VN關(guān)閉，也未檢查1RRI頭箱液位趨勢，錯誤判斷RRI發(fā)生了串水后操作不當(dāng)；操作過程中未采取自檢或其他防人因失誤方法體現(xiàn)在：操縱員在試驗過程中執(zhí)行T1EIE001程序指令“恢復(fù)來自A列的公用熱交換器供水閥1RRI041/058VN”時，在程序指令不明確的情況下，未采取“STOP（停）、THINK（思）、ACT（行）、REVIEW（審）”的自檢原則，也未采取質(zhì)疑的態(tài)度或者不確定時暫停等其他防人因失誤方法。

3.2 事件的根本原因分析

從圖5可知，操縱員錯誤關(guān)閉1RRI公用負(fù)荷隔離閥導(dǎo)致乏燃料水池失去冷卻事件的根本原因是：1）操縱員試驗準(zhǔn)備、工作技能不足，且操作過程中未采取自檢或其他防人因失誤方法；2）機組長屏障失效，未對操縱員提供有效的監(jiān)護(hù)和支持；3）核電廠對重大高風(fēng)險活動的準(zhǔn)備和管控不足。操縱員錯誤關(guān)閉1RRI公用負(fù)荷隔離閥導(dǎo)致乏燃料水池失去冷卻事件的促成原因是：程序指令不明確，要求操縱員判斷執(zhí)行。

圖5 頂事件的第三層原因Fig.5 The third causes of the top event

4 結(jié)論

本文介紹了國內(nèi)某核電廠1號機組操縱員錯誤關(guān)閉1RRI公用負(fù)荷隔離閥導(dǎo)致乏燃料水池失去冷卻事件，并應(yīng)用故障樹分析法查找其根本原因。通過梳理事件序列，確定事件的主要失效點為錯誤關(guān)閉1RRI B列至公用用戶電動隔離閥，作為故障樹的頂事件；從頂事件出發(fā)，不斷查找故障樹上一層失效的原因，找出導(dǎo)致主要失效點的深層次原因，從而確定事件發(fā)生的根本原因。

本事件的根本原因是：操縱員試驗準(zhǔn)備、工作技能不足，操作過程中未采取自檢或其他防人因失誤方法；機組長屏障失效，未對操縱員提供有效的監(jiān)護(hù)和支持；核電廠對重大高風(fēng)險活動的準(zhǔn)備和管控不足。根據(jù)事件的根本原因，建議營運單位從以下三個方面進(jìn)行改進(jìn)：

1）加強員工技能培訓(xùn)。本事件中出現(xiàn)了操縱員未正確理解程序的邏輯及指令的目的，以及未采取自檢或其他防人因失誤工具，建議營運單位加強人員技能培訓(xùn)，保證相關(guān)工作人員熟悉并理解程序要求。同時建議營運單位對重要工作強制使用“質(zhì)疑態(tài)度、明星自檢、監(jiān)護(hù)”等防人因失誤工具，保證人員行為可靠性。

2）完善高風(fēng)險活動的管控。本事件中的試驗屬于重大風(fēng)險以及理解和執(zhí)行上有困難的定期試驗，核電廠未按照程序要求進(jìn)行提前交底。因此建議營運單位完善大修運行高風(fēng)險活動的組織流程和管控細(xì)則，明確大修工作人員在大修準(zhǔn)備、實施階段的規(guī)定動作和職責(zé)。

3）強化機組長屏障。本事件中出現(xiàn)機組長未對操縱員提供有效的監(jiān)護(hù)和支持，建議營運單位建立機組長能力模型并實施機組長能力提升的方案，強化機組長屏障。

本文采用“人員失誤分析五類因素引導(dǎo)模型”進(jìn)行人因事件分析，可為采用故障樹分析法對人因事件進(jìn)行根本原因分析提供參考。