基于國際項目實踐的核電站人因安全分析方法研究

徐志輝，劉 鵬，賈 明，張宇欣，劉朝鵬，楊 明

基于國際項目實踐的核電站人因安全分析方法研究

徐志輝1,2，劉 鵬2，賈 明2，張宇欣1，劉朝鵬2，楊 明1,*

（1. 哈爾濱工程大學 核科學與技術學院，黑龍江 哈爾濱 150001；2. 核電安全監控技術與裝備國家重點實驗室 中廣核工程有限公司，廣東 深圳 518172）

受人因工程應用基礎理論、基礎數據缺乏以及方法論工程應用能力不足等因素的制約，目前核電站人因設計與分析均圍繞各人因要素相對獨立地開展工作，集成性不足且具有明顯的應用局限性。本文基于國際標準要求，提出了一種人因要素集成化、系統化實施新技術，并在“華龍一號”英國通用設計審查實踐中開展了工程應用。實踐表明，該系統化的人因安全集成分析新方法能有效融合人因工程多種要素并與核電站設計充分結合，從而更為全面和綜合地評估核電站設計階段的人因安全風險狀況，并通過將風險信息在各設計環節之間進行傳遞和迭代，促進人因工程原則的深入應用，為核電站人因安全水平提升提供了新的技術保障途徑。

核電站；人因安全；人因工程；迭代分析

人因失誤是核電廠事故發生和發展的重要因素已得到國際公認，核電等高安全性要求行業對于提升人因風險管理水平的需求日漸迫切。但是在相關事故的分析報告或者安全研討中，技術失效的分析仍然占主導地位，這種明顯偏差產生原因之一是人因工程化分析技術仍不成熟，無法對復雜工業系統中的安全關鍵人員任務進行綜合分析和風險評估。

人因工程（HFE）泛指運用跨學科理論和方法，研究人、工業系統及工作環境之間的相互關系，使系統設計滿足人的生理、心理特性并實現人機安全、高效和協同運行。在核電站，人因工程關注應用人的能力和局限性的知識進行電廠、系統和設備設計，提供合理保證，使電廠、系統、設備、人員任務和工作環境符合人員的感覺、知覺、認知以及身體素質的特性[1]。

我國在IEC和IEEE標準的基礎上結合國內實踐經驗發布了系列核電人因工程標準，其中簡要提到了人因分析的相關要求，但缺少具體的安全審評和設計實施指導細則。近年來，國內監管方和設計方在實踐中主要參考美國核管會（NRC）發布的《人因工程項目審評模型》（NUREG-0711）[2]、《人—系統界面設計審評指南》（NUREG-0700）[3]等導則。NUREG-0711系統介紹了核電人因設計及評估的基本步驟和監管期望。但NUREG-0711發布于2012年，無法精準指導數字化核電廠的人因分析，同樣缺少人因分析實施的具體方法或技術路徑。核電站設計者及人因工程師如何在復雜人機系統設計中集成化、系統化實施人因分析工作仍是亟待解決的問題。

針對上述問題，本文結合“華龍一號”英國通用設計審查的最新工程實踐和國際標準要求，提出一種多人因要素集成的人因分析工程化應用新方法。

1　人因分析工程化應用的難點討論

NUREG-0711描述了核電站人因設計與分析審查流程，該流程以電廠設計為總輸入，涵蓋了人因工程大綱、經驗反饋、功能分析與分配、任務分析、重要人員動作、人員配置與資質、人機接口、規程開發、培訓開發、人因驗證與確認、設計實現和人員效能監測等12項人因要素。

根據NRC的審評經驗，NUREG-0711在“重要人員動作處理”章節給出了一張重要人員動作（Important Human Action）在人因工程中角色的示意圖，如圖1所示。圖中通過帶箭頭的連接線描述了各要素之間的相關性，旨在闡述重要人員動作與人因工程其他要素的關聯與支撐關系，鼓勵人因工程師綜合考慮不同人因要素分析結果的關聯和支撐關系。

該圖具有重要的指導意義，但由于NUREG-0711是審評模型，側重概念引導，對該實施流程并無過多的解釋，也沒有提供實施的方法指引，尤其是重要人員動作分析的完整來源、與任務分析之間的關系、與其他各要素之間的具體關聯方式等。另外，該圖是從重要人員動作輸入輸出關系的視角來組織人因工程各相關要素之間的關系，實踐中仍需要進一步從人因安全系統性分析論證的視角來細化重要人員動作在人因工程中的角色。

圖1　重要人員動作在人因工程中的角色

因此，基于構建集成化、系統化的人因安全分析技術視角來說，該圖仍存在以下需要完善的環節：

（1）未說明關聯關系的建立途徑，需要結合工程實踐和技術手段對關聯關系進行調整；

（2）基于電站成熟設計作為輸入，不能在設計前期介入，無法有效消除設計全生命周期中的人因風險；

（3）未給出電站多專業集成與迭代設計特性的實施技術路徑指引；

（4）在任務分析環節之外開展重要人員動作分析，導致概念混淆與工作重疊；

（5）未以風險控制為導向，缺乏任務風險分級的概念；

（6）缺少人員可靠性分析（Human reliability analysis）與量化環節。

2　集成化人因分析模型的提出

核電站受控發電（可用性）和保障電廠安全（安全性）的總體目標，分別由特定組合的高層級功能定義和承接。高層級功能如反應性控制等進一步層次化分解為注水系統或閥門等系統或設備層級的功能，由自動化系統或人員最終承接。而由人員承接的功能需要一組相互支撐的動作序列實現預定的任務目標。

重要人員動作是指由人員承接的、對電站安全性和可用性功能具有關鍵影響的動作，也被描述為高風險人員動作，控制了重要人員動作就可以有效降低人因風險，通常通過經驗反饋、概率論、確定論等領域的工作定性或定量地識別重要人員動作。重要人員動作不是孤立存在的，與其他支持性動作一起構成完整的人員任務序列。因此，重要人員動作的分析仍屬于任務分析的范疇，是任務分析的關鍵工作，更加強調了對于人因風險貢獻度較高的關鍵性動作的關注。

本文結合工程實踐，在NUREG-0711提供的圖1中人因要素關聯關系的思路啟發基礎上，提出了一種風險指引的集成化人因分析模型，如圖2所示。該模型以人因風險控制為牽引，以人因符合性提升為目標，在設計前期即開展集成性的人因分析和系統性論證工作，旨在系統性化消除人因風險，為人因安全提升提供有價值的洞察力。該模型的特點如下：

（1）全生命周期介入

圖1以電站已完成的設計作為唯一的輸入，對設計成品開展人因工程分析與評估。圖2可以在不同的設計階段提供不同詳細程度的人因輸入。在設計早期，以電站總體性設計和參考電站經驗反饋為輸入，使得人因分析在設計初期就可以介入；在設計的中間階段以電站詳細設計作為輸入，并隨著設計的深入迭代更新人因分析工作，直至設計成品完成最終的分析輸出，實現人因工程對設計的全生命周期滾動支撐。

（2）多人因要素有機集成

受人因應用基礎理論、基礎數據缺乏以及工程應用能力不足等因素的制約，工程實踐中人因各要素通常以相對獨立的方式開展設計和分析工作，各要素之間關聯和支撐關系較弱，集成性明顯不足。圖2在圖1的基礎上，繼承并依據工程經驗進一步優化十二要素的輸入輸出關系，建立了完整的人因分析論證模型，可以較好實現人因多要素的集成使用，使人因分析具備對電站設計的支撐能力。

（3）系統性分析與論證

圖1依據NRC經驗給出了人因工程十二要素之間可能存在的關聯關系，圖2在圖1的基礎上，進一步從系統性的角度，細化了從經驗反饋到人員效能監測之間的輸入輸出及迭代關系，并重點擴展了論證的核心部分—任務分析和可靠性評估技術的實施路徑，如將任務分析細化為基于功能的任務分析、基于序列的任務分析，并在引入風險等級的概念后進一步對重要人員動作開展人因可靠性評估，明確了人因分析的具體實施技術和分析流程。

（4）風險指引的任務分析

現有自動化水平下，核電站仍然需要大量人員活動的介入和支持，任務分析的對象繁多且工作量龐大，但是不同的人員動作對于安全的重要性及其人因失誤發生的可能性并不完全相同，通過引入風險分級的概念，繼承概率論、確定論、縱深防御等多領域的分析成果，建立風險分級標準并對涉及的人員動作進行重要度分級，重點識別和論證對人因失誤貢獻度高的關鍵性人員動作。

（5）增加人因可靠性分析要素

僅依靠傳統的任務分析方法并不能給出量化的人因分析結果[4-7]，因此圖2在圖1的基礎上，增加人因可靠性分析要素，結合成熟的人因可靠性技術[8,9]，從相對完整的人因績效影響維度，開展定性與定量分析，定量的結果可以返回概率安全模型迭代，更為精準反映人因設計改進對電廠總體風險的優化情況，提高電廠整體設計的人因符合性。

（6）多設計專業領域集成

通過建立人因分析和電站詳細設計在設計各階段的輸入輸出和迭代論證關系，擴充人因分析涉及的領域及其背后的設計專業，尤其是在電廠詳細設計階段的應用，將人因分析的范圍從傳統的人機界面、規程、培訓大綱和人員組織，全面拓展到了儀控設計、電氣設計、系統設計、設備設計、布置設計、結構設計等電站全部人機接口相關領域，直接建立了人因分析對電站設計的支撐關系，實現人因與設計的集成，如圖3所示。

（7）風險傳遞與迭代分析

建立定性和定量分析中發現的人因不符合項清單，并建立向責任專業的風險傳遞反饋機制，建立設計—分析—改進—分析的循環迭代過程，降低人誤風險，提升人因符合性和可靠性。

圖2　多要素集成人因分析模型

圖3　多專業領域的人因集成

3　人因分析流程與應用關鍵技術建立

3.1　人因分析流程

在使用圖2開展人因分析時的步驟和流程如下：

（1）識別需要執行的功能

以新電廠的總體設計和經驗反饋作為輸入；從電廠設計頂層的功能分析與分配出發，篩選出手動功能清單。

（2）識別功能的任務需求

依據概率論和確定論模型選取上述手動功能對應的事故序列和場景，建立基于功能的任務分析清單；將該基于功能的任務分析清單與運行策略/參考規程相匹配，選取合適的響應策略并確定具體的操作序列，建立基于操作序列的任務分析清單。

（3）開展詳細的定性任務分析

通過概率論模型中的重要度排序，對任務進行風險等級劃分，其中低風險的進行簡化分析，高風險（重要人員動作）地進行詳細分析；詳細任務分析采用電站多專業的具體設計為輸入開展，定性部分可采用多種任務分析技術開展。

（4）開展定量的可靠性分析

定量部分可以通過引入人員可靠性分析方法，開展失誤模式、容錯、恢復因子、績效影響因子（PSF）、相關性和不確定性分析，分析時間敏感性，確定人因失誤概率值。

（5）建立人因不符合項及任務分析清單

將定性和定量分析過程中發現的人因不符合項建立詳細的清單，給出人因優化建議；同時將任務分析所得到的詳細信息建立清單，可用于人因驗證與確認、設計實現檢查和人員效能監測等。

（6）通過迭代分析驗證和確認改進效果

將人因不符合項及優化建議反饋相關的設計專業開展迭代設計并制定優化方案，基于優化后的方案開展人因迭代分析，并再次返回電站相關設計專業，直至最終結果滿足人因定性和定量評估準則要求，實現人因與設計專業的全生命周期的集成。

3.2　人因分析應用關鍵技術

本文選取功能分配中確定的超設計基準事故操縱員手動啟動緊急給水系統（OP_L2_FW）給出應用關鍵技術的簡略論證示例[8-10]。

（1）基于功能的任務選取

通過PSA模型檢查，OP_L2_FW風險較高且適用于如下兩種始發事件引起的超設計基準事故序列：

1）未能緊急停堆的預期瞬態（Anticipated Transient Without Trip，ATWT）

2）全廠斷電（Station black-out，SBO）

（2）序列和場景選取

對于SBO事件，只在SBO電源可以恢復向應急給水系統（ASG）供電的情況下才可以手動啟動ASG，可用時間較長。對于ATWT導致手動啟動ASG，時間窗口較短。因此，可以選定對人的可靠性要求更為嚴苛的ATWT序列為包絡分析場景。

（3）基于操作序列的任務分析

針對OP_L2_FW，基于超設計基準事故導則提供的場景、操作序列以及人員組織運作情況，推演人員交互過程，提取完成特定功能的一組操作序列，建立事故處理策略層次分析圖，如圖4所示。

在層次任務分析的基礎上開展表格任務分析和時間線任務分析，提取重要參數和設備、關鍵狀態指示和操作，樣表和樣圖分別如表1、圖5所示。

表1　表格分析樣例

（4）人因可靠性分析

在完成任務分析后，對每個關鍵子任務進行潛在失效模式分析，如誤操作、操作遺漏、故意違規等；基于現實分析每種失效模式可能的恢復手段；對于沒有恢復機會的潛在失效，則定義為改進項，需要在量化評估中體現（見表2）。

（5）人因不符合項和迭代設計

在完成可靠性分析后，匯集定性和定量問題為人因不符合項清單，提出相關的改進建議，反饋相關設計方，開展迭代設計和分析（見表3）。

圖4　層次任務分析結果

圖5　時間線分析樣例

表2　建立PSF水平選取表

續表

表3　人因不符合項

4　人因分析技術的適用場景分析

人因分析在核電工程設計中的適用場景包括但不限于：

（1）通過多維度的任務可行性分析，定性與定量的判定任務的可執行性，檢查手自動功能分配的合理性；對于存在手動后備的自動功能建模，檢查PSA建模的保守性，自動動作是否有隱含的人員動作等；

（2）通過詳細任務分析檢查規程設計缺陷、路徑冗長、場景覆蓋不足、場景適用性差、導向友好性和支持任務不合理等問題；

（3）通過詳細任務分析檢查人機接口中報警、信息顯示、畫面、導航、操控等的完整性、一致性和符合性；

（4）通過就地任務分析，檢查系統與設備設計、布置、照明、消防等設計的合理性，以及操作空間的可視、可達和可操作性；

（5）分析經驗反饋落實情況，對已發現的會導致人員或系統失效的潛在因素，分析當前設計改進合理性和適用性；

（6）通過可用時間及其陡變效應的檢查，分析確定論場景中熱工建模所假設的人因適用性、包絡性和代表性；

（7）通過定量人因失誤概率的迭代及定性分析中與系統、設備設計的匹配性檢查，分析概率論中事件樹、故障樹及最小割集建模的一致性、合理性、保守性；

（8）通過潛在失效模式和恢復措施分析，發現當前設計的可能偏差，基于人因視角提供改進建議；

（9）通過認知負荷、情境意識、態勢感知和團隊協作能力的評估，優化人員、組織及任務的配置。

5　結論

本文提出了一種核電站設計領域適用、多要素集成的人因系統化分析模型，通過該模型，設計人員能夠綜合地開展人因安全分析和問題識別，有效解決核電等大型工業系統專業接口復雜、分析要素眾多所導致人因工程割裂開展的弊端，在確保人因工程獨立性和系統性同時，論證過程充分體現人因指導設計的要求。基于該模型從正向設計初始階段就可以深度參與各設計環節，并引導多專業領域的交叉驗證，多方位發掘潛在的人機失配項和人因失誤風險，提出人因不符合項，用以改進設計和降低人因失誤風險從而優化人機系統整體績效。

［1］ IAEA.The role of automation and humans in nuclear power plants［R］. IAEA-TECDOC-668，1992.

［2］ U.S Nuclear Regulatory Commission.Human Factors Engineering Program Review Model［S］. NUREG-0711，Rev 3，Washington，DC：U.S.NRC，2012.

［3］ US Nuclear Regulatory Commission.Human-system interface design review guidelines［S］. NUREG-0700，Rev 3，Washington，DC：U.S.NRC，2020.

［4］ Leiden，K.，Laughery，K.R.，Keller，J.，et al. A review of human performance models for the prediction of human error［J］. Ann Arbor，2001，1001：48105.

［5］ Mosleh，A.，Chang，Y. Model-based human reliability analysis：prospects and requirements［J］Reliability. Engineering & System Safety，2004，83（2）：241-253.

［6］ Reason，J. Human error［J］. West J Med，1990，12（6）：393-396.

［7］ Spurgin，A.J. Human reliability assessment theory and practice［M］. CRC press，2009.

［8］ Gertman D.，Blackman H.，Marble J.，Byers and Smith C.The SPAR-H Human Reliability Analysis Method，NUREG/CR-6883［R］. Idaho National Laboratory，Washington D.C.：U.S.NRC，2004.

［9］ Swain A.D.Accident Sequence Evaluation Program Human （Reliability Analysis Procedure，NUREG/CR-4772）［R］. Washington D.C.：USNRC，1987.

［10］ Zhihui Xu，Jiemei Zhang，Xuegang Zhang.Study for Reliability Analysis of Operator Response Process under IBLOCA Accident in Nuclear Power Plant［C］. International Symposium on Software Reliability，Industrial Safety，Cyber Security and Physical Protection for Nuclear Power Plant.Springer，Singapore，2020：599-609.

Study on Human Factor Safety Analysis Method of Nuclear Power Plant Based on International Project Practice

XU Zhihui1,2，LIU Peng2，JIA Ming2，ZHANG Yuxin1，LIU Zhaopeng2，YANG Ming1,*

（1. Fundamental Science on Nuclear Safety and Simulation Technology Laboratory， Harbin Engineering University，Harbin of Heilongjiang Prov. 150001，China 2. State Key Laboratory of Nuclear Power Safety Monitoring Technology and Equipment， China Nuclear Power Engineering Co.，Ltd.，Shenzhen of Guangdong Prov. 518172，China）

Restricted by the lack of basic theory and data of human factor engineering application, and the lack of engineering application ability of methodology, the current human factor design and analysis methods of nuclear power plants work relatively independently around each human factors, with insufficient integration and obvious application limitations. Based on the latest engineering experience and international standard requirements of HPR1000 in UK, this paper proposes a new technology for the systematic implementation of human factor analysis with integrated human factor, and successfully carries out the corresponding engineering application. The practice shows that the new method of systematic human factors and engineering integration analysis can fully integrate with the design of nuclear power plant, effectively integrate multiple elements of human factor engineering, so as to more comprehensively assess the influence of human factor safety risk status in the design of nuclear power plant, and realizes more effective engineering application of human factor methodology by transferring and iterating risk guidance information among various elements. It provides a new technical guarantee way for the improvement of human factor safety level in nuclear power plants.

Nuclear power plant; Human safety; Human factor engineering; Iterative analysis

TP391.9

A

0258-0918（2023）05-0996-08

2022-09-21

徐志輝（1987—），男，河南杞縣人，研究員級高級工程師，現主要從事核電站運行與控制相關研究