張佳佳，劉坤秀，錢鴻濤，張慧一,*

（1.生態(tài)環(huán)境部核與輻射安全中心，北京 102488；2.中國(guó)核電工程有限公司，北京 100840）

核電廠主控室（MCR）作為核電廠的大腦，對(duì)核電廠的運(yùn)行控制起著至關(guān)重要的作用。MCR 由于火災(zāi)等因素可能失去控制或喪失可居留性，進(jìn)而導(dǎo)致運(yùn)行人員撤離MCR 至遠(yuǎn)程停堆站（RSS）進(jìn)行核電廠監(jiān)視和控制場(chǎng)景。然而RSS 主要設(shè)計(jì)了一些關(guān)鍵的安全監(jiān)視和操作功能，并不能完全替代MCR。國(guó)內(nèi)外火災(zāi)概率安全分析（PSA）表明MCR 火災(zāi)的風(fēng)險(xiǎn)起主導(dǎo)作用，對(duì)MCR 火災(zāi)風(fēng)險(xiǎn)的建模是火災(zāi)PSA 的重點(diǎn)，也是國(guó)內(nèi)外核安全監(jiān)管審評(píng)重點(diǎn)關(guān)注的內(nèi)容[1,2]，其中，運(yùn)行人員主控室撤離場(chǎng)景（MCRA）的人員可靠性分析（HRA）是MCR火災(zāi)PSA 的重要內(nèi)容之一。

劉政等基于CFAST 研究人員撤離MCR 時(shí)間對(duì)核電廠堆芯損壞頻率的影響[3]，暢小龍介紹了三門核電MCR/RSS 切換功能[4]，但未有專門針對(duì)MCRA 的詳細(xì)分析。由于火災(zāi)情形下MCRA 的復(fù)雜性和特殊性，國(guó)內(nèi)核電工程項(xiàng)目尚未開展詳細(xì)的MCRA 場(chǎng)景HRA，一般采用保守或?qū)＜遗袛嗟姆椒ㄟM(jìn)行定量化處理。美國(guó)核管會(huì)在發(fā)布的NUREG-1921 導(dǎo)則中特別說(shuō)明對(duì)MCRA 的HRA 后續(xù)繼續(xù)進(jìn)行研究[5]，并在2019 年和 2020 年發(fā)布了兩個(gè)增補(bǔ)版導(dǎo)則對(duì)MCRA 的定性分析[6]和定量分析[7]進(jìn)行指導(dǎo)。

本文基于NUREG-1921 及其增補(bǔ)版導(dǎo)則，詳細(xì)論述了MCRA 的兩個(gè)類別和三個(gè)階段，結(jié)合國(guó)內(nèi)核電廠的實(shí)際情況，闡述MCRA 情景下人員響應(yīng)的三個(gè)階段及其定量化方法，以及分析過(guò)程中需要考慮的因素。以國(guó)內(nèi)某核電廠MCRA 為例，利用上述方法開展了人員訪談獲取了相應(yīng)數(shù)據(jù)和資料，開展了定量化分析，并提出了建議。本研究為國(guó)內(nèi)核電工程項(xiàng)目火災(zāi)PSA 開展MCRA 的定量化提供參考。

1 MCRA 的類別和階段

1.1 MCRA 的類別和準(zhǔn)則

MCRA 一般可以分為不可居留（LOH）和不可控（LOC）兩種類型。LOH 是指當(dāng)MCR發(fā)生火災(zāi)或附近區(qū)域房間發(fā)生火災(zāi)，煙霧可能進(jìn)入主控制室，由于煙霧或熱量導(dǎo)致MCR 不適合居留需要撤離到RSS。LOC 是指由于關(guān)鍵電纜或MCR 工作站/后備盤（BUP）等損毀引起MCR 無(wú)法實(shí)現(xiàn)機(jī)組的有效控制而需要撤離到RSS。

針對(duì)LOH，在NUREG/CR-6850 導(dǎo)則[8]給出了明確的撤離準(zhǔn)則，涉及MCR 溫度和煙霧濃度。即

（1）溫度準(zhǔn)則：地板上方6 ft（1.828 8 m）處的熱通量超過(guò)1 kW/m2，這可以認(rèn)為是皮膚疼痛的最小熱通量。

（2）煙霧濃度：煙霧層從天花板下降到6 ft（1.828 8 m）以下，煙霧的光密度小于3 m-1。在這樣的光密度下，反光的物體超過(guò)0.4 m 就看不見了，發(fā)光的物體超過(guò)1 m 就看不見了。

針對(duì)LOC，一般沒有清晰的導(dǎo)則或指引。在LOH 的場(chǎng)景中，煙霧或者溫度都是顯而易見的線索，但由于LOC 導(dǎo)致MCRA 的線索并不一定是清晰的，一般核電廠也沒有明確的程序進(jìn)行指引，主要結(jié)合核電廠人員訪談結(jié)果開展HRA。

1.2 MCRA 的階段

根據(jù)國(guó)內(nèi)核電廠現(xiàn)場(chǎng)訪談和事故進(jìn)展，核電廠運(yùn)行人員MCRA 響應(yīng)可分為MCRA 決策前、MCRA 決策和MCRA 決策后三個(gè)階段（見圖1）。

圖1 MCRA 三個(gè)階段Fig.1 Three phases of MCRA

第一階段是MCRA 決策前響應(yīng)。在這一階段，電廠根據(jù)消防行動(dòng)指南進(jìn)行滅火響應(yīng)，依據(jù)運(yùn)行規(guī)程或事故規(guī)程對(duì)電廠進(jìn)行控制，相應(yīng)的指揮和控制在MCR 中，且消防行動(dòng)指南與規(guī)程可能是并行的。

第二階段是MCRA 決策響應(yīng)。在這一階段，由值長(zhǎng)根據(jù)火災(zāi)發(fā)展的形勢(shì)以及MCR 設(shè)備損壞的狀態(tài)，判斷是否撤離。撤離決策一旦做出，第二階段結(jié)束，進(jìn)入第三階段。

第三階段是MCRA 決策后響應(yīng)。這一階段包括控制權(quán)從主控制室轉(zhuǎn)移到RSS 的過(guò)渡階段以及撤離到RSS 執(zhí)行后續(xù)機(jī)組控制的階段。這一階段典型的人員行為包括撤離MCR 前必要的停堆操作、MCR/RSS 切換操作，以及使用RSS 控制機(jī)組至穩(wěn)定狀態(tài)的操作等。

由于MCRA 場(chǎng)景的不同，圖2 和圖3 分別給出了LOH 和LOC 兩種典型事故的進(jìn)展。兩者的區(qū)別在于LOH 情形下煙霧或溫度的線索是明確的，因此在達(dá)到不可居留條件時(shí)，值長(zhǎng)即可作出撤離決策，認(rèn)知的時(shí)間較短。LOC 場(chǎng)景下火災(zāi)并不一定發(fā)生在MCR，第一時(shí)間發(fā)現(xiàn)的可能是MCR 設(shè)備不可用的線索，從發(fā)現(xiàn)線索至作出撤離決定的認(rèn)知時(shí)間較長(zhǎng)，需要等到滿足最低的撤離準(zhǔn)則時(shí)才會(huì)決定撤離。

圖2 典型的MCRA LOH 場(chǎng)景進(jìn)展Fig.2 The progress of the typical MCRA LOH scenario

圖3 典型的MCRA LOC 場(chǎng)景進(jìn)展Fig.3 The progress of the typical MCRA LOC scenario

2 MCRA 定量化方法

2.1 第一階段定量化

MCRA 第一階段的人員行動(dòng)包括指揮和控制、程序使用等，與非MCRA 的人員行為類似，可以采用非MCR 火災(zāi)HRA 方法進(jìn)行分析。主要考慮信號(hào)和指示、時(shí)間、程序和培訓(xùn)、復(fù)雜程度、工作負(fù)荷和壓力、人機(jī)界面、環(huán)境、職責(zé)適宜度、班組溝通和人員配備9 個(gè)方面績(jī)效形成因子（PSF），如環(huán)境PSF 因子中需重點(diǎn)考慮煙霧和熱量等因素，時(shí)間PSF 因子需額外考慮線索識(shí)別時(shí)間和認(rèn)知處理時(shí)間，壓力PSF 需考慮壓力因子水平增高等?？筛鶕?jù)參考文獻(xiàn)［5］提供的方法進(jìn)行定量化分析。

2.2 第二階段定量化

針對(duì)LOH 場(chǎng)景，在參考文獻(xiàn)［7］中認(rèn)為溫度和煙霧的線索是明顯的，此時(shí)MCRA 撤離決策的人員失誤概率（HEP）可以忽略不計(jì)，但需要注意的是不同核電廠MCRA 的準(zhǔn)則不同。圖4 給出了國(guó)內(nèi)某核電廠的LOH 場(chǎng)景的撤離規(guī)程，可以看出規(guī)程需要值長(zhǎng)根據(jù)現(xiàn)場(chǎng)情況進(jìn)行判斷?；趪?guó)內(nèi)多個(gè)核電廠的人員訪談結(jié)果，在未對(duì)人體造成損害或者能見度可見的情況下，MCR 人員通常不會(huì)撤離。具體工程實(shí)踐中，LOH 場(chǎng)景下的撤離準(zhǔn)則可參考NUREG/CR-6850 導(dǎo)則，并結(jié)合現(xiàn)場(chǎng)人員訪談結(jié)果進(jìn)行適當(dāng)修正。

圖4 某核電廠MCR 不可居留時(shí)的規(guī)程Fig.4 Procedures of the MCRA LOH scenario of a NPP

針對(duì)LOC 場(chǎng)景，MCRA 決策相關(guān)人誤事件主要涉及認(rèn)知方面的失誤，主要包括識(shí)別撤離線索、診斷以及最終作出撤離決策等。參考文獻(xiàn)［7］給出了LOC 第二階段定量化的決策樹，主要依據(jù)6 個(gè)方面的PSF 因子來(lái)判斷人誤概率：

（1）LOC 撤離決策要有足夠的指示/警報(bào)，否則必定不可能成功；

（2）用于決策的可用時(shí)間要不小于需求時(shí)間，否則來(lái)不及執(zhí)行決策也必然導(dǎo)致失??；

（3）大部分核電廠消防行動(dòng)指南或運(yùn)行/事故規(guī)程中包含了撤離的選項(xiàng)，但需要判斷核電廠是否有清晰的準(zhǔn)則或由值長(zhǎng)判斷；

（4）針對(duì)撤離方面的培訓(xùn)，需要現(xiàn)場(chǎng)訪談運(yùn)行人員是否在模擬機(jī)進(jìn)行了專門培訓(xùn)/演練，還是僅僅開展了課堂培訓(xùn)；

（5）現(xiàn)場(chǎng)訪談，了解值長(zhǎng)或操作員是否意識(shí)到該種情形下撤離的緊迫性；

（6）熱工或?qū)＜遗袛嗟全@取撤離決定的可用時(shí)間，根據(jù)撤離的可用時(shí)間來(lái)取不同HEP 值。

根據(jù)上述6 個(gè)PSF 因子，最終獲得了28 種情形，10 個(gè)HEP 值，如圖5 所示。

2.3 第三階段定量化

第三階段定量化采用與第一階段相同的HRA 方法，但需要考慮到撤離操作的特殊性。需要考慮電廠有關(guān)MCRA 場(chǎng)景的程序中關(guān)于安全停堆以及MCR/RSS 切換操作程序的質(zhì)量、操作員的熟知程度、培訓(xùn)演練等方面的因素。

2.4 不確定性分析

根據(jù)第2.1～2.3 節(jié)分別計(jì)算出MCRA 三個(gè)階段HEP 后，還需開展不確定性分析。一般情況下，不確定性與所使用的HRA 方法有關(guān)。參考文獻(xiàn)［7］說(shuō)明可以按照SPAR-H 推薦的受約束的無(wú)信息先驗(yàn)（CNI）分布開展不確定性分析，該方法也是國(guó)內(nèi)工程實(shí)踐經(jīng)常采用的火災(zāi)HRA方法。CNI 分布為貝塔分布，其以先驗(yàn)分布隨機(jī)變量滿足最大熵的概率分布為約束條件，HRA 分析獲得的HEP 作為后驗(yàn)分布均值。α和β參數(shù)均是HEP 的函數(shù)，α參數(shù)依據(jù)HEP 數(shù)值查參考文獻(xiàn)［9］中獲得，β參數(shù)計(jì)算公式為：

三個(gè)階段的HEP 均可采用上述方法開展不確定性分析。此外，參考文獻(xiàn)［7］中美國(guó)電力學(xué)會(huì)針對(duì)第二階段的10 個(gè)HEP 值也給出了另一種不確定分布結(jié)果，可供工程上參考使用。

3 案例分析

3.1 分析案例

案例核電廠采用數(shù)字化儀控系統(tǒng)的MCR，在該MCR 內(nèi)設(shè)有4 個(gè)操作員工作站，4 個(gè)大屏幕監(jiān)視屏，1 個(gè)傳統(tǒng)的模擬備用盤（BUP）和緊急控制盤，每個(gè)盤臺(tái)都承載大量的電廠安全與監(jiān)控功能。當(dāng)發(fā)生火災(zāi)引起1 個(gè)或2 個(gè)工作站不可用時(shí)，操作員根據(jù)規(guī)程可切換至剩余完好工作站進(jìn)行機(jī)組控制；當(dāng)發(fā)生3 個(gè)及以上工作站不可用時(shí)，操作員根據(jù)程序可切換至BUP 進(jìn)行機(jī)組控制，若切換BUP 失敗，需要值長(zhǎng)進(jìn)行決策（無(wú)對(duì)應(yīng)程序）并宣布撤離，撤離前在MCR完成停堆操作，并在RSS 完成MCR/RSS 切換操作。圖6 給出了該案例電廠3 個(gè)工作站不可用的事件樹?？梢钥闯鯩CRA 第一階段的響應(yīng)涉及滅火行動(dòng)（H-0）和切換BUP（H-1）兩個(gè)人誤事件，第二階段涉及MCRA 決策人誤事件（H-2），第三階段涉及撤離MCR 前停堆操作，撤離以及MCR/RSS 切換（H-3）等。其中滅火成功的概率一般根據(jù)參考文獻(xiàn)［8］提供的滅火曲線計(jì)算，本文主要針對(duì)其余3 個(gè)人誤事件進(jìn)行定量化分析，除H-2 外，H-1 和H-3 采用國(guó)內(nèi)常用的SPAR-H 方法進(jìn)行HRA。

圖6 某核電廠MCRA 事件樹Fig.6 The MCRA event tree of a NPP

根據(jù)案例電廠設(shè)計(jì)特點(diǎn)和專家判斷，操作員在50 min 內(nèi)完成H-1 的響應(yīng)或H-2 和H-3 的響應(yīng)，可滿足機(jī)組控制要求，否則保守假設(shè)機(jī)組失控堆熔。根據(jù)操作員和模擬機(jī)教員訪談，第一階段診斷工作站不可用需要2 min，轉(zhuǎn)移到BUP，并完成切換需要2 min，合計(jì)所需時(shí)間為4 min；第二階段值長(zhǎng)撤離決策需要5 min；第三階段MCR 停堆操作需要2 min，撤離本身需要11 min，MCR/RSS 切換需要2 min，合計(jì)所需時(shí)間為15 min。H-1 的允許時(shí)間為50 min，H-1 診斷可用時(shí)間為48 min，操作可用時(shí)間為48 min；扣減H-1 總的所需時(shí)間4 min，H-2 和H-3 總的允許時(shí)間為46 min，進(jìn)一步扣減H-3總的所需時(shí)間 15 min，H-2 的可用時(shí)間為31 min；扣減H-2 所需時(shí)間5 min，H-3 總的可用時(shí)間為41 min。

3.2 第一階段定量化

該階段考慮人誤事件H-1，情景為三個(gè)操作員工作站均著火，雖然已撲滅火，但是工作站功能受損，需切換BUP，操作員根據(jù)規(guī)程切換BUP，登陸打開。

案例電廠在操作員模擬機(jī)初訓(xùn)和復(fù)訓(xùn)中均有BUP 切換操作內(nèi)容，該情景壓力很高，復(fù)雜程度中等，結(jié)合3.1 節(jié)該階段可用時(shí)間和所需時(shí)間，SPAR-H 分析各PSF 因子取值過(guò)程如表1所示。

表1 H-1 人誤事件SPAR-H 分析過(guò)程Table 1 The SPAR-H analysis process of the H-1 human error event

3.3 第二階段定量化

第二階段考慮人誤事件H-2，僅涉及MCRA決策響應(yīng)。在第一階段BUP 切換失敗的情況下，撤離的線索十分明確，但該核電廠程序中僅對(duì)不可居留的場(chǎng)景進(jìn)行了規(guī)定（見圖4），未考慮MCR 不可用時(shí)的撤離場(chǎng)景，需要值長(zhǎng)根據(jù)現(xiàn)場(chǎng)情況進(jìn)行判斷，報(bào)請(qǐng)批準(zhǔn)后撤離。

根據(jù)人員訪談，此情況下線索比較清晰，且案例核電廠RSS 有大多數(shù)核電廠控制手段，值長(zhǎng)傾向于撤離。電廠操作員模擬機(jī)復(fù)訓(xùn)中有撤離相關(guān)內(nèi)容，每年進(jìn)行1 次，根據(jù)3.1 節(jié)訪談信息，本階段可用時(shí)間為31 min。根據(jù)圖5，取后果編碼為（14）的HEP 值，即0.05。

3.4 第三階段定量化

該階段考慮人誤事件H-3，包括兩個(gè)子任務(wù)：

（1）值長(zhǎng)宣布撤離MCR 后，在緊急操作盤按下兩個(gè)停堆按鈕完成手動(dòng)停堆；

（2）從MCR 撤離到RSS，操作相關(guān)開關(guān)，完成MCR/RSS A 列和B 列的切換。

保守認(rèn)為任何一個(gè)步驟的失敗，均將導(dǎo)致核電廠不可控而堆芯損壞。值長(zhǎng)宣布撤離即進(jìn)入相應(yīng)撤離規(guī)程，且操作明確，因此，H-3 人誤事件不涉及診斷失誤，主要是操作失誤。

根據(jù)3.1 節(jié)訪談信息，MCR 停堆操作時(shí)間為2 min，可用時(shí)間保守認(rèn)為2 min；撤離到RSS及完成MCR/RSS 切換操作所需時(shí)間為13 min，可用時(shí)間扣減 MCR 停堆操作時(shí)間后剩余39 min。電廠操作員復(fù)訓(xùn)針對(duì)上述撤離操作每年進(jìn)行1 次，該情景壓力很高，復(fù)雜程度一般，SPAR-H 分析各PSF 因子取值如表2 所示。

表2 H-3 人誤事件SPAR-H 分析過(guò)程Table 2 The SPAR-H analysis process of the H-3 human error event

3.5 分析結(jié)果及討論

三個(gè)階段人誤事件分析結(jié)果如表3 所示。可以看出盡管案例核電廠操作員工作站的冗余性較高，且撤離的線索十分明確，但由于案例電廠在程序中沒有對(duì)LOC 場(chǎng)景的撤離給予明確的規(guī)定，導(dǎo)致H-2 結(jié)果偏大。

表3 三個(gè)階段人誤事件分析結(jié)果Table 3 Analysis results of 3 phases of human error events

針對(duì)不確定性分布，根據(jù)表3 參數(shù)采用Microsoft EXCEL 函數(shù)BETA.INV 可以獲得三個(gè)人誤事件各分位數(shù)下的HEP 值，圖7 給出了三個(gè)人誤事件HEP 的CNI 分布，表4 給出了不確定范圍結(jié)果?？梢钥闯? 個(gè)人誤事件HEP 上限（95%分位數(shù)）與均值的比值在3.8 左右，均值與HEP 下限（5%）的比值在252～292 之間，HEP 上限與下限的比值在1 000 左右。均值接近不確定性區(qū)間的上限，處在較窄的范圍內(nèi)。然而由于HEP 下限概率極低，概率的下限引入了更多的不確定性，導(dǎo)致HEP 上下限范圍較大。但從安全角度出發(fā)，HRA 分析更關(guān)注不確定上限的估計(jì)，最重要的結(jié)論與上限和均值（期望值）有關(guān)，不確定性范圍的下限不影響安全相關(guān)的結(jié)論。

表4 三個(gè)人誤事件不確定范圍Table 4 The range of the uncertainty for the 3 human failure events

圖7 三個(gè)人誤事件HEP 的CNI 分布Fig.7 The CNI distribution of HEP for the 3 human failure events

4 結(jié)論與建議

MCRA 是指由于火災(zāi)等因素導(dǎo)致核電廠主控室失去控制或不可居留，運(yùn)行人員從MCR 撤離至RSS，從而實(shí)現(xiàn)核電廠的監(jiān)視和控制功能，是火災(zāi)HRA 的一種特殊情況，也是火災(zāi)PSA的重要貢獻(xiàn)項(xiàng)。由于國(guó)內(nèi)缺乏 MCRA 分析導(dǎo)則，當(dāng)前國(guó)內(nèi)核電工程項(xiàng)目中一般采用保守或?qū)＜遗袛嗟姆椒ê?jiǎn)化處理，尚未開展詳細(xì)分析。

本文基于NUREG-1921 及其增補(bǔ)版導(dǎo)則，詳細(xì)論述了MCRA 的兩個(gè)類別和三個(gè)階段。結(jié)合國(guó)內(nèi)核電廠的實(shí)際情況，闡述MCRA 情景下人員響應(yīng)的三個(gè)階段及其定量化方法，以及分析過(guò)程中需要考慮的因素。以國(guó)內(nèi)某核電廠MCRA 場(chǎng)景為例，針對(duì)MCR 人員響應(yīng)的三個(gè)階段開展了人員訪談和定量化分析。結(jié)果表明，針對(duì)MCR 不可居留的情景，該電廠有明確的程序文件和清晰的撤離準(zhǔn)則用于支持MCRA；但是針對(duì)MCR 失去控制的情景，該電廠缺乏相應(yīng)的程序文件和撤離準(zhǔn)則，導(dǎo)致其人員失誤概率較大。盡管MCR 失去控制的條件概率較低，但后果比較嚴(yán)重，建議該電廠增加相應(yīng)的程序文件和撤離判斷準(zhǔn)則用于支持操作員在MCR 失去控制時(shí)的響應(yīng)行為。此外，本文還針對(duì)案例電廠MCRA 定量化結(jié)果的不確定性進(jìn)行了分析和討論，可以為火災(zāi)PSA 提供輸入。

綜上所述，本研究首次開展了詳細(xì)的MCRA 分析和研究，可為國(guó)內(nèi)核電工程項(xiàng)目開展火災(zāi)PSA 中的MCRA 定量化分析提供參考。