癥狀導(dǎo)向AOP規(guī)程的開發(fā)和應(yīng)用

張初明

(山東核電有限公司,山東 煙臺 265116)

核電站的運(yùn)行操作規(guī)程是指導(dǎo)電站反應(yīng)堆操縱員進(jìn)行操作的具體指令,操作規(guī)程可以分為:1)系統(tǒng)運(yùn)行規(guī)程;2)正常運(yùn)行規(guī)程;3)電站偏離正常運(yùn)行規(guī)程 (AOP);4)應(yīng)急運(yùn)行規(guī)程 (EOP);5)報警響應(yīng)規(guī)程報警響應(yīng)程序;6)嚴(yán)重事故緩解導(dǎo)則。在這六類規(guī)程中,EOP和AOP規(guī)程的功能相似,都是針對異?；蚴鹿实奶幚?只不過EOP規(guī)程響應(yīng)的是危及核電站安全的應(yīng)急事故,目的是指導(dǎo)操縱員采取應(yīng)對措施將電站帶入安全狀態(tài);而AOP規(guī)程響應(yīng)的是核電站各系統(tǒng)偏離正常運(yùn)行的異常事件,目的是保障系統(tǒng)和設(shè)備的功能維持。EOP規(guī)程體系和結(jié)構(gòu)的發(fā)展以美國三哩島事故為分水嶺,在三哩島事故前,EOP的規(guī)程體系和結(jié)構(gòu)采用事件導(dǎo)向 (EVENT-BASED),三哩島事故之后發(fā)展成為癥狀導(dǎo)向 (SYMPTOM-BASED),目前世界各核電站使用的EOP規(guī)程基本上都采用癥狀導(dǎo)向結(jié)構(gòu),而AOP規(guī)程仍大部采用事件導(dǎo)向。美國西屋公司在開發(fā)AP600技術(shù)的同時,也采用了癥狀導(dǎo)向方法開發(fā)了相應(yīng)的AOP規(guī)程,但由于EOP和AOP兩者之間的屬性各有不同,所以兩者之間的體系和結(jié)構(gòu)存在不同之處。本文通過分析兩者之間的不同屬性,提出開發(fā)和使用癥狀導(dǎo)向AOP規(guī)程的原則和注意事項(xiàng)。

1　事件導(dǎo)向和癥狀導(dǎo)向規(guī)程的特點(diǎn)簡介

1.1　事件導(dǎo)向規(guī)程的特點(diǎn)

在1979年美國三哩島事故發(fā)生前,應(yīng)急響應(yīng)規(guī)程均采用事件導(dǎo)向的規(guī)程體系和結(jié)構(gòu),這類規(guī)程要求核電站操縱員在響應(yīng)事故前,首先判斷電站發(fā)生了什么,在確定發(fā)生什么后,才使用相應(yīng)的規(guī)程指導(dǎo)操作,響應(yīng)流程如圖1所示。這類規(guī)程由于是用來響應(yīng)特定的事件,它們提供了針對此事件的最佳恢復(fù)響應(yīng),運(yùn)行人員在執(zhí)行此類規(guī)程時會關(guān)注于特定事件的問題,有較少的分心和延遲,電站能夠在較短的時間內(nèi)回復(fù)至正常狀態(tài)。但是這類規(guī)程也存在著:1)依賴于操縱員對發(fā)生事故的正確判斷,沒有程序文件來幫助操縱員對事件進(jìn)行診斷;2)每一類事故需要單獨(dú)的一份規(guī)程用以指導(dǎo),所以規(guī)程的量會非常大;3)一旦電站發(fā)生了非事先設(shè)定的事故,將會沒有規(guī)程指導(dǎo);4)電站發(fā)生了多重事故,程序之間可能會發(fā)生沖突。三哩島事故初期涉及了一個通過穩(wěn)壓器安全閥的小LOCA事故,但三哩島電站只有針對大LOCA事故的規(guī)程,然而大、小LOCA事故所顯現(xiàn)的癥狀是不一樣的,在事故處理過程中,電站操縱員無法進(jìn)入LOCA規(guī)程的。

圖1　事件導(dǎo)向應(yīng)急規(guī)程執(zhí)行流程Fig.1　Implementation process of event-based emergency procedures

1.2　癥狀導(dǎo)向規(guī)程的特點(diǎn)

在三哩島事故發(fā)生后,美國西屋公司新開發(fā)了癥狀導(dǎo)向的EOP規(guī)程。不同于事故導(dǎo)向規(guī)程,癥狀導(dǎo)向的應(yīng)急規(guī)程不急于診斷電站到底發(fā)生了什么,而是關(guān)心電站處于一種什么安全狀態(tài),先緩解電站的不安全狀態(tài),然后指導(dǎo)操縱員通過對電站安全狀態(tài)的表征參數(shù)的判讀,診斷找出最佳的恢復(fù)規(guī)程,這樣就避免了操縱員誤診斷,在執(zhí)行最佳恢復(fù)規(guī)程的同時,電站的關(guān)鍵安全狀態(tài)始終得到監(jiān)控,并根據(jù)電站關(guān)鍵的安全狀態(tài)采取優(yōu)先行動。就像一個醫(yī)生在收到一個急救病人時,醫(yī)生首先關(guān)注病人是否需要止血、心臟是否跳動、呼吸是否自主,然后再進(jìn)行病癥診斷和治療,在治療過程中始終關(guān)注危急病人生命的狀態(tài)。

所以癥狀導(dǎo)向的EOP規(guī)程,從體系上講,它是由診斷規(guī)程和一系列的恢復(fù)規(guī)程組成;從內(nèi)容上講,它根據(jù)電站的系統(tǒng)及設(shè)備的狀態(tài)決定應(yīng)采取的行動,對電站關(guān)鍵安全狀態(tài)的關(guān)注貫穿始終;從結(jié)構(gòu)上講,它采用循環(huán)的方式指導(dǎo)操縱員執(zhí)行。它有一個總?cè)肟?也是唯一的一個入口規(guī)程 (E-0),入口的條件就是反應(yīng)堆停堆或電站安全系統(tǒng)啟動。進(jìn)入E-0后,規(guī)程首先指導(dǎo)操縱員確認(rèn)/確保電站停堆、停機(jī)及安全系統(tǒng)正確啟動,然后引導(dǎo)操縱員進(jìn)行事故診斷。EOP規(guī)程的執(zhí)行流程如圖2所示。

圖2　EOP規(guī)程執(zhí)行流程Fig.2　Implementation process of EOP

所以癥狀導(dǎo)向的規(guī)程有如下特點(diǎn):

1)只有一個入口,且入口條件簡單,因?yàn)殡娬緹o論發(fā)生哪種緊急事故,一個共同的響應(yīng)是停堆或安全系統(tǒng)啟動。

2)把電站配置的安全系統(tǒng)的正確響應(yīng)作為操縱員的立即行動。

3)通過指令來指導(dǎo)操縱員診斷電站狀態(tài)。

4)它把電站不同的安全狀態(tài)用一系列參數(shù)以及設(shè)備狀態(tài)來定義,便于判讀。

5)規(guī)程文本采用兩欄結(jié)構(gòu),即先診斷再行動。

6)程序循環(huán)應(yīng)用,確保正確的應(yīng)對行動能找出。

7)電站危急安全狀態(tài)被持續(xù)監(jiān)督,并設(shè)計了優(yōu)先等級順序,以應(yīng)對復(fù)雜的多重事故。

癥狀導(dǎo)向法規(guī)程能在整個運(yùn)行人員響應(yīng)過程中提供指導(dǎo),而不是依賴運(yùn)行人員的知識和培訓(xùn)來診斷事件;能夠恢復(fù)電廠至一個安全狀態(tài),即使在程序的開發(fā)中初始事件沒有被考慮到,或運(yùn)行人員沒有能診斷出事件,或運(yùn)行人員錯誤診斷事件。盡管癥狀導(dǎo)向的規(guī)程能夠?qū)㈦娬净謴?fù)到安全狀態(tài),但執(zhí)行效率有所降低,可能延遲期望的(但不是重要的)行動的執(zhí)行。

2　AOP規(guī)程的特點(diǎn)

癥狀導(dǎo)向法規(guī)程在國內(nèi)外核電站的EOP規(guī)程體系中得到了廣泛的應(yīng)用,那么它是否適用AOP規(guī)程呢?

EOP規(guī)程應(yīng)對的是電站的事故,事故處理的原則是保證電站處在一個安全狀態(tài),由于核電站一旦發(fā)生嚴(yán)重事故后具有事故后果嚴(yán)重、影響力大、事故后恢復(fù)困難等特點(diǎn),所以核電站在設(shè)計上就始終把確保安全放在重中之重,在安全系統(tǒng)的設(shè)計和配置上采取了多重性、多樣性的原則,以確保安全系統(tǒng)的可靠、有效。這些手段及多重措施,都是為了同一個目標(biāo),即電站的安全。

AOP規(guī)程針對的是電站系統(tǒng)發(fā)生偏離正常運(yùn)行的故障,它的目的是保持/恢復(fù)電站每個系統(tǒng)的功能,避免電站發(fā)生較大瞬態(tài),從而削弱電站的縱深防御屏障,危及到電站的安全。與EOP相似,它也需要先診斷系統(tǒng)或設(shè)備發(fā)生了什么,然后采取正確的應(yīng)對措施;但不同的是AOP針對的是電站眾多的系統(tǒng),而每個系統(tǒng)的功能不一樣,具體來說AOP具有以下特性:

1)目的多樣性。電站是由復(fù)雜的眾多系統(tǒng)組成的,每個系統(tǒng)的功能均不一樣。

2)不可能有統(tǒng)一的入口。不同的系統(tǒng)功能有其不同的異常響應(yīng),無法統(tǒng)一入口。

3)每個系統(tǒng)的故障類型多,例如一個系統(tǒng)的故障可能包含泵的故障、控制的故障、閥門的故障、系統(tǒng)泄漏等類型。

4)每一類故障又有不同的故障模式。有些故障很明顯,操縱員能輕易地發(fā)現(xiàn),如泵的意外停閉,閥門的意外關(guān)閉或開啟;有的故障發(fā)展比較迅速,造成的危害也較大,如較大的泄漏等;有的故障發(fā)展比較緩慢,如系統(tǒng)較小的泄漏;有的故障比較難以發(fā)現(xiàn),如儀表系統(tǒng)的漂移。所以針對不同的故障模式,處理要分輕重緩急。

5)系統(tǒng)的任何一種故障類型及故障模型,都有針對性的糾正措施。

6)故障發(fā)生地點(diǎn)多樣,不同點(diǎn)的故障帶來的影響不同,查找故障點(diǎn)的難易程度不一樣。

7)在某種程度上,要求處理的更為迅速。

如上所述,AOP規(guī)程具有同EOP相似的處理要求,所以它也適合采用癥狀導(dǎo)向的規(guī)程體系和結(jié)構(gòu),但由于它又有自己不同于EOP的屬性,采用癥狀導(dǎo)向必須考慮其自身的特點(diǎn)。

3　癥狀導(dǎo)向AOP規(guī)程的開發(fā)及其應(yīng)用的注意事項(xiàng)

事件導(dǎo)向的每一份AOP規(guī)程 (或規(guī)程附件)針對的是特定的故障類型、故障模型,而癥狀導(dǎo)向的規(guī)程需要把系統(tǒng)所有的故障類型及故障模型整合進(jìn)一份規(guī)程,根據(jù)不同故障所顯現(xiàn)的不同癥狀指導(dǎo)操縱員進(jìn)行診斷并采取行動,對規(guī)程的開發(fā)者是一個不小的挑戰(zhàn)。

3.1　合理的規(guī)程進(jìn)入條件的設(shè)定

每份規(guī)程入口條件的設(shè)計,要囊括系統(tǒng)的各種故障類型及各種故障模型。通常來講,規(guī)程的進(jìn)入條件包括兩部分:一是電站報警系統(tǒng)所給出的報警信息;二是操縱員監(jiān)視發(fā)現(xiàn)的電站系統(tǒng)的異常趨勢,這些偏離了正常運(yùn)行帶的異常趨勢可能尚未到達(dá)報警值,但趨勢很明顯。在設(shè)計入口條件時,要根據(jù)系統(tǒng)及設(shè)備的設(shè)計參數(shù),結(jié)合運(yùn)行條件、運(yùn)行歷史經(jīng)驗(yàn)合理而全面地設(shè)定好入口條件,所列出的入口條件既要簡潔明了,又能反映系統(tǒng)的異常狀態(tài)。

3.2　重要的系統(tǒng)狀態(tài)監(jiān)控參數(shù)的設(shè)定

為了防止系統(tǒng)或設(shè)備功能的失去導(dǎo)致更大瞬態(tài)的發(fā)生,某些表征系統(tǒng)或設(shè)備健康狀況的參數(shù)應(yīng)鑒別出來并得到持續(xù)的監(jiān)控,這些參數(shù)可以是液位、壓力、流量、振動等,一旦這些參數(shù)偏離了正常的運(yùn)行控制范圍,意味著系統(tǒng)或設(shè)備將失去功能,所以首先要鑒別出影響系統(tǒng)或設(shè)備功能的重要參數(shù),并在執(zhí)行步驟里加以標(biāo)注,以提醒操縱員需要該步驟為持續(xù)執(zhí)行步驟。例如:

1 檢查CCS波動箱液位—大于0.178 m。

上例中的步驟1,CCS(設(shè)備冷卻水系統(tǒng))波動箱液位如持續(xù)下降并失去,意味著該系統(tǒng)將失去設(shè)計功能,所以該參數(shù)需要得到持續(xù)監(jiān)控,并在序號上進(jìn)行了標(biāo)注。

3.3　立即行動項(xiàng)的設(shè)定

由于狀態(tài)導(dǎo)向的規(guī)程存在著可能延遲行動執(zhí)行的缺點(diǎn),而系統(tǒng)發(fā)生故障時又希望能迅速地排除故障,避免瞬態(tài)的發(fā)生,所以對某些可能引起系統(tǒng)失去功能的故障,操縱員應(yīng)該立即干預(yù),而不需等到打開規(guī)程或按照規(guī)程的步驟執(zhí)行。例如一旦發(fā)生故障跳泵,操縱員應(yīng)立即檢查備用泵是否啟動或立即手動啟泵;又如當(dāng)發(fā)現(xiàn)某一液位持續(xù)下降,應(yīng)允許操縱員在液位降低到設(shè)定值之前就采取措施。這些需要立即行動的項(xiàng)目應(yīng)該提前設(shè)計好,并作為一種操縱員的行為規(guī)范或規(guī)程執(zhí)行紀(jì)律。

3.4　規(guī)程步驟的排序設(shè)定

每份AOP規(guī)程把系統(tǒng)的所有故障類型及故障模型集中在了一起,不同的故障類型及故障模型對系統(tǒng)產(chǎn)生的危害性各不相同,對系統(tǒng)或設(shè)備危害大的行動要優(yōu)先進(jìn)行。規(guī)程步驟的排序要遵循以下原則:

1)給定工況下的操作優(yōu)先級;

2)可能給系統(tǒng)帶來的影響;

3)設(shè)備所處的位置。

3.5　強(qiáng)調(diào)團(tuán)隊(duì)行為

癥狀導(dǎo)向規(guī)程要求運(yùn)行人員根據(jù)的電站的狀態(tài)而采取行動,有些重要的電站狀態(tài)必須得到持續(xù)的監(jiān)控,所以針對一個異常事件的處理需要多人的配合,尤其在執(zhí)行多份規(guī)程時。在執(zhí)行規(guī)程時,要求有良好的團(tuán)隊(duì)精神,團(tuán)隊(duì)負(fù)責(zé)人應(yīng)合理分配團(tuán)隊(duì)內(nèi)各值班人員的職責(zé),進(jìn)行良好的團(tuán)隊(duì)協(xié)作。

3.6　執(zhí)行多份規(guī)程的優(yōu)先級的劃分

對EOP而言,不管電站發(fā)生了多么嚴(yán)重的事故,它始終優(yōu)先執(zhí)行最高優(yōu)先級的規(guī)程,這個優(yōu)先級有簡單明確的判據(jù)并且得到持續(xù)的監(jiān)控;而AOP不同,如果電站的多個系統(tǒng)同時發(fā)生故障,或一個系統(tǒng)發(fā)生多重故障,操縱員可能需要同時執(zhí)行多份規(guī)程或需要監(jiān)控多個參數(shù)。為了防止延誤對重要系統(tǒng)的恢復(fù),團(tuán)隊(duì)負(fù)責(zé)人要綜合判斷電站的狀況,劃分程序執(zhí)行的優(yōu)先順序,保證電站最重要的功能得到保障或得到恢復(fù)。

3.7　編寫一份好的編寫導(dǎo)則

編寫導(dǎo)則用于指導(dǎo)規(guī)程編寫者的工作,一份好的編寫導(dǎo)則應(yīng)該包含所有規(guī)程的編寫要素,并且對這些要素作出明確的規(guī)定。這些要素不僅僅是指編寫格式、規(guī)格、編碼等基本信息,還應(yīng)包含應(yīng)用信息,例如警示、注意等的應(yīng)用。

3.8　規(guī)程使用培訓(xùn)

系統(tǒng)或設(shè)備的某些故障是比較簡單且易于判斷的,處理起來也比較容易,操縱員往往不甘心于等待規(guī)程或不樂于應(yīng)用規(guī)程,怕規(guī)程的使用會影響處理效率,但伴隨這類故障往往會有某些不易發(fā)現(xiàn)的故障發(fā)生,如果不完整地執(zhí)行規(guī)程可能不能發(fā)現(xiàn)這些難以察覺的問題,所以一個使用規(guī)程、遵守規(guī)程的良好的行為規(guī)范的養(yǎng)成,能更好地體現(xiàn)規(guī)程的價值。

4　總結(jié)

癥狀導(dǎo)向規(guī)程是在充分分析三哩島事故后開發(fā)出來的,它避免了事件導(dǎo)向規(guī)程所存在的依賴于人的缺點(diǎn),同時又能確保電站處于某個安全狀態(tài),雖然這個狀態(tài)可能不是最佳的狀態(tài),所以癥狀導(dǎo)向的應(yīng)急響應(yīng)規(guī)程,在全世界核電站得到應(yīng)用,并且顯示出了它的巨大優(yōu)點(diǎn)。隨著核電站技術(shù)的升級優(yōu)化,電站系統(tǒng)得到不斷的簡化,設(shè)備可靠性越來越高,自動化控制程度不斷提高,人因錯誤將會是導(dǎo)致電站發(fā)生瞬態(tài)甚至危及安全的主要因素,所以癥狀導(dǎo)向AOP規(guī)程在應(yīng)對電站系統(tǒng)異常事件時,也會體現(xiàn)其優(yōu)越性。