對(duì)某核電廠主給水喪失手動(dòng)停堆后操縱員人因失誤的根本原因分析

馬國(guó)強(qiáng),吳彥農(nóng),張 浩,王 喆,段 軍

(生態(tài)環(huán)境部核與輻射安全中心，北京 100082)

操縱員的行為影響著核電廠的安全運(yùn)行。三哩島核事故表明，操縱人員做出不正確的動(dòng)作可能會(huì)延緩事件后機(jī)組恢復(fù)，更甚者會(huì)導(dǎo)致核事故的發(fā)生。據(jù)統(tǒng)計(jì),我國(guó)核電廠1991—2016年發(fā)生的運(yùn)行事件中人因失誤因素導(dǎo)致事件發(fā)生占比達(dá)到47.1%，人因失誤成為導(dǎo)致我國(guó)核電廠發(fā)生執(zhí)照運(yùn)行事件的主要因素[1]。

2018年，某AP1000型核電廠主給水喪失后由啟動(dòng)給水為二回路供水，隨后操縱員手動(dòng)停堆。為避免專設(shè)安全設(shè)施啟動(dòng)信號(hào)(S信號(hào))觸發(fā)，操縱員手動(dòng)關(guān)小啟動(dòng)給水調(diào)節(jié)閥，導(dǎo)致非能動(dòng)余熱排出系統(tǒng)(PRHR)自動(dòng)觸發(fā)，隨后一回路冷卻劑系統(tǒng)(RCS)溫度快速降低并自動(dòng)觸發(fā)S 信號(hào)，相關(guān)專設(shè)安全設(shè)施自動(dòng)響應(yīng)，操縱員執(zhí)行規(guī)程穩(wěn)定機(jī)組狀態(tài)，期間多次觸發(fā)了AP1000的安全系統(tǒng)，并且操縱員對(duì)冷卻劑系統(tǒng)進(jìn)行泄壓導(dǎo)致堆芯出口過冷度出現(xiàn)低于0 ℃的情況，持續(xù)時(shí)間達(dá)到1小時(shí)35分鐘。為了充分吸取本起運(yùn)行事件的經(jīng)驗(yàn)教訓(xùn)，制定針對(duì)性的糾正措施，需要對(duì)該事件進(jìn)行根本原因分析。

1 AP1000非能動(dòng)堆芯冷卻系統(tǒng)簡(jiǎn)介

AP1000是美國(guó)西屋公司設(shè)計(jì)的單堆布置的雙環(huán)路壓水堆，它在傳統(tǒng)壓水堆核電技術(shù)的基礎(chǔ)上，采用非能動(dòng)技術(shù)的安全系統(tǒng)，如非能動(dòng)堆芯冷卻系統(tǒng)、非能動(dòng)安全殼冷卻系統(tǒng)等[2]。

非能動(dòng)堆芯冷卻系統(tǒng)(PXS)包括非能動(dòng)堆芯余熱排出子系統(tǒng)和非能動(dòng)安全注入子系統(tǒng)。非能動(dòng)安全注入子系統(tǒng)包括兩個(gè)堆芯補(bǔ)水箱(CMT)，兩個(gè)蓄壓箱(ACC)，一個(gè)安全殼內(nèi)換料水箱(IRWST)和相應(yīng)的管道、閥門、儀表組成[3]。事故情況下，CMT以冷熱水密度差作為驅(qū)動(dòng)力將冷的濃硼水注入堆芯，ACC則依靠罐內(nèi)和一回路壓力差為驅(qū)動(dòng)力快速注入濃硼水，IRWST也儲(chǔ)存有濃硼水，采用重力差的方式為堆芯提供長(zhǎng)期冷卻。

非能動(dòng)堆芯余熱排出子系統(tǒng)PRHR從1號(hào)熱管段引出，返回1號(hào)蒸汽發(fā)生器下腔室，非能動(dòng)余熱排出熱交換器布置在IRWST內(nèi)[4]，最終采用自然或強(qiáng)制循環(huán)的方式將堆芯余熱通過IRWST中的水、安全殼內(nèi)的空氣和鋼制安全殼傳遞到環(huán)境大氣中。

2 因果分析法和原因因素圖法簡(jiǎn)介

因果分析法就是將分析對(duì)象看作一個(gè)結(jié)果，追溯對(duì)產(chǎn)生該結(jié)果有直接貢獻(xiàn)的各種因素，然后再將這些因素看成新的結(jié)果，重復(fù)以上過程，如此循環(huán)直到找出分析對(duì)象最根本的原因?yàn)橹?，因果分析法在尋找人因和設(shè)備故障類事件的根本原因時(shí)經(jīng)常使用[5]。在找到事件的失效點(diǎn)后，通過多層的因果分析就可以找出失效的根本原因，分析過程和結(jié)果可以用原因因素圖清晰表示[6]。

原因因素圖分析法是通過使用不同的圖形符號(hào)并配以適當(dāng)?shù)奈淖终f明將事件發(fā)生的過程、事件分析的過程以及事件分析的結(jié)果以圖形的方式表達(dá)出來的原因分析方法[7]。該方法具有清晰、直觀的特點(diǎn)，可以使讀者清楚地了解事件發(fā)生過程和原因推理，其他的分析工具，例如屏障分析法、因果分析法、變化分析法等也可為ECF提供信息輸入。

3 主要事件序列

某核電廠處于功率運(yùn)行狀態(tài)，主給水喪失后啟動(dòng)給水系統(tǒng)自動(dòng)啟動(dòng)，因蒸汽發(fā)生器(SG)液位下降到26%且無法維持，值長(zhǎng)下令手動(dòng)停堆，執(zhí)行停堆或安注應(yīng)急運(yùn)行規(guī)程(E-0規(guī)程)。

00∶00∶00，操縱員由E-0規(guī)程引導(dǎo)轉(zhuǎn)至“停堆響應(yīng)應(yīng)急運(yùn)行規(guī)程”(ES-0.1規(guī)程)，倒班技術(shù)顧問開始執(zhí)行關(guān)鍵安全功能狀態(tài)樹規(guī)程(F-0規(guī)程)。

00∶02∶00 操縱員執(zhí)行ES-0.1步驟4，判斷兩臺(tái)SG壓力穩(wěn)定，繼續(xù)執(zhí)行后續(xù)步驟，但實(shí)際上此時(shí)SG壓力已出現(xiàn)緩慢下降趨勢(shì)。

00∶11∶00，為防止冷段溫度降至S信號(hào)觸發(fā)定值263 ℃，副值長(zhǎng)(CRS)根據(jù)白班值的經(jīng)驗(yàn)反饋建議，下令支持操縱員(SO2)調(diào)小蒸汽發(fā)生器啟動(dòng)給水調(diào)節(jié)閥至30%。SO2先是緩慢調(diào)小閥門開度，隨后在其他人員催促下快關(guān)至30%，此時(shí)SG液位和給水流量符合PRHR啟動(dòng)條件，自動(dòng)觸發(fā)PRHR。

00∶13∶12，由于PRHR強(qiáng)制循環(huán)，同時(shí)二回路除氧器和汽輪機(jī)軸封用汽冷卻，導(dǎo)致一回路冷段溫度迅速下降至S信號(hào)觸發(fā)定值，CMT自動(dòng)啟動(dòng)，反應(yīng)堆操縱員(NO1)根據(jù)ES-0.1規(guī)程跳回至規(guī)程E-0第5步。

00∶31∶02，NO1根據(jù)E-0步驟34和步驟35，判斷機(jī)組狀態(tài)滿足非能動(dòng)安全系統(tǒng)終止條件，隨后復(fù)位S信號(hào)并關(guān)閉CMT A/B出口隔離閥。

00∶35∶00，由于RCS冷管溫度在60 min內(nèi)下降超過56 ℃，RCS壓力和冷管溫度均在限值曲線A(為保證一回路壓力邊界完整的壓力和溫度曲線)右側(cè)且RCS冷管溫度低于115 ℃，滿足F-0規(guī)程橙色工況，CRS根據(jù)規(guī)程要求，下令開始執(zhí)行帶壓熱沖擊即將發(fā)生的響應(yīng)規(guī)程 (FR-P.1)。

00∶39∶19，NO1根據(jù)FR-P.1規(guī)程步驟4～6通過自動(dòng)泄壓系統(tǒng)(ADS)對(duì)RCS進(jìn)行手動(dòng)降壓至6 MPa，隔離兩臺(tái)安注箱。20 min后，PZR窄量程液位上升至滿量程。

01∶22∶05，RCS壓力滿足FR-P.1規(guī)程步驟6停止降壓準(zhǔn)則，NO1關(guān)閉ADS系統(tǒng)，但在PRHR的冷卻作用下，RCS壓力仍然緩慢下降，堆芯過冷度也在緩慢下降。

01∶37∶31，NO1根據(jù)FR-P.1規(guī)程步驟25RNO，開啟壓力容器頂蓋排氣閥(RCS-V150A/C)來降低穩(wěn)壓器液位，將壓力容器頂蓋可能存在的汽體排放至IRWST。

01∶55∶19后，因穩(wěn)壓器液位未下降，副值長(zhǎng)與值長(zhǎng)討論認(rèn)為壓力容器頂蓋處沒有汽空間，命令NO1關(guān)閉RCS-V150A/C。

02∶11∶39，RCS壓力降低至1.357 MPa，PZR水位從100%開始緩慢下降。6 min后，1號(hào)機(jī)操(CO1)通過啟動(dòng)給水調(diào)節(jié)閥2-SGS-V255A/B開始向SG供水。

02∶56∶00，根據(jù)規(guī)程FR-P.1連續(xù)步驟29，因狀態(tài)不滿足堆芯出口溫度過冷度大于6 ℃，且PZR窄量程液位大于10%的要求，NO1手動(dòng)觸發(fā)CMT，PRHR也隨即啟動(dòng)。

03∶11∶00，為了建立二回路熱阱，副值長(zhǎng)根據(jù)FR-P.1規(guī)程步驟30下令開啟主蒸汽大氣釋放閥(PORV)，對(duì)SG進(jìn)行降溫降壓。48 s后，因一回路壓力持續(xù)下降，堆芯出口過冷度降低至0 ℃以下。

03∶52∶56，根據(jù)FR-P.1規(guī)程40步RNO，NO1再次開啟RCS-V150A/C對(duì)穩(wěn)壓器進(jìn)行降液位，20 min后因穩(wěn)壓器液位依然沒有下降趨勢(shì)，便關(guān)閉RCS-V150A/C。

04∶17∶15，根據(jù)FR-P.1規(guī)程第32步連續(xù)步驟引導(dǎo)，2號(hào)機(jī)操(CO2)判斷RCS溫度不穩(wěn)定，執(zhí)行蒸汽排放至凝汽器規(guī)程(ES-0.3)步驟4RNO，復(fù)位主蒸汽隔離信號(hào)，并開始緩慢手動(dòng)打開主蒸汽旁路隔離閥，對(duì)下游蒸汽管線進(jìn)行暖管。14 min后，堆芯出口過冷度上升至0 ℃以上。

04∶47∶38，因PORV閥開度自動(dòng)變化，導(dǎo)致堆芯出口過冷度再次降至0 ℃以下。CO2執(zhí)行ES-0.3規(guī)程步驟4RNO，手動(dòng)打開主蒸汽隔離閥A/B。16 min后，堆芯出口過冷度上升至0 ℃以上。

05∶12∶00，機(jī)組狀態(tài)滿足FR-P.1連續(xù)步驟26條件，手動(dòng)關(guān)閉CMT。

05∶47∶00，執(zhí)行至FR-P.1規(guī)程步驟30，CO2通過每次降低0.01 MPa的方式來調(diào)整旁排壓力設(shè)定值，但在設(shè)定0.99 MPa時(shí)誤將該值設(shè)定為0.9 MPa，導(dǎo)致旁排閥開度過大，再次觸發(fā)CMT和PRHR，CRS下令CO2將旁排閥關(guān)小直至全關(guān)。

05∶49∶12，根據(jù)FR-P.1規(guī)程連續(xù)操作步驟32RNO， NO1手動(dòng)復(fù)位PRHR信號(hào)，調(diào)節(jié)關(guān)小PXS-V108A/B開度。

直至10∶45∶00，運(yùn)行值根據(jù)規(guī)程成功建立二回路熱阱，并將各安全系統(tǒng)退出運(yùn)行，事件處理過程結(jié)束。

4 事件原因分析

4.1 失效點(diǎn)原因分析

使用ECF分析法梳理事件序列并確定了6個(gè)失效點(diǎn)，隨后采用因果分析法對(duì)失效點(diǎn)的原因進(jìn)行進(jìn)一步分析。

(1)ES-0.1規(guī)程步驟4要求不明確，導(dǎo)致操縱員判斷錯(cuò)誤

運(yùn)行人員執(zhí)行至ES-0.1第4步時(shí)確認(rèn)SG壓力穩(wěn)定，不執(zhí)行4RNO步驟“減少給水流量或關(guān)閉主蒸汽管線隔離閥”。事后查閱SG壓力記錄，顯示當(dāng)時(shí)SG壓力已出現(xiàn)了緩慢下降的趨勢(shì)。由于操縱員未執(zhí)行減少給水流量或關(guān)閉主蒸汽管線隔離閥的操作，導(dǎo)致RCS冷段溫度在12 min內(nèi)下降了11 ℃。

失效的原因?yàn)镋S-0.1步驟4中未明確SG壓力穩(wěn)定或上升的判定依據(jù)，操縱員短時(shí)間內(nèi)難以準(zhǔn)確評(píng)價(jià)SG壓力是否穩(wěn)定，且該步驟不是連續(xù)步驟，盡管此后SG壓力持續(xù)緩慢下降，但操縱員仍執(zhí)行4RNO。

(2)CRS偏離應(yīng)急運(yùn)行規(guī)程下達(dá)了不完整的指令

機(jī)組停機(jī)停堆后白班值擅自進(jìn)入主控室參與事件應(yīng)對(duì)工作。操縱員執(zhí)行至ES-0.1步驟11時(shí)，根據(jù)規(guī)程要求應(yīng)檢查啟動(dòng)給水調(diào)節(jié)閥處于自動(dòng)狀態(tài)并維持SG窄量程液位在35%和52.5%之間，此時(shí)副值長(zhǎng)根據(jù)白班值不適用的經(jīng)驗(yàn)反饋建議，下令SO2手動(dòng)調(diào)節(jié)關(guān)小啟動(dòng)給水調(diào)節(jié)閥(2-SGS-V255A/B)至30%。CRS下達(dá)的工作指令中未包含ES-0.1規(guī)程中要求的控制SG液位范圍，不滿足《運(yùn)行行為規(guī)范》“下令將自動(dòng)系統(tǒng)置于手動(dòng)之前，必須確定受控參數(shù)和控制帶”的規(guī)定。

(3)操縱員在主控室其他人員干擾下執(zhí)行了快關(guān)操作

在SO2調(diào)節(jié)關(guān)小啟動(dòng)給水調(diào)節(jié)閥(2-SGS-V255A/B)的過程中，因主控室其他人員催促SO2快關(guān)啟動(dòng)給水調(diào)節(jié)閥至30%開度，且SO2在未經(jīng)分析風(fēng)險(xiǎn)的情況下盲目執(zhí)行快關(guān)操作后導(dǎo)致PRHR自動(dòng)觸發(fā)，但在平時(shí)的操縱員培訓(xùn)課程中明確要求應(yīng)采用緩慢、平滑的控制手段調(diào)節(jié)啟動(dòng)給水調(diào)節(jié)閥。

(4)操縱員打開壓力容器頂蓋排氣閥對(duì)穩(wěn)壓器降液位失敗

根據(jù)FR-P.1規(guī)程25RNO和40RNO的要求，操縱員兩次開啟壓力容器頂蓋排氣閥，穩(wěn)壓器液位都未出現(xiàn)預(yù)期下降現(xiàn)象，實(shí)際上，在反應(yīng)堆冷卻劑系統(tǒng)降溫降壓過程中，壓力容器頂蓋內(nèi)存在冷卻劑滯留區(qū)，在換熱不充分的情況下可能汽化形成汽腔從而擠壓冷卻劑進(jìn)入穩(wěn)壓器，造成穩(wěn)壓器液位上升。此外，事件中S信號(hào)觸發(fā)導(dǎo)致二回路給水和排汽隔離，隨著一回路降溫降壓，二回路溫度逐漸超過一回路溫度，對(duì)SG一次側(cè)冷卻劑形成加熱作用，SG一次側(cè)的U型管內(nèi)也可能存在汽空間。

該情況表明FR-P.1規(guī)程所要求的通過壓力容器頂蓋排氣降低PZR液位的操作指令不適用于當(dāng)前工況。另外，該規(guī)程中也未說明在穩(wěn)壓器未出現(xiàn)預(yù)期下降現(xiàn)象時(shí)應(yīng)采取的措施。

(5)操縱員執(zhí)行規(guī)程FR-P.1連續(xù)步驟29不及時(shí)

02:21:00，該機(jī)組堆芯出口過冷度已降低至6 ℃以下，根據(jù)FR-P.1連續(xù)步驟29的要求，當(dāng)堆芯不滿足過冷度大于6 ℃，同時(shí)PZR窄量程液位大于10%時(shí)，應(yīng)按照29RNO的要求手動(dòng)觸發(fā)CMT，直至02:56:00才手動(dòng)觸發(fā)CMT，規(guī)程實(shí)際執(zhí)行時(shí)間比要求時(shí)間滯后了35 min。該失效點(diǎn)表明操縱員因?qū)σ?guī)程不熟悉，對(duì)關(guān)鍵參數(shù)監(jiān)測(cè)不及時(shí)，導(dǎo)致未嚴(yán)格按照規(guī)程執(zhí)行。

(6)CO2在降低旁排壓力時(shí)輸入錯(cuò)誤的旁排壓力設(shè)定值

CO2通過每次降低0.01 MPa的方式來調(diào)整旁排壓力設(shè)定值，在無人員監(jiān)護(hù)的情況下時(shí)誤將旁排壓力值0.99 MPa設(shè)定為0.9 MPa，導(dǎo)致旁排閥開度過大，二回路帶熱量增加，一回路溫度和穩(wěn)壓器液位隨之降低，再次觸發(fā)CMT和PRHR動(dòng)作。

可以看出，操縱員在執(zhí)行高風(fēng)險(xiǎn)操作時(shí)未安排人員監(jiān)護(hù)，也沒有進(jìn)行自檢，不滿足《運(yùn)行行為規(guī)范》中關(guān)于“操縱員在主控室進(jìn)行設(shè)備操作時(shí)，應(yīng)使用防人因失誤工具，包括：自檢、監(jiān)護(hù)、并行驗(yàn)證、獨(dú)立驗(yàn)證”的要求。

4.2 根本原因分析

采用因果分析法進(jìn)一步挖掘和歸納上述分析結(jié)果中更深層次的原因，最終得到原因因素圖(見圖1)，主要包含以下兩點(diǎn)。

圖1 原因因素圖Fig.1 Event cause factor chart

(1)應(yīng)急運(yùn)行規(guī)程不完善

事件期間出現(xiàn)多次因應(yīng)急規(guī)程制定不完善而導(dǎo)致操縱員誤操作的情況，從而使得事件不斷惡化，主要體現(xiàn)在：第一，ES-0.1步驟4規(guī)程中未明確SG壓力穩(wěn)定或上升的判定依據(jù)，導(dǎo)致操縱員未執(zhí)行正確的關(guān)閉。此外，該步驟不是連續(xù)步驟，盡管此后SG壓力仍持續(xù)緩慢下降，但操縱員按照程序要求仍無需采取關(guān)閉主蒸汽隔離閥等操作。第二，本次事件中由于一回路過冷度小于0 ℃，一回路壓力容器頂蓋和SG一次側(cè)的U型管內(nèi)附近都可能存在汽腔，操縱員根據(jù)FR-P.1規(guī)程25RNO和40RNO的要求，兩次開啟壓力容器頂蓋排氣閥RCS-V150A/C降低穩(wěn)壓器液位都未達(dá)到降低液位的效果，該規(guī)程中缺乏穩(wěn)壓器液位未下降應(yīng)采取的措施和條款。第三，本次事件中S信號(hào)觸發(fā)后二回路給水排氣被隔離，隨后規(guī)程指引操縱員對(duì)一回路進(jìn)行降溫降壓操作，但對(duì)二回路的相關(guān)操作指令滯后。事件過程中由于二回路溫度及壓力高于一回路，進(jìn)而形成倒傳熱引發(fā)蒸汽發(fā)生器一次側(cè)U型管內(nèi)部冷卻劑氣化。

(2)營(yíng)運(yùn)單位對(duì)于工作計(jì)劃或過程的有效性監(jiān)督不夠

事件中，操縱員多次未嚴(yán)格遵守培訓(xùn)要求、《運(yùn)行操作的程序控制》和《運(yùn)行行為規(guī)范》中的相關(guān)規(guī)定等，同時(shí)也出現(xiàn)了偏離應(yīng)急運(yùn)行規(guī)程操作導(dǎo)致安全系統(tǒng)動(dòng)作的情況。這體現(xiàn)了營(yíng)運(yùn)單位對(duì)調(diào)試試驗(yàn)、日常運(yùn)行、事件響應(yīng)工作中出現(xiàn)的不按規(guī)程操作的情況缺乏管理，工作有效性無法得到保障。

5 結(jié)論

對(duì)本次事件中出現(xiàn)的操縱員行為失誤導(dǎo)致PRHR啟動(dòng)、手動(dòng)停堆后S信號(hào)觸發(fā)、堆芯過冷度監(jiān)控不及時(shí)、錯(cuò)誤輸入旁排壓力設(shè)定值等問題，建議從規(guī)程、工作實(shí)踐管理兩方面著手：

(1)驗(yàn)證規(guī)程有效性

在本次事件中AP1000應(yīng)急規(guī)程出現(xiàn)了關(guān)鍵步驟缺乏判斷準(zhǔn)則、二回路相關(guān)操作要求滯后、規(guī)程指引動(dòng)作失效的情況，建議營(yíng)運(yùn)單位對(duì)應(yīng)急運(yùn)行規(guī)程有效性進(jìn)行評(píng)估，明確非能動(dòng)安全系統(tǒng)觸發(fā)條件和事件處理過程中需重點(diǎn)關(guān)注的關(guān)鍵參數(shù)。

(2)營(yíng)運(yùn)單位應(yīng)加強(qiáng)對(duì)各項(xiàng)工作的督導(dǎo)

事件中出現(xiàn)了操縱員不嚴(yán)格遵守《運(yùn)行操作的程序控制》《運(yùn)行行為規(guī)范》和《應(yīng)急運(yùn)行規(guī)程》，以及對(duì)芯過冷度監(jiān)控不及時(shí)、錯(cuò)誤輸入旁排壓力設(shè)定值等問題。為此，建議營(yíng)運(yùn)單位加強(qiáng)人員培訓(xùn)，保證相關(guān)人員熟悉規(guī)程要求。采取工作觀察、督導(dǎo)、考核等措施，糾正員工的不良工作習(xí)慣，要求工作人員嚴(yán)格按照相關(guān)規(guī)程開展工作。采用監(jiān)護(hù)操作、三段式溝通、明星自檢等防人因失誤工具保證人員行為可靠性。