Vpliv analize zanesljivosti človeka na rezultate verjetnostnih varnostnih analiz jedrske elektrarne Marko Čepin, Andrej Prošek Institut Jožef Stefan, Ljubljana, Slovenija E-pošta: marko.cepin@ijs.si, andrej.prosek@ijs.si Povzetek. Kljub visoki stopnji avtomatizacije je človeški dejavnik pri vodenju kompleksnih sistemov še vedno eden najpomembnejših pri njihovem varnem obratovanju. Poleg prispevkov odpovedi komponent in opreme je v modelih verjetnostnih varnostnih analiz mogoče upoštevati tudi zanesljivost človeka. Razvili smo metodo za analizo zanesljivosti človeka, katere rezultat so ocenjene verjetnosti specifičnih človeških napak, ki lahko nastanejo pri vodenju sistemov. Metodo smo uporabili za verjetnostne varnostne analize konkretne elektrarne. S prikazom delnega prispevka k tveganju, ki kaže, koliko posamezen dogodek ali skupina dogodkov pripomore k nerazpoložljivosti sistemov oziroma k varnosti objekta, je prikazan prispevek človeka v primerjavi z odpovedmi izbranih komponent in opreme. Identificirali smo najpomembnejše človeške akcije, ki jih je treba vaditi v popolnem simulatorju jedrske elektrarne. S tem so zmanjšane verjetnosti človeških napak in zato je prispevek človeka v verjetnostnih varnostnih analizah manjši. To pomaga k izboljšanju varnosti jedrskih elektrarn. Ključne besede: varnost, zanesljivost, jedrska elektrarna, človek Contribution of human reliability analysis to the results of probabilistic safety assessment of the nuclear power plant Extended abstract. The human contribution to the undesired events in technological systems is still significant despite automation of systems and processes. In the probabilistic safety assessment, which is a standardized tool for assessment and improvement of nuclear power plant safety, it is possible to consider the human reliability analysis in addition of the risk analysis of component and system failures. The objective of this paper is to show how the human reliability analysis is integrated into the probabilistic safety assessment and to assess effects of human reliability on the nuclear power plant safety compared to the contribution of the selected safety equipment. A method for human reliability analysis was developed. Fig. 1 shows how the human reliability analysis is integrated into the probabilistic safety assessment. Equation 1 provides an expression for quantification of the risk contribution of the selected events. The expression is based on eqs. 2 and 3, which calculate the system unavailability based on failure probabilities of its components and related human errors. A detailed model of a specific nuclear power plant is investigated. Fig. 2 shows the result of parametric deterministic analysis from which a time window for operator action is determined. Results in figure 3 show that the risk contribution of all human errors is comparable to the risk contribution of diesel generators. Abbreviations used in Fig. 3 are explained in Table 1. The results show that the risk contribution of initiator events and pre-initiator events is negligible. The results in Fig. 4 show that only a few human errors notably contribute to the risk. The majority of human errors contributes negligibly or even do not contribute at all. Abbreviations of Fig. 4 are explained in Table 2. Fig. 4 and Table 2 identify the most important human actions to be trained in the plant full scope simulator. Figs. 5 and 6 show partial results of the probabilistic safety assessment focusing only on one initiating event (i. e. loss of offsite power) and to its subsequent scenarios. Figure 5 shows the risk contributions of selected groups of events for all scenarios of the loss of offsite power initiating event. Fig. 6 shows the risk contributions of the same groups for specific scenarios of the loss of offsite power initiating event separately. Results show that the risk contributions of specific events or groups of events vary from one scenario to another and from one initiating event to another. Identification of the most important human actions in general and for specific initiating events is the input for defining training in the full scope plant simulator. It decreases the human error probability for trained human actions. The decrease in the human error probability increases the nuclear power plant safety accordingly. Keywords: safety, reliability, nuclear power plant, human 1 Uvod Verjetnostne varnostne analize so standardno orodje za proučevanje zanesljivosti sistemov in varnosti objektov [1, 2, 3]. V največji meri se uporabljajo za ocenjevanje in izboljševanje varnosti jedrskih elektrarn in vesoljskih poletov. V okviru verjetnostnih varnostnih analiz se ugotavlja, kateri dogodki se lahko zgodijo, kako verjetno je, da se zgodijo, in kako hude so lahko njihove posledice. Poleg prispevkov odpovedi komponent in opreme je v modelih verjetnostnih varnostnih analiz mogoče upoštevati tudi zanesljivost človeka (oz. operaterjev) v obravnavanih objektih [4, 5, 6, 7]. 1.1 Cilj prispevka Cilj prispevka je prikazati, kako metodo analize zanesljivosti človeka učinkovito vključimo v verjetnostne varnostne analize in kako zanesljivost človeka vpliva na ocenjevanje varnosti jedrske elektrarne v primerjavi s prispevkom izbranih komponent in varnostne opreme. 1.2 Kratek pregled dosedanjega dela Razvili smo metodo za analizo zanesljivosti človeka, katere rezultat so ocenjene verjetnosti specifičnih človeških napak, ki lahko nastanejo v okviru vodenja sistemov [5]. Pri tem smo posebno pozornost namenili analizi odvisnosti med človeškimi akcijami. Razvili smo model za ocenjevanje medsebojne odvisnosti človeških akcij med vzdrževanjem in preizkušanjem sistemov. Poleg tega smo razvili model za ocenjevanje medsebojne odvisnosti človeških akcij, ki po nezaželenih začetnih dogodkih z zagonom varnostnih sistemov, če se morda ne zaženejo samodejno, pomagajo preprečiti nezgodo [5]. Metoda za analizo zanesljivosti človeka je bila razvita na način, ki omogoča neposredno in preprosto povezavo z verjetnostnimi varnostnimi analizami, katere specifični del je sama metoda. V okviru metode se verjetnosti človeških napak ocenjujejo na podlagi več parametrov, med katerimi sta tudi čas izvajanja zahtevane akcije in časovni okvir, v katerem mora biti narejena. Njuna razlika daje dodatni čas, ki ga imajo operaterji za izvedbo. Teoretično je verjetnost, da ne bo človeških napak večja, če je za izvedbo več časa. Za ocenjevanje časovnih okvirjev zahtevanih akcij smo uporabili pristop parametričnih determinističnih varnostnih analiz [7]. Uporabili smo termohidravlični model za izbrano elektrarno [8]. V determinističnih varnostnih analizah smo spreminjali čas, v katerem operaterji izvedejo posamezno akcijo, in opazovali časovni odziv sistemov jedrske elektrarne kako, da ne pride do prekoračitve izbranih parametrov, npr. do pregretja sredice reaktorja [7, 9]. Za merilo pregretja sredice smo izbrali temperaturo srajčke goriva, če preseže 1348 K ali če več kot 30 minut presega 923 K. Metodo smo uporabili za verjetnostne varnostne analize konkretne elektrarne. Ob identificiranju velikega nabora morebitnih človeških napak in ob identificiranju še večjega števila vplivnih parametrov nas je zanimalo, kateri so najpomembnejši. Zato smo modele razvili in povezali na način, ki je omogočil analize občutljivosti kazalcev tveganja in analize parametrov zanesljivosti na podlagi odvisnosti od parametrov, ki vplivajo na določitev verjetnosti napak človeka [6]. S proučevanjem modelov in rezultatov smo ugotovili, da k tveganju elektrarne največ prispeva le majhen del človeških napak in tudi majhno število vplivnih parametrov [6]. 2 Verjetnostne varnostne analize Slika 1 kaže shemo verjetnostnih varnostnih analiz s poudarkom na vključitvi metode razvite za analizo zanesljivosti človeka. Modeli analize zanesljivosti človeka dajejo rezultate: verjetnosti napak človeka, ki so lahko vključene v analizo dreves dogodkov in v analizo dreves odpovedi [1, 2]. Na sliki 1 je poudarjeno, da analiza dreves dogodkov pomeni vrednotenje scenarijev preprečevanja nezgod. Po nezaželenem dogodku (npr. izlivna nezgoda, npr. izguba zunanjega napajanja) se samodejno sprožijo varnostni sistemi, ki preprečijo nastanek nezgode oz. blažijo njene posledice. Če se varnostni sistemi ne bi sprožili, ukrepajo operaterji po vnaprej napisanih postopkih. Drevesa dogodkov povezujejo scenarije, ki se ločijo po tem, kateri varnostni sistemi v določenem časovnem zaporedju delujejo oz. kateri ne. Na sliki 1 so poudarjena tudi drevesa odpovedi, ki so podrobni logični modeli posameznih varnostnih sistemov. Namenjena so analiziranju, katere kombinacije odpovedi komponent in človeških napak lahko povzročijo odpoved sistema, in njihovemu ovrednotenju. Vhodni podatki za analizo dreves dogodkov in za analizo dreves odpovedi so podatki o odpovedih komponent in opreme (npr. 1i ... pogostost odpovedi i-te komponente, Tm ... čas delovanja i-te komponente, verjetnost odpovedi i-te komponente), podatki o njihovem preizkušanju in vzdrževanju (npr. Tii ... interval preizkušanja i-te komponente, Tti ... trajanje preizkušanja i-te komponente) in verjetnosti človeških napak (HEPi), ki jih dobimo kot rezultat analize zanesljivosti človeka. V okviru analize zanesljivosti človeka se za vsako človeško akcijo, ki je lahko potrebna v okviru obvladovanja sistemov, posebej modelira in oceni verjetnost človeške napake na podlagi več parametrov, med katerimi so [5, 6, 7]: število korakov zahtevane akcije, sama narava zahtevane akcije, kompleksnost izvajanja, količina stresa in dodatni čas, ki ga imajo operaterji za izvedbo (Ta). Ta čas je razlika med časovnim okvirjem, v katerem mora biti akcija opravljena (Tw), in med dejanskim časom potrebnim za izvedbo zahtevane akcije (Tp). Slika 2 kot primer kaže, kako določimo čas Tw na podlagi determinističnih varnostnih analiz. Za izbrani primer je Tw enak času največje zakasnitve ročnega vklopa pomožne napajalne vode, pri kateri se sredica še ne bi pregrela. Slika 2 kaže, da ko je zakasnitev pomožne napajalne črpalke 60 minut, temperatura 1348 K ni prekoračena, pri 70 minutah zakasnitve pa je, zato je Tw 60 minut. Na podlagi simulatorja, ki je replika komandne sobe jedrske elektrarne, je bilo določeno, da je čas potreben za izvedbo akcije Tp enak 10 minut, zato ima operater dodatno 50 minut za izvedbo (Ta=50 minut). Slika 1: Prikaz verjetnostnih varnostnih analiz z vključitvijo metode za analizo zanesljivosti človeka Figure 1: Scheme of the probabilistic safety assessment with the integrated method for human reliability analysis 1600 1200 ra ra <5 tu o. o. E E 0) 0) 800 400 2000 4000 Čas (s) Time (s) 6000 8000 Slika 2: Temperatura gorivne srajčke v odvisnosti od časa za izbrane zakasnitve vklopa pomožne napajalne vode Figure 2: Rod cladding temperature versus time for selected delays of manual actuation of the auxiliary feedwater system 2.1 Kvantitativna merila tveganja Rezultati verjetnostnih varnostnih analiz so kvalitativni in kvantitativni. Kvalitativni rezultati pomenijo identifikacijo kombinacij dogodkov, ki povzročijo nezaželeni dogodek. Na nivoju analize varnostnega sistema je to lahko odpoved njegove posamezne varnostne funkcije ali celotnega sistema. Kombinacije dogodkov, ki lahko povzročijo odpoved sistema, so predvsem odpovedi njegovih komponent, so pa lahko tudi izpuščene ali napačne človeške akcije. Kvantitativni rezultati so merila zanesljivosti in razpoložljivosti sistemov, merila tveganja, ki dajejo ocene verjetnosti nezgod, in merila pomembnosti, ki pomenijo prispevek komponent in njihovih skupin k zanesljivosti sistemov, k njihovemu povečanju in k njihovemu zmanjšanju. Delni prispevek k tveganju je merilo, ki pove, koliko posamezen dogodek (npr. odpoved komponente ali izpuščena ali napačna človeška akcija) pripomore k nerazpoložljivosti sistema ali k tveganju objekta. Enačba (1) kaže, kako se izračuna delni prispevek dogodka n k tveganju (FCn). FCn = Qs - Qs(Qn = 0) Qs (1) kjer je: FCn ... delni prispevek dogodka n k tveganju Qs ... nerazpoložljivost sistema Qs(Qn=0) ... nerazpoložljivost sistema pri nerazpoložljivosti komponente n postavljene na 0, oz. verjetnosti človeške napake n postavljene na 0 Enačbi (2) in (3) kažeta, kako se poenostavljeno izračuna nerazpoložljivost sistema [2]. 0 i=I Qs = ^ QMCSi — ^ QmCSiU MCSj + i=1 i< j (2) (3) + ^ QMCSi^ MCSf MCSk i< j