1 Uvod Verjetnostne varnostne analize so standardno orodje za proučevanje zanesljivosti sistemov in varnosti objektov [1, 2, 3]. V največji meri se uporabljajo za ocenjevanje in izboljševanje varnosti jedrskih elektrarn in vesoljskih poletov. V okviru verjetnostnih varnostnih analiz se ugotavlja, kateri dogodki se lahko zgodijo, kako verjetno je, da se zgodijo, in kako hude so lahko njihove posledice. Poleg prispevkov odpovedi komponent in opreme je v modelih verjetnostnih varnostnih analiz mogoče upoštevati tudi zanesljivost človeka (oz. operaterjev) v obravnavanih objektih [4, 5, 6, 7]. Prejet 7. januar, 2009 Odobren 22. april, 2009 140 Čepin, Prošek 1.1 Cilj prispevka Cilj prispevka je prikazati, kako metodo analize zanesljivosti človeka učinkovito vključimo v verjetnostne varnostne analize in kako zanesljivost človeka vpliva na ocenjevanje varnosti jedrske elektrarne v primerjavi s prispevkom izbranih komponent in varnostne opreme. 1.2 Kratek pregled dosedanjega dela Razvili smo metodo za analizo zanesljivosti človeka, katere rezultat so ocenjene verjetnosti specifičnih človeških napak, ki lahko nastanejo v okviru vodenja sistemov [5]. Pri tem smo posebno pozornost namenili analizi odvisnosti med človeškimi akcijami. Razvili smo model za ocenjevanje medsebojne odvisnosti človeških akcij med vzdrževanjem in preizkušanjem sistemov. Poleg tega smo razvili model za ocenjevanje medsebojne odvisnosti človeških akcij, ki po nezaželenih začetnih dogodkih z zagonom varnostnih sistemov, če se morda ne zaženejo samodejno, pomagajo preprečiti nezgodo [5]. Metoda za analizo zanesljivosti človeka je bila razvita na način, ki omogoča neposredno in preprosto povezavo z verjetnostnimi varnostnimi analizami, katere specifični del je sama metoda. V okviru metode se verjetnosti človeških napak ocenjujejo na podlagi več parametrov, med katerimi sta tudi čas izvajanja zahtevane akcije in časovni okvir, v katerem mora biti narejena. Njuna razlika daje dodatni čas, ki ga imajo operaterji za izvedbo. Teoretično je verjetnost, da ne bo človeških napak večja, če je za izvedbo več časa. Za ocenjevanje časovnih okvirjev zahtevanih akcij smo uporabili pristop parametričnih determinističnih varnostnih analiz [7]. Uporabili smo termohidravlični model za izbrano elektrarno [8]. V determinističnih varnostnih analizah smo spreminjali čas, v katerem operaterji izvedejo posamezno akcijo, in opazovali časovni odziv sistemov jedrske elektrarne kako, da ne pride do prekoračitve izbranih parametrov, npr. do pregretja sredice reaktorja [7, 9]. Za merilo pregretja sredice smo izbrali temperaturo srajčke goriva, če preseže 1348 K ali če več kot 30 minut presega 923 K. Metodo smo uporabili za verjetnostne varnostne analize konkretne elektrarne. Ob identificiranju velikega nabora morebitnih človeških napak in ob identificiranju še večjega števila vplivnih parametrov nas je zanimalo, kateri so najpomembnejši. Zato smo modele razvili in povezali na način, ki je omogočil analize občutljivosti kazalcev tveganja in analize parametrov zanesljivosti na podlagi odvisnosti od parametrov, ki vplivajo na določitev verjetnosti napak človeka [6]. S proučevanjem modelov in rezultatov smo ugotovili, da k tveganju elektrarne največ prispeva le majhen del človeških napak in tudi majhno število vplivnih parametrov [6]. 2 Verjetnostne varnostne analize Slika 1 kaže shemo verjetnostnih varnostnih analiz s poudarkom na vključitvi metode razvite za analizo zanesljivosti človeka. Modeli analize zanesljivosti človeka dajejo rezultate: verjetnosti napak človeka, ki so lahko vključene v analizo dreves dogodkov in v analizo dreves odpovedi [1, 2]. Na sliki 1 je poudarjeno, da analiza dreves dogodkov pomeni vrednotenje scenarijev preprečevanja nezgod. Po nezaželenem dogodku (npr. izlivna nezgoda, npr. izguba zunanjega napajanja) se samodejno sprožijo varnostni sistemi, ki preprečijo nastanek nezgode oz. blažijo njene posledice. Če se varnostni sistemi ne bi sprožili, ukrepajo operaterji po vnaprej napisanih postopkih. Drevesa dogodkov povezujejo scenarije, ki se ločijo po tem, kateri varnostni sistemi v določenem časovnem zaporedju delujejo oz. kateri ne. Na sliki 1 so poudarjena tudi drevesa odpovedi, ki so podrobni logični modeli posameznih varnostnih sistemov. Namenjena so analiziranju, katere kombinacije odpovedi komponent in človeških napak lahko povzročijo odpoved sistema, in njihovemu ovrednotenju. Vhodni podatki za analizo dreves dogodkov in za analizo dreves odpovedi so podatki o odpovedih komponent in opreme (npr. λi ... pogostost odpovedi i-te komponente, Tm ... čas delovanja i-te komponente, verjetnost odpovedi i-te komponente), podatki o njihovem preizkušanju in vzdrževanju (npr. Tii ... interval preizkušanja i-te komponente, Tti ... trajanje preizkušanja i-te komponente) in verjetnosti človeških napak (HEPi), ki jih dobimo kot rezultat analize zanesljivosti človeka. V okviru analize zanesljivosti človeka se za vsako človeško akcijo, ki je lahko potrebna v okviru obvladovanja sistemov, posebej modelira in oceni verjetnost človeške napake na podlagi več parametrov, med katerimi so [5, 6, 7]: število korakov zahtevane akcije, sama narava zahtevane akcije, kompleksnost izvajanja, količina stresa in dodatni čas, ki ga imajo operaterji za izvedbo (Ta). Ta čas je razlika med časovnim okvirjem, v katerem mora biti akcija opravljena (Tw), in med dejanskim časom potrebnim za izvedbo zahtevane akcije (Tp). Slika 2 kot primer kaže, kako določimo čas Tw na podlagi determinističnih varnostnih analiz. Za izbrani primer je Tw enak času največje zakasnitve ročnega vklopa pomožne napajalne vode, pri kateri se sredica še ne bi pregrela. Slika 2 kaže, da ko je zakasnitev pomožne napajalne črpalke 60 minut, temperatura 1348 K ni prekoračena, pri 70 minutah zakasnitve pa je, zato je Tw 60 minut. Na podlagi simulatorja, ki je replika komandne sobe jedrske elektrarne, je bilo določeno, da je čas potreben za izvedbo akcije Tp enak 10 minut, zato ima operater dodatno 50 minut za izvedbo (Ta=50 minut). Vpliv analize zanesljivosti človeka na rezultate verjetnostnih varnostnih analiz jedrske elektrarne 141 Ta=Tw-Tp Deterministične varnostne analize - parametrične študije Rezultati s simulatorja Analiza zanesljivosti operaterjev: Analiza dreves odpovedi - Logični modeli varnostnih sistemov Analiza dreves dogodkov – Scenariji preprečevanja nezgod Verjetnostne varnostne analize Tp Tw Ta HEPi Podatki o odpovedih komponent in opreme: generični, specifični (λi, Tm, pi...) Podatki o preizkušanju komponent in opreme (Tii, Tti, ...) Rezultati verjetnostnih varnostnih analiz: - merila tveganja - merila pomembnosti Slika 1: Prikaz verjetnostnih varnostnih analiz z vključitvijo metode za analizo zanesljivosti človeka Figure 1: Scheme of the probabilistic safety assessment with the integrated method for human reliability analysis 400 800 1200 1600 0 2000 4000 6000 8000 Čas (s) Time (s) T e m p e ra tu ra ( K ) T e m p e ra tu re ( K ) 40 min. 45 min. 50 min. 60 min. 70 min. 1348 K Slika 2: Temperatura gorivne srajčke v odvisnosti od časa za izbrane zakasnitve vklopa pomožne napajalne vode Figure 2: Rod cladding temperature versus time for selected delays of manual actuation of the auxiliary feedwater system 2.1 Kvantitativna merila tveganja Rezultati verjetnostnih varnostnih analiz so kvalitativni in kvantitativni. Kvalitativni rezultati pomenijo identifikacijo kombinacij dogodkov, ki povzročijo nezaželeni dogodek. Na nivoju analize varnostnega sistema je to lahko odpoved njegove posamezne varnostne funkcije ali celotnega sistema. Kombinacije dogodkov, ki lahko povzročijo odpoved sistema, so predvsem odpovedi njegovih komponent, so pa lahko tudi izpuščene ali napačne človeške akcije. Kvantitativni rezultati so merila zanesljivosti in razpoložljivosti sistemov, merila tveganja, ki dajejo ocene verjetnosti nezgod, in merila pomembnosti, ki pomenijo prispevek komponent in njihovih skupin k zanesljivosti sistemov, k njihovemu povečanju in k njihovemu zmanjšanju. Delni prispevek k tveganju je merilo, ki pove, koliko posamezen dogodek (npr. odpoved komponente ali izpuščena ali napačna človeška akcija) pripomore k nerazpoložljivosti sistema ali k tveganju objekta. Enačba (1) kaže, kako se izračuna delni prispevek dogodka n k tveganju (FCn). s nss n Q QQQ FC )0( =− = , (1) kjer je: FCn ... delni prispevek dogodka n k tveganju Qs ... nerazpoložljivost sistema Qs(Qn=0) ... nerazpoložljivost sistema pri nerazpoložljivosti komponente n postavljene na 0, oz. verjetnosti človeške napake n postavljene na 0 Enačbi (2) in (3) kažeta, kako se poenostavljeno izračuna nerazpoložljivost sistema [2]. 142 Čepin, Prošek ∑ ∑∑ << < = = + +−= kji MCSkMCSjMCSi ji MCSjMCSi Ii i MCSiS Q QQQ ∩∩ ∩ 1 (2) ∏ = = = Bb b bMCSi QQ 1 (3) kjer je: QMCSi ... nerazpoložljivost zaradi ene kombinacije dogodkov (tj. odpovedi komponent), ki povzročijo nezaželeni dogodek oz. odpoved sistema Qb ... nerazpoložljivost komponente b Ker kombinacije odpovedi, ki lahko povzročijo odpoved sistema, med seboj niso neodvisne, delni prispevek ne pomeni hkrati enako kot relativni prispevek komponent ali njihovih skupin k nerazpoložljivosti sistema. Po vključitvi analize zanesljivosti človeka v verjetnostne varnostne analize je mogoče za posamezno človeško akcijo ali za skupino akcij določiti, kako pripomore k tveganju elektrarne, in prispevek primerjati s pomembnimi komponentami in skupinami komponent. 3 Model Metoda je preizkušena na konkretnem primeru verjetnostnih varnostnih analiz konkretne jedrske elektrarne, in sicer dvozančne elektrarne z enim tlačnovodnim reaktorjem in z več kot 20 leti uspešnega in varnega obratovanja. Značilnosti modela verjetnostnih varnostnih analiz kažejo, da gre za podrobni in natančni model varnosti elektrarne. Model vsebuje: - več kot 500 dreves odpovedi varnostnih sistemov in varnostnih funkcij elektrarne, - več kot 100 dreves dogodkov, ki povezujejo odzive elektrarne na 16 osnovnih začetnih dogodkov, - več kot 150 funkcijskih dogodkov, ki povezujejo varnostne sisteme v drevesih dogodkov, - več kot 2000 scenarijev odzivov elektrarne na začetne dogodke, - več kot 2500 osnovnih dogodkov, ki predstavljajo konkretne odpovedi konkretnih komponent oz. opreme, pri čemer je vključenih več kot 100 osnovnih dogodkov povezanih z napakami človeka, - več kot 200 skupin dogodkov s skupnim vzrokom, kjer so modelirane odvisnosti med podobnimi odpovedmi in - več kot 2500 logičnih vrat, ki medsebojno logično povezujejo odpovedi komponent v modelih njihovih sistemov. 4 Rezultati Rezultati kažejo, da je prispevek vseh človeških napak k tveganju primerljiv s prispevkom k tveganju za oba dizelska generatorja (slika 3 in razlaga kratic v tabeli 1). Rezultati kažejo, da je prispevek tiste skupine človeških napak, ki bi lahko povzročile nezaželen začetni dogodek in delovanje varnostnih sistemov, ki preprečijo, da se začetni dogodek razvije v nezgodno stanje, zelo majhen in tako rekoč zanemarljiv (slika 3). Rezultati kažejo, da le nekaj človeških napak opazno prispeva k tveganju. Večina človeških napak k tveganju prispeva zanemarljivo malo ali pa sploh ne (slika 4 in razlaga kratic v tabeli 2). Slika 4 kaže 10 najpomembnejših človeških napak izmed 78, ki so identificirane v rezultatih od več kot 100, ki so upoštevane v modelih. Človeške akcije navedene v tabeli 2 so identificirane kot najpomembnejše in jih je treba uvrstiti v program vadbe na simulatorju. Z vadbo v simulatorju se za najpomembnejše identificirane probleme lahko bistveno izboljša odzivnost človeka. Zato je identifikacija najpomembnejših človeških napak pomemben pripomoček pri izboljševanju varnosti. 0 0,1 0,2 0,3 0,4 0,5 0,6 ALL-HE DG AFW-PMP MOVS AOVS HE-INI HE-PRE izbrane skupine dogodkov se lected groups of events d e ln i p ri s p e v e k k t v e g a n ju fr a c ti o n a l c o n tr ib u ti o n Slika 3: Delni prispevek k tveganju za izbrane skupine dogodkov Figure 3: Fractional contribution for selected groups of events Za določitev nabora vseh najpomembnejših človeških akcij je treba poleg celotnih rezultatov preveriti še rezultate po posameznih začetnih dogodkih, ki jih je za izbrani model elektrarne 16. Primer enega od teh: izguba zunanjega napajanja, ki največ prispeva k oceni tveganja, je prikazan na slikah 5 in 6. Slika 5 prikazuje delni prispevek k tveganju za izbrane skupine dogodkov za vse scenarije po začetnem dogodku izguba zunanjega napajanja. Vpliv analize zanesljivosti človeka na rezultate verjetnostnih varnostnih analiz jedrske elektrarne 143 Slika 6 pa prikazuje prispevke po posameznih scenarijih. Slika 6 kaže, da se lahko prispevki posameznih skupin dogodkov (kar velja tudi za posamezne dogodke) precej razlikujejo po posameznih scenarijih. To je tudi logično, saj so v različnih scenarijih predvideni različni varnostni sistemi in različne komponente ter druge človeške akcije. Tabela 1: Razlaga kratic s slike 3 Table 1: Explanation of abbreviations from figure 3 ALL-HE Skupina vseh dogodkov, ki predstavljajo človeške napake Group of all human failure events DG Skupina dogodkov povezanih z odpovedjo dizelskih generatorjev Group of all events connected with diesel generator failures AFW-PMP Skupina dogodkov povezanih z odpovedjo črpalk sistema pomožne napajalne vode Group of all events connected with auxiliary feedwater pump failures MOVS Skupina dogodkov povezanih z odpovedjo motornih ventilov Group of all events connected with motor- operated valves failures AOVS Skupina dogodkov povezanih z odpovedjo zračnih ventilov Group of all events connected with air- operated valves HE-INI Skupina dogodkov, ki predstavljajo človeške napake, ki povzročijo začetni dogodek Group of initiator human failure events HE-PRE Skupina dogodkov, ki predstavljajo človeške napake pred začetnim dogodkom Group of pre-initiator human failure events 0 0,02 0,04 0,06 0,08 0,1 0,12 0,14 HFE- 01 HFE- 02 HFE- 03 HFE- 04 HFE- 05 HFE- 06 HFE- 07 HFE- 08 HFE- 09 HFE- 10 izbrani dogodki, ki predstavljajo človeške napake selected hum an failure events d e ln i p ri s p e ve k k t v eg a n ju fr ac ti o n a l c o n tr ib u ti o n Slika 4: Delni prispevek k tveganju za 10 človeških napak Figure 4: Fractional contribution of ten human failure events Tabela 2: Razlaga kratic s slike 4 Table 2: Explanation of abbreviations from figure 4 HFE-01 Operater ne vzpostavi dotoka tesnilne vode za črpalko reaktorskega hladila Operator fails to initiate reactor coolant pump seal injection HFE-02 Operater ne vzpostavi hlajenja reaktorskega hladilnega sistema Operator fails to initiate cooldown of the reactor coolant system HFE-03 Operater ne vzpostavi dotoka v reaktorski hladilni system Operator fails to activate the reactor coolant system inventory restoring HFE-04 Operater ne preklopi napajanja (linija A) Operator fails to transfer feeds (train A) HFE-05 Operater ne preklopi napajanja (linija B) Operator fails to transfer feeds (train B) HFE-06 Operater ne zažene črpalke B sistema oskrbovalne vode Operator fails to start the service water pump B HFE-07 Operater ne sproži signala za varnostno vbrizgavanje Operator fails to initiate safety injection signal HFE-08 Operater ne vzpostavi visokotlačne recirkulacije Operator fails to establish high-pressure recirculation HFE-09 Operater ne ustavi varnostnega vbrizgavanja, da prepreči prekomerno polnjenje tlačnika Operator fails to stop safety injection to avoid pressurizer overfill HFE-10 Operater ne vzpostavi postopka praznjenja in polnjenja (izpuščanja pare in dovajanja hladne vode) Operator fails to establish bleed & feed LSP-ALL 0 0,1 0,2 0,3 0,4 0,5 0,6 0,7 0,8 0,9 DG AFW-PMP ALL-HE HE-PRE HE-INI AOVS MOVS izbrane sk upine dogodkov s elected groups of eve nts d e ln i p ri s p e v e k k t v e g a n ju fr a c ti o n a l c o n tr ib u ti o n Slika 5: Delni prispevek k tveganju za začetni dogodek izguba zunanjega napajanja (vsi scenariji skupaj) Figure 5: Fractional contribution of the loss of offsite power initiating event (all scenarios together) Rezultati kažejo, da ima kljub veliki avtomatizaciji človek še vedno pomembno vlogo pri vodenju sistemov. 144 Čepin, Prošek Njegov prispevek pri ocenjevanju varnosti jedrskih elektrarn se kaže predvsem v tem, da lahko operater opazi in uredi razmere po morebitnih odpovedih varnostnih sistemov, kar se kaže tudi v rezultatih verjetnostnih varnostnih analiz. 0 0,1 0,2 0,3 0,4 0,5 0,6 0,7 0,8 0,9 AFW-PMP AOVS DG HE-INI HE-PRE ALL-HE MOVS izbrane skupine dogodkov se lected groups of events d e ln i p ri s p e v e k k t v e g a n ju fr a c ti o n a l c o n tr ib u ti o n LSP-003 LSP-005 LSP-006 Slika 6: Delni prispevek k tveganju za začetni dogodek izguba zunanjega napajanja (po posameznih scenarijih) Figure 6: Fractional contribution to the loss of offsite power initiating event (separately by scenarios) Nadaljnje delo je usmerjeno v primerjavo človeškega dejavnika obstoječih in bodočih jedrskih elektrarn, na primer tistih s pasivnimi varnostnimi sistemi. Popolna primerjava še ni mogoča, ker slednje še niso zgrajene in obstajajo le modeli verjetnostnih varnostnih analiz za zasnove projekta. Vendar je že jasno, da se bo prispevek človeka k tveganju bistveno zmanjšal. 5 Sklep Kljub veliki stopnji avtomatizacije je človeški dejavnik pri vodenju kompleksnih sistemov še vedno eden najpomembnejših pri njihovem varnem obratovanju. Zato ocenjevanje in zmanjševanje prispevka človeka k tveganju pripomore k izboljšanju varnosti. Razvili smo metodo za analizo zanesljivosti človeka, ki smo jo uspešno uporabili v okviru verjetnostnih varnostnih analiz. Ocenili smo prispevke posameznih človeških napak, njihove skupine in jih primerjali z drugimi dejavniki tveganja. Identificirali smo najpomembnejše človeške akcije, ki jih je treba vaditi v popolnem simulatorju jedrske elektrarne. S tem so zmanjšane verjetnosti človeških napak in posledično je prispevek človeka v verjetnostnih varnostnih analizah še manjši. To pripomore k izboljšanju varnosti jedrskih elektrarn. 6 Literatura [1] ASME RA-S-2002, Standard for Probabilistic Risk Assessment for Nuclear Power Plant Applications, 2002. [2] M. Čepin, B. Mavko, A Dynamic Fault Tree, Reliability Engineering and System Safety, 2002, vol. 75, str. 83-91. [3] M. Čepin, B. Mavko, Optimizacija intervalov nadzornega preizkušanja v jedrski elektrarni na osnovi verjetnostih varnostnih analiz, Elektrotehniški vestnik, Ljubljana, 1996, vol. 63 (3), str. 179-185. [4] NUREG/CR-1278, Handbook for Human Reliability Analysis with Emphasis on Nuclear Power Plants Application, US NRC, 1983. [5] M. Čepin, DEPEND-HRA - A method for consideration of dependency in human reliability analysis, Reliability Engineering and System Safety, 2008, vol. 93 (10), str. 1452-1460. [6] M. Čepin, Importance of Human Contribution within the Human Reliability Analysis (IJS-HRA). Journal of Loss Prevention in the Process Industries, 2008, vol. 21 (3), str. 268-276. [7] A. Prošek, M. Čepin, Success criteria time windows of operator actions using RELAP5/MOD3.3 within human reliability analysis, Journal of Loss Prevention in the Process Industries, 2008, vol. 21 (3), str. 260-267. [8] A. Prošek I. Parzer, B. Krajnc, Simulation of hypothetical small-break loss-of-coolant accident in modernized nuclear power plant, Elektrotehniški vestnik, Ljubljana, 2004, vol. 71 (4), str. 199-204. [9] A. Prošek, B. Mavko, An estimation of operator action success criteria time windows with best estimate code, TopSafe 2008, International Topical Meeting on Safety of Nuclear Installations, Dubrovnik, Croatia, 30. 09. - 3. 10. 2008. Conference proceedings. Brussels: European Nuclear Society, 2008, str. 123.1-123.9. Marko Čepin je diplomiral leta 1992 na Fakulteti za elektrotehniko in računalništvo ter magistriral leta 1995 in doktoriral leta 1999 na Fakulteti za matematiko in fiziko Univerze v Ljubljani. Do leta 2009 je bil zaposlen na Institutu "Jožef Stefan", Odsek za reaktorsko tehniko. Leta 2002 je bil izvoljen za docenta na Fakulteti za elektrotehniko, kjer je zaposlen od leta 2009 naprej. Njegovo glavno področje raziskav so elektroenergetski sistemi. Andrej Prošek je diplomiral leta 1987 na Fakulteti za elektrotehniko in računalništvo ter magistriral leta 1992 in doktoriral leta 1999 na Fakulteti za matematiko in fiziko Univerze v Ljubljani. Zaposlen je na Institutu "Jožef Stefan", Odsek za reaktorsko tehniko. Leta 2008 je bil izvoljen za višjega znanstvenega sodelavca na Institutu "Jožef Stefan". Njegovi glavni področji raziskav sta termohidravlične varnostne analize jedrskih naprav ter razvijanje metod za oceno negotovosti in natančnosti izračunov.