伍 浩

（國家核電技術有限公司，北京 100029）

羅賓遜核電廠2號機組是美國東南部第一臺投入商業(yè)運行的核電機組，為三環(huán)路壓水堆核蒸汽供應系統(tǒng)［1］。2010年3月28日，該核電廠發(fā)生了一起由火災導致的反應堆緊急停堆和主泵喪失軸封冷卻的運行事件［2］。事件首先由電纜故障引起，致使一根非安全級母線起火和反應堆保護系統(tǒng)自動觸發(fā)產(chǎn)生緊急停堆動作，隨后由于操縱員的不當響應又引發(fā)了一系列的問題。在本次事件中，沒有發(fā)生實際的放射性物質釋放，根據(jù)INES分級手冊（2008版），將本事件定為2級［3］。

1 事件描述

事件發(fā)生前，機組處于99.5%功率運行狀態(tài)。此時，主發(fā)電機作為廠用電的主要來源，經(jīng)機組輔助變壓器（UAT）為母線1和母線4供電；母線4又通過斷路器52/24向母線5供電，母線3由啟動變壓器（SUT）供電。廠內電力系統(tǒng)的供電原理圖如圖1所示。

1.1 第一次火災及反應堆停堆

圖1 羅賓遜核電廠廠內電力系統(tǒng)電路示意圖Fig.1 Circuit diagram of the on-site power supply system of HBRSEP

2010 年3月28日18：52（美國東部標準時間EST），母線4向母線5供電的一根電纜發(fā)生故障，導致母線5起火，同時造成母線4的電壓降低，其帶載的主泵轉速降低導致冷卻劑環(huán)路B的流量降低，最終觸發(fā)緊急停堆動作。此時，本應分閘將故障電纜隔離的斷路器52/24卻失效，導致故障向次級母線以及UAT蔓延，造成母線3及其下游的母線E-2電壓降低。這種欠壓現(xiàn)象使母線E-2與母線3解列，應急柴油發(fā)電機EDG-B自動投入，向母線E-2供電，同時也導致MCC-4斷電。隨著供電快速切換到SUT，幾秒鐘后斷路器52/19由于過流跳閘，故障被切除。第一次故障事件僅持續(xù)了約12 s。電廠消防隊對火災實施了撲救，并于20：34向主控報告“供電母線房間警報解除”，但主控操縱員卻沒有復位該房間的火災報警裝置。

1.2 反應堆過度冷卻和安注觸發(fā)

MCC-4供電的中斷，致使汽水分離再熱器（MSR）疏水箱應急疏水閥以及MSR調節(jié)閥意外開啟，主蒸汽旁路進入主冷凝器，導致反應堆冷卻劑系統(tǒng)（RCS）的冷卻速率超過技術規(guī)格書要求。對此操縱員沒有發(fā)現(xiàn)，因此也就沒有采取措施。

18：53，操縱員根據(jù)應急操作規(guī)程開啟了兩個上充泵B/C，但沒有對穩(wěn)壓器水位和RCS溫度進行適當監(jiān)測。18：58，主控顯示穩(wěn)壓器水位已經(jīng)降到最低限值，容控箱（VCT）內的液位已經(jīng)降到轉至換料水箱（RWST）取水的臨界點，卻沒有觸發(fā)自動切換。19：00，RCS因快速冷卻導致壓力低，進而觸發(fā)安注，13 min后安注停止。19：25，主蒸汽隔離閥保護信號關閉，蒸汽發(fā)生器被隔離，RCS過度冷卻停止，如圖2所示。

圖2 反應堆冷卻劑系統(tǒng)溫度Fig.2 RCS temperature

1.3 主泵喪失軸封冷卻

正常情況下，主泵軸封冷卻是由VCT內的冷卻水提供，并將熱量帶給設備冷卻水（CCW）導出。事件過程中，VCT內部因上充泵沒有自動切換到RWST取水而形成低水位，直到VCT低水位報警，當值人員才發(fā)現(xiàn)此情況。本來在上充水失去的情況下， CCW流經(jīng)主泵熱屏熱交換器可作為主泵軸封冷卻的替代手段，但由于母線E-2瞬時失電時，已導致CCW回流閥FCV-626意外關閉，造成主泵不能從上充系統(tǒng)獲得足夠的軸封冷卻，與此同時CCW又與所有的主泵熱屏熱交換器隔離。從19：24開始，主泵RCP-B、RCP-A和RCP-C軸承先后高溫報警。19：31，操縱員才意識到這個問題并重新開啟了閥門FCV-626，恢復了CCW對主泵熱屏熱交換器的冷卻。雖然操縱員恢復了CCW的循環(huán)，但仍未發(fā)現(xiàn)上充泵沒有切換至RWST取水，所以也不知道即使恢復了CCW循環(huán)，主泵依然沒有足夠的軸封水注入。19：37，軸封流量全部喪失，9 min后操縱員才發(fā)現(xiàn)問題。19：51，主控手動將上充泵切換至RWST取水。此時，因VCT內的水位低，導致RCP喪失軸封冷卻已經(jīng)約25 min（如圖3～6所示）。

圖3 RCP-A的軸承溫度Fig.3 RCP-A bearing water temperature

圖4 RCP-B的軸承溫度Fig.4 RCP-B bearing water temperature

圖5 RCP-C的軸承溫度Fig.5 RCP-C bearing water temperature

圖6 上沖壓頭和RCS壓力的變化Fig.6 Direction of charging header pressure and RCS pressure

圖7 VCT水位的變化Fig.7 Water level changing of VCT

1.4 第二次火災

初始故障發(fā)生4 h后，主泵軸封冷卻已經(jīng)恢復，RCS不受控的冷卻和安注已經(jīng)停止。操縱員在不了解電力系統(tǒng)故障程度的情況下，嘗試將電廠恢復到正常系統(tǒng)供電。這導致用于將故障設備與帶電系統(tǒng)隔離的斷路器52/19合閘，致使故障電纜連同已損壞的UAT再次被通電，不但造成斷路器52/24故障，而且產(chǎn)生的高能故障電弧還損壞了周圍的設備，并引起第二次火災。隨后，斷路器52/19由于過流分閘后隔離了故障，終止了第二個故障事件［4-6］。

2 原因分析

本次事故是由多重故障相互疊加導致的，下面對這些故障產(chǎn)生的原因進行逐項分析。

2.1 電纜故障

本次事件的始發(fā)事件是電纜故障。分析表明，電纜可能在1986年設計修改期間就已經(jīng)存在問題。該故障電纜無絕緣涂層、無外護套，沒有防火災蔓延的特性，達不到絕緣等級和絕緣屏蔽的要求，這些都不滿足電纜安裝設計變更單中的技術規(guī)范要求。調查還顯示，電纜上存在多處絕緣破損，推斷可能是設計變更包中沒有包含電纜敷設拉線張力限制或預防措施造成的。

2.2 斷路器52/24故障

斷路器52/24的失效歸因于控制電源指示燈的一個長期未糾正的問題。2008年，工作人員曾發(fā)現(xiàn)斷路器52/24位置的指示燈沒有亮。按照程序規(guī)定，針對這種關鍵部件的故障，應開具工作單，并發(fā)起不符合項報告處理流程，但電廠對此僅開具工作單反映情況。審查人員認為指示燈不亮是由于燈頭故障造成的，因此該工作單因缺少備件的原因而置于延期辦理狀態(tài)。此后，運行人員又多次發(fā)現(xiàn)指示燈的這個故障，但每次提出的工作要求都因工作單延期而取消；工程技術人員在進行系統(tǒng)巡檢時，也曾多次發(fā)現(xiàn)指示燈狀態(tài)的降級，并對此問題開啟了工作要求，但也未能按照程序要求對具有高安全重要性的關鍵部件進行適當?shù)脑u估。電廠調查顯示，斷路器52/24的開啟失效是由控制電源保險絲的缺陷造成的，該缺陷導致斷路器沒有控制電源。進一步的調查顯示，點亮斷路器52/24控制電源指示燈的線路中使用了相同的保險絲，保險絲的缺陷使指示燈不能被通電。因此，先前記錄的斷路器52/24指示燈不亮，實際上是因為沒有控制電源造成的，而不是因為燈頭故障。

2.3 上充泵自動切換的失效

調查顯示，上充泵在VCT低水位時沒有自動切換到RWST取水，是由于VCT的液位計控制模塊LC-112B配置不當造成的，該模塊于2008年完成安裝和試驗。調查發(fā)現(xiàn)，當時的工作單中對液位計模塊的配置說明有誤，將本應跨接到“2-3”的W109跨接到了“1-2”。另外，由于沒有對整個控制回路進行檢驗，因而未發(fā)現(xiàn)這個錯誤。

2.4 閥門FCV-626的意外關閉

經(jīng)調查，流量開關FIC-626的實際控制電源是由儀表母線4提供的，而電廠的《儀表母線》程序中卻錯誤地將供電電源描述成是由儀表母線1來提供。實際上，儀表母線4和FCV-626的控制電源都是由MCC-6來供電。這導致當母線E-2轉至EDG進行供電時，閥門FCV-626和繼電器FIC-626X都喪失供電約10 s。這段時間里，F(xiàn)IC-626X重置為斷電狀態(tài)，觸發(fā)閥門FCV-626關閉回路。當母線E-2重新供電后，閥門FCV-626立即開始關閉，在閥門完全關閉前狀態(tài)鎖定。閥門FCV-626在正常運行時處于常開狀態(tài)，關閉后沒有自動開啟功能。

通過對閥門FCV-626控制回路的相關歷史數(shù)據(jù)的調查發(fā)現(xiàn)，電廠至少有兩次機會發(fā)現(xiàn)閥門喪失供電后的這種特性。但是，電廠沒有識別出，或者沒有對閥門的這種意外行為進行追溯。

2.5 操縱員的不當響應

通過調查發(fā)現(xiàn)，電廠的規(guī)程和操縱員培訓大綱存在嚴重缺陷。

電廠的反應堆操縱員和主控室監(jiān)控人員回顧，當時的冷卻速率滿足模擬機訓練中對反應堆停堆后主泵跳閘情況下的培訓要求。對培訓課程進行審查后發(fā)現(xiàn)，在大多數(shù)培訓場景中，一旦主泵的運行參數(shù)降級，操縱員就迅速降低反應堆功率，功率降低后，場景中的機組狀況將促使操縱員手動停堆并停止主泵。在培訓中，低功率導致了安注啟動。然而，此次事件的不同之處是滿功率工況下發(fā)生主泵降級，滿功率下的機組狀況實際上降低了安注的可能性。檢查發(fā)現(xiàn)，操縱員培訓中沒有討論或模擬過電廠在高功率水平下對類似失效的響應。模擬機培訓中的場景導致操縱員錯誤地認為在事件發(fā)生期間投入安注是應該的、合適的，而實際上在反應堆從滿功率狀態(tài)緊急停堆到熱態(tài)期間是不建議進行安注的。

另外，因為電廠人員不知道FCV-626會因為瞬時失電而關閉，所以模擬機模擬該閥門在喪失母線E-2供電的情形時應處于開啟狀態(tài)，操縱員錯誤地訓練了這種響應。這方面的缺陷特別值得注意，因為在發(fā)生含有缺陷的培訓場景中的事件時，沒有一個操縱員發(fā)現(xiàn)主泵軸封喪失冷卻。經(jīng)審查發(fā)現(xiàn)，還有多個模擬機培訓場景存在缺陷［7，8］。

3 經(jīng)驗反饋

與其他行業(yè)相比，核行業(yè)有鮮明的特點，即技術的復雜性，后果的嚴重性，影響的深遠性以及高度的社會敏感性［9］。做好事件的原因分析，尤其是根本原因分析，制定合理的糾正措施，進行經(jīng)驗反饋將有利于防止事件重發(fā)，提高電廠及行業(yè)的核安全水平。

導致本次事件發(fā)生的直接原因雖然是設備故障，但是通過深入分析發(fā)現(xiàn)，事件反映出電廠更深層的人因缺陷和管理缺陷，值得引起關注。

3.1 根本原因分析

根本原因即基本原因，如被糾正，將防止事件的重發(fā)。根本原因分析依照研究對象的不同，可以分為多種類型。在工程領域，系統(tǒng)失效、設備失效以及人因失效為常見的根本原因。通常，單個根本原因不會造成人因事件，根本原因常常是兩個以上的原因因素的結合體，這些原因因素疊加在一起，事件便發(fā)生了。

同時，值得關注的是設備失效事件除了工程技術問題之外，往往還與人因（如人的不正確活動等）有關。比如本次事件中的電纜故障是設備本身不滿足使用要求，這是設備失效的直接原因，但電纜的設計要求和采購技術要求等方面存在人因失誤的情況。而斷路器的故障是典型的管理缺陷，沒有按照正確的不符合項處理程序執(zhí)行，因而埋下了隱患［10，11］。

為了更具有借鑒意義，本文不再贅述設備本身故障的原因。此次事件中，操縱員多次失誤，包括因未對RCS溫度、穩(wěn)壓器水位等重要參數(shù)進行有效監(jiān)測而導致冷卻劑過冷狀態(tài)的出現(xiàn)，在第一次火災被撲滅之后，主控操縱員沒有及時復位火災報警裝置，違反了規(guī)程要求。同時液位計模塊的配置跨接錯誤，閥門FCV-626的控制電源連接錯誤等此類人因失誤，均是事件發(fā)生的促成因素。

羅賓遜核電廠的此次事件是一系列事件的組合，綜合考慮幾個事件，共性分析其根本原因，共同點就是沒有按照規(guī)程執(zhí)行相關工作，是人因失誤也是組織管理原因。工作人員缺乏質疑的工作態(tài)度，操縱人員錯誤的培訓，人員技能的缺乏等方面的人因失誤是重要的促成因素。結合以上兩點，提出如下建議。

3.2 建議

建議1：針對不符合項的處理，在物項管理中，應當充分認識到，當物項的質量不能確定時，其性質與物項質量不可接受是一樣的。避免誤用這類物項而產(chǎn)生不安全的后果甚至是不可接受的后果［12］。同時，電廠應統(tǒng)籌安排各項工作計劃，合理配置有限資源，以有效提升管理水平，避免事故的發(fā)生，保障核安全。

建議2：隨著技術的發(fā)展，核電廠系統(tǒng)中自動化程度，軟硬件的可靠程度越來越高。但根據(jù)現(xiàn)有核電廠的運行經(jīng)驗來看，20%～90%的系統(tǒng)失效與人因有關，其中直接或間接觸發(fā)事件甚至引發(fā)事故的比率為70%～90%［13］。引起人因失誤的因素有技術、環(huán)境、生理、心理、知識、技能、經(jīng)驗等多方面。一般針對人因失誤有以下措施。

提高電廠固有安全，提高人機接口的性能，提高操縱員的能力，同時也要加強監(jiān)管，分析人因失誤的規(guī)律，總結經(jīng)驗，改善和完善規(guī)程。營造良好的企業(yè)文化和安全文化氛圍，培養(yǎng)人員良好的工作習慣也是防止人因失誤的重要途徑。

目前我國的核電廠都建立了經(jīng)驗反饋體系，或采取事件報告形式或采取狀態(tài)報告等形式，對核電廠日常發(fā)生的，大大小小的事件進行收集分析并開展經(jīng)驗反饋工作。在此筆者重點建議，核行業(yè)或電廠應該開展人因失誤規(guī)律的總結和分析，找出薄弱點，針對性地采取預付措施。

建議3：電廠應對模擬機培訓場景的設定進行定期審查，及時糾正不正確的條件設定，并對場景管理實施持續(xù)監(jiān)測、評估，對潛在的性能缺陷進行評價。同時電廠應加強多重故障疊加場景的培訓，提高操縱員應對多重故障同時發(fā)生的事件的能力。

建議4：本次事件中NRC先后發(fā)布了兩份信息通告，要求執(zhí)照持有者關注回路斷路器控制盤指示燈和儀表控制模塊的配置問題［14，15］。

因此，結合我國核安全監(jiān)管的情況，建議監(jiān)管當局開展和加強經(jīng)驗反饋工作，關注國內外發(fā)生的有借鑒意義的事件及糾正措施，效仿NRC信息通告的方法，要求核電廠對類似問題進行自查，及時采取相應的行動，并進行過程監(jiān)管，避免類似事件重發(fā)。

當然，國家核安全局開展經(jīng)驗反饋工作存在有利的方面但也存在一定的困難。有利的方面是核安全監(jiān)管當局的特殊地位和權威性，能促使核電廠更加重視經(jīng)驗反饋工作并能夠在監(jiān)管方提出要求后切實落實相關的糾正措施。而不利的方面則主要在于信息收集。業(yè)主向國家核安全局報告的事件只是滿足核安全法規(guī)報告準則的事件，數(shù)量非常有限。雖然這些事件都比較重要，做好根本原因分析并開展經(jīng)驗反饋工作等均有重要意義，但對日常小事件或者未遂事件的分析，提出整改措施預防大事件的發(fā)生更是經(jīng)驗反饋工作的重要功能和目的。受電廠業(yè)主與國家核安全局之間的“監(jiān)管與被監(jiān)管”的特殊關系影響，業(yè)主通常不愿意將所有事件毫無保留地向國家核安全局公開，這也是世界核電運營者協(xié)會（WANO）沒有政府監(jiān)管部門參與的一個原因。

因此國家核安全局如何權衡這兩個方面的關系顯得異常重要。同時還要考慮組織機構和人員精力的問題，國家核安全局需要設定良好的機制，對經(jīng)驗反饋工作做好頂層設計，與業(yè)主形成良性互動，作為業(yè)主經(jīng)驗反饋工作的外圍推手，提高機組安全水平，也通過經(jīng)驗反饋工作提高核安全水平。

［1］NRC.Robinson Nuclear Plant- License Renewal Application［R］.Washington D.C.：NRC， 2002.

［2］IAEA.Fires Affecting Safety Related Equipment：Preliminary Notification II-10-002A (H.B.ROBINSON-2)［R］. Vienna：IAEA， 2010.

［3］IAEA.The International Nuclear and Radiological Event Scale-User’s Manual［S］.Vienna： IAEA， 2008.

［4］IAEA.Complicated Reactor Trip and Loss of Reactor Coolant Pump Seal Cooling Due to Fire IRS-8077［R］.Vienna： IAEA， 2012.

［5］NRC. H.B.Robinson Steam Electric Plant – NRC Integrated Inspection Report 05000261/2010004 and 05000261/2010501 ［R］.Washington D.C.：NRC， 2010.

［6］Hyslop J S. H.B.Robinson Fire Event［R］.Washington D.C.：NRC， 2010.

［7］NRC. H.B.Robinson Steam Electric Plant – Augmented Inspection Team Report 05000261/2010009［R］.Washington D.C.： NRC， 2010.

［8］NRC. Robinson Nuclear Plant March 28， 2010 Event Review［R］.Washington D.C.： NRC， 2010.

［9］李干杰.堅持科學發(fā)展 確保核與輻射安全［J］.核安全，2012(4)： 4-9.

［10］沈榮發(fā).核電廠運行的人因失效分析和預防［D］.上海：上海交通大學機械與動力工程學院，2010.

［11］高立剛.設備失效根本原因分析技術和方法及其在廣東核電的應用［J］.核科學與工程， 2004（2）：105-111.

［12］王瑞平.核電廠不符合項管理中若干問題的商榷［J］.核安全，2008（2）：19-25.

［13］劉朋波.核電廠人因失誤分析與人因失誤動態(tài)作用模型［J］.核安全，2010（3）： 51-58.

［14］NRC. Importance of Understanding Circuit Breaker Control Panel Indications ［R］.Washington D.C.： NRC， 2010.

［15］NRC. Instrumentation and Control Module Hardware，Configuration， and Procedure Issues： NRC Information Notice 2011-22 ［R］.Washington D.C.： NRC， 2010.