Проблеми збору та обробки даних по відмовах загального вигляду

ПРОБЛЕМИ ЗБОРУ ТА ОБРОБКИ ДАНИХ

Щодо відмови ЗАГАЛЬНОГО ВИДУ

Токмачев Г.В. (ВАТ «Атоменергопроект»)

Результати виконаних імовірнісних аналізів безпеки (ВАБ) показують, що внесок відмов загального вигляду (відмов із загальної причини) в частоту пошкодження активної зони може бути досить великим і іноді домінуючим, аж до 90% [1, 2].

Проте, історично основні зусилля дослідників в країні і за кордоном були спрямовані на збір та обробку даних з незалежних відмов. Про це красномовно свідчить перелік публікацій МАГАТЕ, є дзеркалом світової науково-технічної думки: п'ять документів присвячені даними з незалежних відмов [3-8] і тільки один - відмов загального вигляду [9], хоча виконане МАГАТЕ узагальнення досвіду експлуатації доводить існування таких подій [ 10]. Як у відомому анекдоті: шукаємо не там, де втратили, а де краще освітлене.

Основне джерело невизначеностей при моделюванні в ВАБ відмов загального вигляду пов'язаний з вихідними даними. Ці невизначеності викликані рідкістю таких подій, труднощами їх класифікації, недосконалістю системи збору інформації, а також тим, що відмови загального вигляду є проявом всієї сукупності властивостей конкретної АЕС. Тому вони знаходяться в сильній залежності від особливостей проекту, умов виготовлення, монтажу та експлуатації обладнання. Отже, збір і обробка достовірної та представницької експлуатаційної інформації по вітчизняним АЕС дозволили б з меншою невизначеністю оцінити значення параметрів моделі, які адекватно відображають специфіку конкретних об'єктів. Відсутність таких даних відзначається російським наглядовим органом в експертних висновках до звітів по ВАБ як зауважень, на які слід реагувати. Аналогічна рекомендація міститься в недавно випущеному стандарті МАГАТЕ [11], який наказує, щоб ймовірності відмов загального вигляду, наскільки це можливо, були засновані на специфічних даних для конкретної АЕС з урахуванням даних з досвіду експлуатації однотипних АЕС.

Визначення поняття «відмова загального вигляду»

Існують відмінності в трактуванні терміна «відмова з загальної причини» у вітчизняних та зарубіжних документах.

Основний вітчизняний документ з безпеки ОПБ-88/97 [12] визначає відмови з загальної причини як відмови систем (елементів), що виникають внаслідок одного відмови або помилки персоналу, або в результаті зовнішнього чи внутрішнього впливу (наприклад впливу, що виникає при вихідному подію аварій, включаючи ударні хвилі, струменя, що летять предмети, зміна параметрів середовища, пожежа або землетрус), або інший внутрішньої причини, причому «залежний відмова» трактується як окремий випадок відмови з загальної причини.

У світовій практиці ВАБ встановилася прямо протилежна система понять: всі види залежностей визначаються поняттям «dependent failure» ( «залежний відмова»), окремим випадком якого є «common cause failure» ( «відмова з загальної причини»). Це створює проблеми в багатомовних проектах, зокрема, при виконанні ВАБ для іноземного замовника.

У стандарті МАГАТЕ [11], узагальнюючому світовий досвід, відзначаються такі чотири джерела залежних відмов:

функціональні взаємозв'язки, які включають залежності від експлуатаційного стану станції (наприклад невиконання функції зниження тиску призводить до неможливості вприскування при низькому тиску) і від загальних елементів, систем управління, що забезпечують систем (енергопостачання, охолодження, вентиляції, контролю та управління і т.п.) або загальних вимог по ізоляції;

фізичні залежності (часто звані просторовими залежностями) внаслідок ініціювання події, яке може викликати відмову обладнання систем безпеки; прикладами таких залежностей є биття трубопроводів, впливу предметів, що летять і реактивних струменів, а також впливу навколишнього середовища;

Залежно, які пов'язані з діями персоналу, що можуть викликати як ініціює подія, так і неготовність однієї або більше одиниць обладнання;

залежності між елементами (обладнанням) через помилки, зроблених при проектуванні, виготовленні, монтажі або експлуатації АЕС, - тільки вони віднесені в [11] до відмов із загальної причини.

Виходить, що [12] відносить до відмов із загальної причини всі чотири джерела, а стандарт МАГАТЕ - тільки останній з них. Для усунення існуючої колізії в Коментарі до [13], які не є нормативним документом, введено термін «відмова загального вигляду» як окремий випадок відмови з загальної причини, який потім використаний в РБ-024-11 [14]. Визначення терміна «відмова загального вигляду», дане в [14], за змістом відповідає іноземному терміну «common cause failure» і тому використовується як в цій статті, так і у вітчизняних ВАБ.

Визначення поняття «відмова загального вигляду» в іноземних джерелах досить аморфні, що видно і з наведеної вище класифікації залежностей, запозиченої з стандарту [11], в якій помилки персоналу можуть бути причиною останніх двох типів залежностей. Загальноприйнятими ознаками відмов загального вигляду є [15-19]:

наявність двох або більше трапилися / потенційних відмов елементів;

однаковий механізм відмови;

одночасність події (близькі за часом моменти виникнення відмов резервних елементів).

Крім того, цей механізм відмови не повинен бути розглянутий в інших завданнях ВАБ, зокрема, при аналізі функціональних залежностей (прикладом є відмова дизель-генератора, який призводить до незапуску насоса при знеструмленні), аналізі надійності персоналу, ВАБ для внутрішніх (наприклад пожеж) і зовнішніх (наприклад землетрусів) впливів. На недавно сталася аварії на АЕС «Фукусіма-Даїчі» в Японії відмова всіх дизель-генераторів через цунамі є типовим прикладом наслідки зовнішнього впливу, який не підпадає під визначення відмови загального вигляду. Іншим прикладом такого множинного відмови може бути помилкове спрацьовування швидкодіючих редукційних установок через перемерзання імпульсних трубок.

Як зазначається в огляді [18], переважна більшість подій відмов загального вигляду пов'язано не з множинними відмовами при надходженні вимоги на спрацьовування, а з деградацією обладнання. Такі множинні несправності часто виявляються при інспекціях, коли виявлення одного дефекту викликає необхідність інспекції резервного елемента, в якому можна знайти аналогічний дефект. Якщо при відборі подій для оцінки інтенсивностей (ймовірностей) незалежних відмов дефекти обладнання, як правило, не враховуються, то при аналізі даних по відмовах загального вигляду вони забезпечують значний консерватизм отриманих значень параметрів моделей.

Механізм відмови загального вигляду зазвичай описується двома складовими: прихованим одиничним систематичним дефектом або причинно пов'язаними дефектами (коренева причина), що виникли при виготовленні, монтажі, технічному обслуговуванні і на інших стадіях життєвого циклу в декількох одиницях однотипного обладнання, і специфічним подією або умовою, які дають цих дефектів проявитися (фактор впливу) [16, 17, 18].

Одночасність подій відмов загального вигляду обмежується часовим проміжком, яке можна порівняти з часом виконання функції безпеки при аварії [18, 20], часом відновлення обладнання [19] або інтервалом між послідовними перевірками [16].

Проблеми використання узагальненої інформації

У ряді країн ведеться національний збір даних по відмовах загального вигляду. Зокрема, німецька база даних налічує понад 300 записів [21], а в США за період 1991 - 2007 рр. була накопичена інформація про 645 події, класифікованих як відмови загального вигляду [22]. Слід зазначити, що оцінки параметрів моделей відмов загального вигляду, виконані по експлуатаційної статистикою США, є єдиним відкритим доступним джерелом, внаслідок чого ці дані зазвичай використовуються у вітчизняних ВАБ. Ще однією характеристикою відмов загального вигляду на АЕС США є стійка тенденція зниження щорічного числа таких подій, яке за 20 років зменшилася майже на порядок, що пояснюється впровадженими заходами [23].

У міжнародній базі даних ОЕСР (OECD) [24], роботи по якій ведуться з 1994 р, акумулюється інформація по відцентровим насосів, запобіжної арматури, запірно-регулюючої арматури з електроприводом, зворотних клапанів, акумуляторним батареям, силовим вимикачів, теплообмінників, елементів системи аварійного захисту реактора (апаратура вимірювання рівня, приводи регулюючих стрижнів і т.п.). Річний бюджет проекту становить 120 тис. Євро. Доступ до інформації міжнародної бази даних мають тільки учасники проекту, якими є 11 країн, представлених, в основному, національними регулюючими органами.

Невизначеності оцінок параметрів моделей відмов загального вигляду пов'язані з рідкістю таких подій, труднощами їх класифікації, недосконалістю системи збору інформації, а також з тим, що відмови з загальної причини є проявом всієї сукупності властивостей конкретної АЕС. Отже, отримані значення знаходяться в сильній залежності від конкретних особливостей проекту, умов виготовлення, монтажу та експлуатації обладнання та застосування даних зарубіжних АЕС вносить значний вклад в невизначеність результатів, одержуваних при проведенні ВАБ. Крім того, з ростом розуміння механізмів відмов загального вигляду і завдяки розширюється обліку їх в специфічних розділах ВАБ для внутрішніх і зовнішніх впливів відносна частка подій, які моделюються як залишкові відмови, має тенденцію до зменшення [15].

Відсутність цілеспрямованого збору і обробки інформації з відмов загального вигляду породжує прагнення використовувати у вітчизняній практиці безпосередньо зарубіжні оцінки параметрів або їх перерахунок, що може привести до помилкових результатів по ряду причин [25]:

через відмінності в схемних, конструктивних і компонувальних рішеннях вітчизняних і зарубіжних АЕС;

через обліку відмов, викликаних загальними елементами (загальними забезпечують або керуючими системами) для декількох розглянутих одиниць обладнання, в зарубіжних оцінках параметрів моделей;

через невідомий підходу до класифікації залежних подій, в тому числі до обробки некласифікованих залежностей;

через невідому кратності резервування систем, за якими отримані оцінки (для деяких моделей);

через відмінності в стратегіях перевірки працездатності резервуються елементів;

через проблеми, що існують у зарубіжних дослідників з повнотою інформації з незалежних відмов і точному обсягом спостережень;

через відмінності в експлуатаційних процедурах і умовах експлуатації на різних АЕС;

через нечіткість визначення меж розглянутого обладнання;

через невизначеність в обліку способу кореляції між відмовами загального вигляду і ініційоване подією.

Приклади коригування даних по відмовах загального вигляду в «кращу» бік, що призводить до спотворення результатів, описані в [26]. В рамках різних досліджень були виключені зі статистичних оцінок 16 з 19 відмов загального вигляду насосів відведення залишкових тепловиділень, більше половини таких подій, зареєстрованих на аварійних поживних насосах, 26 з 80 подій - на насосах технічної води і т.д. Таким чином, зменшувалася як ймовірність відмов загального вигляду, так і їх відносна частка, оскільки число розглянутих незалежних відмов залишалося незмінним. Обгрунтуванням таких «поліпшень» була неможливість повторення подій на аналізованої АЕС або в досліджуваному режимі її експлуатації, і саме це важко заперечити. Однак такий підхід залишає «за кадром» загальні причини, які не існують на АЕС, що є джерелом вихідних даних, але можуть проявитися на досліджуваній АЕС, що призводить до недооцінки ймовірностей відмов загального вигляду. Тому в світовій практиці склався негласний консенсус, грубо порушує постулати класичної теорії ймовірностей, в відповідно до якого облік трапилися в минулому і неможливих в майбутньому подій компенсує міру нашого незнання про ще не проявилися загальні причини.

Проблеми збору інформації на вітчизняних АЕС

Основні вимоги до системи збору і обробки даних - забезпечення максимальної достовірності інформації. В першу чергу, має бути мінімізовано кількість нерегістріруемих системою подій. Ця проблема пов'язана з двома причинами: наявністю проміжних ланок в передачі інформації і орієнтацією існуючих інформаційних систем на завдання, не пов'язані з ВАБ. Таким чином, для підвищення достовірності інформації, що збирається по відмовах загального вигляду потрібно скоротити до мінімуму число проміжних ланок і встановити забезпечення завдань ВАБ пріоритетною метою збору і обробки даних. Це досягається шляхом ретроспективного збору даних безпосередньо по первинній експлуатаційної документації АЕС (оперативним журналам, журналам випробувань, дефектів, станів обладнання, актам випробувань і звітам розслідування порушень). У даній роботі використана така інформація, що збиралася як в минулому столітті [27, 28], так і останнім часом на Запорізькій, Балаковської, Калінінської, Нововоронезької і Кольської АЕС. Відмови загального вигляду зареєстровані у дизель-генераторів, арматури з електроприводом, насосів і запобіжних клапанів.

Іншим важливим аспектом є реконструкції систем безпеки, проведені на даній АЕС за період спостереження. Значні конструктивні зміни можуть зробити малопридатними дані, зібрані в дореконструкціонний період. В першу чергу, це відноситься до множинних відмов клапанів БРУ-А на закриття і зависань стрижнів системи управління і захисту ядерного реактора. Після реалізації коригувальних заходів практично зникли множинні відмови цього обладнання, раніше регулярно траплялися.

З іншого боку, прийнято враховувати відмови загального вигляду, викликані проектними помилками. Зазвичай першопричина подібних подій однозначно виявляється, усувається і ніколи не повторюється. Однак облік таких одноразових множинних відмов є свого роду страховкою від неврахування ще не виявлених проектних помилок. Прикладами таких проектних помилок є: