机组换料大修期间核安全管理规程

针对当前存在的换料大修机组的核安全管理的有关认识上的热点问题,结合作者的从业经验,分析与讨论了换料大修机组的运行方式和特点、核安全管理特点和方法,并就核安全管理中存在的一些薄弱环节进行探索和思考。

核电站;核安全;换料大修;管理

Abstract:Thisarticlewithauthor抯practicale*periencesanalyzesanddiscussessomehotissuescurrentlye*istedintheunderstandingaboutthenuclearsafetymanagementofthenuclearpowerunitinoutage,includingtheoperationmodesandthecharacteristicsoftheunit,somegoodpracticesaswellasweakpointstobeimprovedinthecurrentnuclearsafetymanagement.

Keywords:Nuclearpowerstation;Nuclearsafety;Outage;Management

核电站必须定期地更换部分燃料组件以便维持后续的发电运行,与采用不停堆换料模式的重水堆核电站不同的是,堆型为压水堆的大亚湾核电站和岭澳核电站,其换料操作只能在反应堆关闭,压力容器顶盖打开后才可实施。机组从功率运行状态后撤到换料停堆状态,卸料然后装料,再重新启动恢复到功率运行状态所需的时间较长,在此期间机组的大多数系统和设备相继停运,为设备维护和检修创造了有利的条件,特别是那些在正常运行期间为了保证机组核安全要求而不能进行的预防性检查和纠正性维修工作,可以安排在这一时间内。

核安全法规对此也有相应的规定:核电厂在换料停堆期间除按计划进行换料外,还应对核电厂安全重要构筑物、系统、部件进行有计划的在役检查、定期试验、维修等活动。

尽管换料大修期间反应堆已经关闭,但是堆芯仍然存在大量的衰变热,如果不能持续有效地将余热导出,第1道屏障即燃料元件包壳仍然有烧毁的风险。同时在机组换料大修期间的许多时候,由于装卸料和设备检修的需要,一回路的完整性已经被破坏,如果发生燃料元件破损事故,放射性核素将很快充斥整个反应堆厂房和/或燃料厂房,此时一旦处理不当或者发生其它设备失效,例如某个安全壳隔离阀功能丧失,放射性物质将进入核辅助厂房并通过连续通风的烟囱向环境扩散。概率安全评价的结果显示,机组换料大修期间的核风险与机组功率运行期间的核风险相当,在某些特殊情况下,换料大修期间的核风险甚至更高。

1换料大修机组的核安全管理特点

1.1机组换料大修期间的运行特点

(1)维持机组正常运行的大多数系统和设备需要停运检修,某些系统的安全功能被扩展或者发生转变。

反应堆停闭后,维持机组正常运行所需要的大多数系统也随之停运,正常运行期间为了保证核安全三要素(反应性控制、堆芯冷却、放射性物质屏蔽)而必须始终处于可用和备用状态,无法进行预防性检查和小缺陷处理的系统和设备也将逐渐或者交替停运。

(2)经济性的要求促使大修工期尽可能短。

尽可能缩短大修工期,一方面可以减少成本投入,另一方面又可以提供尽可能长的运行发电时间。但是大修工期的缩短只能建立在保证安全、保证质量的前提下。

(3)必须的机组状态转换及在某些状态转换的过渡过程中,部分核安全功能被弱化,不得不通过其它的严格规定进行补偿。

从反应堆安全停闭,机组状态下行到换料停堆,完成换料后重新启动并再次临界的整个过程中,机组状态将转换13次,先后经过8个标准状态。这些必须的机组状态转换及在某些状态转换的过渡过程中,部分核安全功能被明显弱化。对于这样一个必不可少的、核安全功能存在一定缺陷的机组状态和状态转换,通常通过2种手段对其进行核安全方面的补偿:首先是严格的设备可用性的要求;其次是严格限制在此状态停留的时间,也就是限制高风险存在的时间以减小风险增量。

(4)核燃料的移动导致燃料元件损坏事故的发生概率大增。

大亚湾和岭澳核电站已多次发生装卸料时燃料组件的格架、管座和部分燃料元件表面因相互磨擦出现划痕,大亚湾核电站2号机组甚至由于PMC系统的设计缺陷在连续2次换料大修期间导致正常装卸料操作中断,幸运的是没有真正发生燃料元件破损事故。

(5)集中的以及很大的工作量和较正常运行复杂得多的部门接口可能导致核风险失去控制。

为了保持机组在整个燃料循环周期内连续运行,机组运行期间产生的对于核安全与可用率影响不大的缺陷全部集中在大修期间处理,大修期间还需要安排大量的预防性维修、定期试验、由预防性维修和定期试验产生的纠正性维修、在役检查、工程改造,还有系统隔离、设备检修后的品质再鉴定和功能再鉴定,很短的大修期间集中了大量的工作,工作项目至少在1000项以上,岭澳的L201大修的工作项目甚至超过4000项,远远多于1台机组1个燃料循环的正常维修工作量。

换料大修的工作覆盖面非常广泛,电厂几乎所有部门和承包商都将介入其中,并且在实际工作中各个专业协同作业、各个工种的作业往复交叉。因此导致大修期间的部门接口比机组正常运行期间要复杂得多。

任何核安全相关的工作都可能对机组核安全水平产生影响,复杂的接口关系存在其中会导致某项工作对于核安全的影响程度的增大,这个问题有的时候很难评估,同时为了大修整个过程的顺利进行和工期的控制,纯粹的保守决策是不可行的,适度的核安全管理的“度”的概念的把握成为大修成功与否的关键。

(6)尽管通过强化计划管理来约束和引导大修进程,仍然会遇到一些突发性事件,少数事件甚至可能全盘打乱大修计划的实施。

上述问题要求大修机组必须建立起一套高效的、强大的大修计划管理体系,以便有效地组织和协调众多部门和专业的工作人员按照大修的总体目标和进度要求来完成数量巨大的工作,通过强化计划管理来约束和引导大修进程。明确责任、接口、进度,合理安排资源已经成为大修机组的组织管理的鲜明特征。大修总体计划在机组换料大修开始之前就已经生成,而大修期间的3天滚动计划应该是对大修总体计划的截取和微调,3天滚动计划与大修总体计划相比不应该有太大的改变,否则将会影响到设备状态恢复、核安全评估、人力资源调配等诸多问题。

实际上,大修期间通常会遇到一些突发性事件,

少数事件甚至可能全盘打乱大修总体计划的实施。L201大修启动阶段发现主变B相总烃偏高,并有少量乙炔产生,机组被迫长时间停留在正常冷停堆状态以便进行原因分析并制定决策。D210大修装料阶段由于PMC的设计缺陷导致燃料组件弯曲,事件处理持续1月有余,影响更大。

1.2机组换料大修期间的核安全管理特点

由于核燃料及其裂变产物、腐蚀产物,以及与之相接触的设备、流体中具有对人体有害,却又看不见摸不着的放射性,为了保护电厂工作人员,环境和社会公众的安全,核电站自始至终都将核安全管理放在首位。

大修机组的反应堆尽管已经关闭,但是保证反应性控制、堆芯冷却和放射性物质屏蔽所必须的系统和设备仍然需要继续运行,同时由于一回路的完整性在某些运行工况下被破坏,以及机组状态的频繁转换,大修机组的核安全管理比正常运行机组复杂得多,要求也更高。

大亚湾和岭澳核电站在换料大修过程中始终坚持贯彻“以安全为基础、以质量为中心、以计划为龙头”的大修指导方针和管理思想,良好的核安全管理是大修成功的基本保障。国家核安全局和电厂对核安全实行严格的管理,通过保证机组的系统和设备的状态和运行操作、设备检修等人的行为满足核安全法规和电厂运行技术规范的要求,确保电厂的核安全状态处于可接受的水平。

作为大修管理重要组成部分的核安全管理,最基本的任务是在换料大修纷繁复杂的工作状态下确保核安全三大功能得到满足。此时面对的安全问题与机组正常运行不同,机组正常运行期间需要甄别不可用的设备并评价其对核安全的影响,而大修期间则需要确保每一个标准状态下最小配置的可用设备的状态,同时需要考虑还有哪些设备可用,以及检修后系统和设备的可用性。

另一个显著的特点是必须妥善处理安全、质量、工期之间的关系,必须清楚地认识到这三者都是为同一个目标,即核电厂的经济性服务的。从总体计划的制定到每一项具体的工作,安全和质量都应该放在首位,“安全第一、质量第一”的原则应该贯穿于所有的决策过程,在这一前提下,理顺复杂的接口关系,优化大修进程,大修工期自然会得到缩短。

有效的核安全监督可以促进良好的核安全管理,但是安全和质量是做出来,而不是监督出来的。核安全管理依赖于大修组织及每一位参与其中的工作人员,只有每一位成员的行为都满足安全文化的要求,即始终将核安全放在首位,才能实现良好的核安全管理。

前面曾经提到过大修机组的一个特点:可能遇到一些突发性的核安全事件,有些事件甚至可能导致比较严重的后果,例如可能严重影响大修关键路径,甚至可能导致机组状态后撤,这些事件的妥善处理对于大修的顺利进行至关重要。核电厂的经济性要求当大修机组出现此类事件后,必须在尽可能短的时间内做出符合核安全要求(至少是最低要求)的决策。决策的制定需要综合考虑各个方面的因素,尽量避免疏漏,调动可以调动的厂内、厂外的所有技术力量,通过大修指挥部(技术规范范畴内的事件)或者电厂核安全委员会(超出技术规范范畴的事件)完成决策的制定。

2广东核电机组大修中若干核安全管理的理论问题

2.1准确理解、把握技术规范的要求

2.1.1严格遵守技术规范

运行技术规范,特别是冷停堆状态下的技术规范要求,实际上是核安全要求最小系统的集合,这些最小系统的确定来源于特定机组状态下某些事故分析的结果,用于保证在类似事故发生之后有足够的手段进行事故处理和缓解。因此最小系统是否得到满足直接决定了该状态下核安全三大功能的实现,根据大修总体计划、最小系统要求和设备检修窗口制定的安全相关设备可用性要求表直观地反映出核安全需求。核安全状态的检查是安全技术顾问的职责,也是当班运行值的责任,特别是安全技术顾问离线后,8h以外的机组状态控制只能由当班运行值执行,此时人员冗余已经不存在。

作为第2道屏障的一回路完整性破坏之后,保证第3道屏障的完整性至关重要,第3道屏障的屏蔽方式可以分为动态屏蔽和静态屏蔽。需要注意的是,由于检修活动的需要,某些特定的安全壳贯穿件的贯通是必须的,例如开启设备舱门以便运输装卸料工具,保持人员气闸门的开启以便在事故发生时保证反应堆厂房内工作人员的快速撤离。此时由于反应堆厂房局部的静态屏蔽丧失,就必须通过强制设置的动态屏蔽对其进行补偿。

随着电厂工作人员运行经验的积累,对核电厂运作模式的了解,和国际核工业界的持续发展,仔细审视目前岭澳核电站仍在使用的,法国十几年前生成的技术规范,不难发现其中存在的缺陷。目前技术规范中某些条款的规定过于保守,而另一些条款的规定又过于宽松,所有这些陈旧的技术和观念应用于现在的核安全管理中,有的时候会限制电厂的运行和设备维护的灵活性,有的时候似乎又导致在核安全管理的某个局部出现弱项。由于存在这些问题,同时现有运行技术规范又没有能够及时更新,使得现有运行技术规范中的部分条款成为可讨论、可被变相执行的技术要求,实际执行过程中,对于这些所谓的“灰色地带”问题的理解和实施也是因人而异。这里需要指出的是,认为运行技术规范的某个条款有问题的原因是个人理解方面的失误或者条款本身确实有问题。如果不能保证个人理解方面的绝对正确,也就不能肯定条款本身是否有问题,此时严格遵守运行技术规范的要求是最佳选择,也是唯一的选择。

2.1.2适度进行核安全管理

核安全管理不是越严越好,如同做任何一件事一样,都必须有一个“度”的概念,适度安全是核工业可持续发展的推动力,过分强调安全的结果则是国际社会某些国家逐渐关闭核电站,不再发展核工业的局面,这实际上是人类文明的倒退。如何准确理解并把握“度”的概念是每一位核安全管理从业者的责任和义务。

掌握核安全管理适度性的前提是充分了解电厂的运作模式,准确理解运行技术规范的每项要求的含义和背景,紧跟国际核工业界的发展并吸收、消化其最先进的成果,以及对安全文化的深刻地、正确地把握。

2.2正确把握大修计划与变化的辩证关系

2.2.1大修计划的形成与可能的陷阱

大修主线计划生成以前,需要制定专项检修计划,通过专项检修计划可以确定各个检修窗口,便于维修专业合理安排其人力资源。同时在机组换料大修开始后,对于检修活动的约束主要也是通过计划来实现的。对于专项检修计划的制定与核安全审查相对比较简单,对于列入主线计划的检修活动的安排则应该给予足够的关注,尽管主线计划来自于大修参考计划,而参考计划是历次大修的经验积累和优化,但是并不能说明大修参考计划一定是正确的,有的时候一个隐藏很深的错误可能需要经过几次大修才会被“偶然地”挖掘出来。

2.2.2大修计划发生变化的原因和基本处理原则

计划赶不上变化,似乎已经成为每一个曾经参与大修活动的人员的共识,无论计划制定得多么灵活,多么具有前瞻性,计划始终是纸质文件,与机组千变万化的实际状态之间的偏差是客观存在的,问题在于如何准确掌握偏差,然后通过计划的修正尽量将机组状态置于计划控制范围内。

如果需要准确掌握计划与变化之间的偏差,首先必须了解偏差产生的原因。

(1)人为变更预定计划导致偏差。

大修开始前生成并经过反复讨论的总体计划并不是一成不变的,大修期间由于某些设备方面的突发性故障可能导致检修计划出现调整,这种调整可能影响到原定计划中某些工作的执行。

(2)发生突发性事件导致偏差。

每一次的换料大修期间都会发生或轻或重的突发事件,这里所说的突发事件是指那些对机组核安全水平有直接或者潜在影响的事件。换料大修的特点是具有很高的核安全要求和紧迫的时间限制,增大了事件决策的复杂性,对于突发性事件处理的要求必须快速、准确,特别是那些可能影响到大修关键路径延误和导致机组状态后撤的事件,处理正确与否甚至影响到整个大修活动的成败。

突发事件的处理原则就是确保电厂核安全水平满足原始设计要求,处理方法是通过对核安全三大功能的分析找出突发事件的影响范围和影响程度,采取积极的手段进行补救,同时制定一系列的处理措施(可能有多个途径),然后对其进行最优化,最后通过现场解决突发事件并消除影响。整个过程中的核安全管理的关键点是必须综合考虑所有的因素并采取足够的保守决策以确保实施于现场的任何举措都满足电厂最基本的核安全要求,必须确保在突发事件影响范围内执行的所有活动都处于可控的状态。

由于突发事件决策的复杂性和重要性,在电厂的实际运作过程中逐渐形成了纵深防御体系的分层次决策机制,实际执行的结果也显示这是一个科学的、高效的决策机制,决策过程中既充分考虑了核安全方面的影响,也尽可能保证了电厂经济性的要求。

一个突发性事件出现后,首先由大修指挥部召集电厂相关专业经验丰富的从业人员进行分析、讨论,如果有可能则制定行动方案,如果发现事态重大,则按照30分钟汇报制度向各自的上级领导汇报,此时大修安全工程师将提出召开紧急电厂核安全委员会的要求。对于大修指挥部做出的决策,尽管是大修指挥部的成员之一,大修安全工程师仍然有责任对决策进行独立的安全评价,一旦发现决策与核安全控制的要求,即运行技术规范的要求之间存在偏差,或者可能存在偏差,大修安全工程师都必须要求暂缓执行该项决策,同时上报主管领导并提出召开紧急电厂核安全委员会的要求。

(3)由于各部门、专业之间的沟通、协调等方面的问题导致工期被无谓延误。

这个问题是大亚湾和岭澳核电站的历次换料大修都曾经遇到的问题。客观地分析,这方面的工作越做越好。但是这个问题始终没有能够从根本上解决,由于沟通和协调方面的不足导致现场出现窝工,多个专业的人员等待某一专业完工的情况仍然时有发生。此时的机组状态停滞不前,大修计划中体现出的后续工作窗口的工作已被提交出来,做还是不做的问题需要认真分析。

(4)某项工作的工时预计不准确,实际工作中仅使用很短的时间即完成工作,或者拖延较长时间。

大亚湾核电站和岭澳核电站经过20余次换料大修后,基本上完全经历了机组大修的所有活动。对于某项特定的工作,每次换料大修期间的实际执行时间都不完全一样,制定计划时通常选取最短执行时间再增加一些裕量。实际现场执行过程中,提前完成或者拖延一段时间完成工作的情况一般来说比较普遍,除了一些不正常的现象,例如返工以外,通常不会导致机组状态产生较长时间延误。此类问题通过准确、细致的前期准备可以得到最大限度的缓解,这也是大修准备阶段基础性工作需要不断强化的原因之一。

根据以上罗列的偏差产生原因可见,偏差的处理方法因事而异、因时而异,偏差出现之后执行计划的基本处理原则是:(1)计划的逻辑性通常是不受影响的;(2)逐项分析即将进行的工作。遇到问题时不妨先停下来,调用所有可用的资源,正确理解文件体系的要求,准确地做出折衷的选择和方案,在统一的指挥下采取协调一致的步骤,将计划体系和机组状态逐渐地靠拢,尽可能减小偏差。

2.3经验反馈的有效性

公司质量管理程序手册中对经验反馈目的的描述是:“保证电站内所有的缺陷在经验反馈组织系统内,按照不同的事件和异常管理级别、方式加以确认、报告、评价后果、分析原因、改正和反馈;保证世界同行业所发生的事件能够得到收集、筛选、评价、分析以及采取纠正行动和反馈。维持和提高电站的安全水平和可用率水平。”

对于核安全管理而言,经验反馈实际上给管理者提供了一个明确的参照系。作为一种管理手段,经验反馈及其有效性始终受到国际核工业界的重视,并通过信息、资源共享提升国际核工业界的整体核安全管理水平,大亚湾核电站与岭澳核电站也不例外,经验反馈工作始终受到各级领导的重视。对于生产、维修活动集中的机组换料大修期间,容易产生各种安全质量事件,此时经验反馈的重要性更加明显,有效的经验反馈可以减少许多事件的发生,特别是人因事件的重复发生。

从大亚湾核电站的D204大修到岭澳核电站的L102大修,统计数据表明在运行事件和内部事件中,人因事件占有比例超过60%,而大亚湾2号机组D210大修,人因事件在所有事件中所占比例甚至高达81%。此外,历次大修都有重发事件。同时从数据统计中不难得出以下结论:人因事件比例居高不下,而不按程序办事、工作准备不充分和技能不足是主要原因,这些原因也恰恰是电厂反复强调,要求提高改善的环节。

每次大修都反复强调防跑水、防异物,其中防跑水的工作越做越好,这也得益于历史上几次严重的跑水事件导致的严重后果促使电厂管理层自上而下的高度关注,并因此促进了运行处经验反馈的有效性。但是同样受到关注的防异物,尽管也有相应的举措,甚至早就有了相关的规程,但是始终防不胜防。大修期间的设备开口点多,工作人员多,工作量大这些特点从客观上对防异物管理形成了很不利的条件,在这方面通过经验反馈体系对工作人员的培训、考核也似乎作用不大。几次大修接二连三地从设备中发现上次大修的残留物,有些残留物对设备健康状况已经造成一定的影响,只是非常幸运的是没有因为异物导致功率运行期间的停机停堆等瞬态发生。

几次大修中误碰设备的事件发生次数越来越多,而且后果都相当严重,例如误碰疏水阀导致设备冷却水系统水箱水位下降,误碰现场的隔离按钮导致安全壳隔离阀关闭。此类事件发生之后通常的做法是对被误碰的设备隔离上锁或者尝试加装隔离装置,如保护罩。但是从经验反馈的角度分析,这些治标不治本的方法对于电厂的全面管理没有太大意义。

提高经验反馈的有效性是电厂长期存在,而且必须正视的课题,主动性的接受遇到阻力的时候,可能更需要被动性的强制执行的奖惩制度。