Ситуаций (Стадия II)

(Хенли Э.Дж, Кумамото Х., 1984)

На второй стадии для изучения риска используют такие методики, как:

– составление и анализ дерева событий;

– составление и анализ дерева отказов;

– анализ видов отказов и вызываемых ими последствий;

– анализ критичности.

Остановим наше внимание на составлении и анализе дерева событий.

Построение дерева событий начинается с задачи определения последовательности развития аварии. В качестве примера Э.Дж. Хенли и Х. Кумамото приводят реактор WASH 1400. На стадии I показано, что превалирующий риск связан с радиоактивными (токсичными) утечками. Стадия II, как показано на рис. 2.4 начинается с рассмотрения первой задачи – определения развития аварии (т.е. с изучения различных путей, приводящих к возникновению утечек).

Рис. 2.4. Семь главных задач, решаемых при анализе безопасности реактора

На стадии I было выявлено, что критической частью реактора, т.е. подсистемой с которой начинается авария, является система охлаждения реактора. Таким образом, анализ риска начинается с последовательности возможных событий с момента разрушения трубопровода холодильной установки, называемого инициирующим событием.

Дерево событий строится обычно слева направо и начинается с инициирующего события, рис. 2.5.

Итак, авария начинается с разрушения трубопровода, имеющего вероятность Р_А. Далее анализируют возможные варианты, которые могут последовать за разрушением трубопровода. На рис. 2.5 отображено дерево исходных событий, на котором отображены все возможные альтернативы. На первой ветви рассматривают состояние электрического питания. Если питание есть, подвергают анализу аварийные системы охлаждения активной зоны. Отказ системы охлаждения активной зоны реактора приводит к расплавлению топлива и различным, в зависимости от целостности конструкции, утечкам радиоактивных продуктов.

Рис. 2.5. Дерево событий при аварии с потерей теплоносителя на реакторе

(Хенли Э.Дж., Кумамото Х., 1984)

Для анализа с использованием двоичной системы, в которой элементы либо выполняют свои функции, либо отказывают, число потенциальных отказов равно 2^N-1, где N – число рассматриваемых элементов. На практике, как показано ниже, исходное дерево отказов можно упростить с помощью обычной инженерной логики и свести к более простому дереву, изображенному на рис. 2.6.

Рис. 2.6. Упрощённое дерево событий при аварии с потерей теплоносителя на реакторе

(Хенли Э.Дж., Кумамото Х., 1984)

В первую очередь представляет интерес вопрос о наличии электрического питания. Вопрос заключается в том, какова вероятность P_B отказа электропитания и какое действие этот отказ оказывает на другие системы защиты. Если нет электрического питания, фактически никакие действия, предусмотренные на случай аварии с использованием насосов для охлаждения активной зоны реактора и распылители, не могут производиться. В результате, упрощённое дерево событий не содержит выбора в случае отсутствия электрического питания, и может произойти очень большая утечка, вероятность которой равна P_A·P_B. В случае, если отказ в подаче электрической энергии зависит от поломки трубопровода системы охлаждения реактора, вероятность Р_B следует подсчитывать как условную вероятность для учёта этой зависимости. Очень важно уяснить, что дерево событий используется для определения последовательности событий при аварии, включающей сложные взаимодействия между техническими системами обеспечения безопасности. При его построении используется прямая логика, при этом задается вопрос: «Что случится, если разорвется трубопровод?» Вероятность Р_B определяется с использованием обратной логики (с помощью дерева отказов): т. е. задается вопрос «Каким образом может отказать электропитание?» При этом строится дерево отказов для подсистемы электропитания. Прямая логика, например та, что использовалась для построения дерева событий, а также для определения видов отказов при анализе последствий (ВОАП), часто называется индуктивной логикой; в то же время логика, используемая при анализе с помощью дерева отказов, называется дедуктивной. При выполнении ПАО используется как индуктивная, так и дедуктивная логика.

Если электрическое питание имеется, следующие варианты при анализе зависят от состояния аварийной системы охлаждения активной зоны. Она может работать или не работать, и её отказ с вероятностью P_C1 ведет к последовательности событий, изображённой на рис. 2.5. Следует обратить внимание на то, что по-прежнему имеются различные варианты развития аварии. Если система удаления радиоактивных материалов работоспособна, радиоактивные утечки меньше, чем в случае её отказа. Конечно, отказ в общем случае ведёт к последовательности событий с меньшей вероятностью, чем в случае работоспособности. Рассмотрев все варианты дерева отказов, можно получить весь спектр величин возможных утечек и соответствующие вероятности для различных последовательностей развития аварии. Верхняя линия дерева является основным вариантом АПТ, который подвергается анализу в процессе официальной инспекции и приёмки каждого реактора. При данной последовательности предполагается, что трубопровод разрушается, а все системы обеспечения безопасности сохраняют работоспособность.

Дерево решений является особой разновидностью дерева событий. В дереве событий рабочие состояния системы не рассматриваются, так что сумма вероятностей всех событий не равна единице. В дереве решений все возможные состояния системы необходимо выразить через состояния элементов. Таким образом, все состояния системы взаимно увязаны, и их вероятность в сумме должна равняться единице. Деревья решений могут использоваться, если отказы всех элементов независимы или если имеются элементы с несколькими возможными состояниями, а также есть односторонние зависимости. Они не могут использоваться при наличии двусторонних зависимостей и не обеспечивают проведения логического анализа при выборе начальных событий.

Пример 1. На рис. 2.7 показана система последовательно соединённых элементов, которая включает насос и клапан, имеющие соответственно вероятности безотказной работы 0,98 и 0,95, а также приведено дерево решений для этой системы. Следует отметить, что согласно принятому правилу верхняя ветвь соответствует желательному варианту работы системы, а нижняя – нежелательному. Дерево решений читается слева направо.

Если насос не работает, система отказывает независимо от состояния клапана. Если насос работает, с помощью второй узловой точки изучается вопрос, работает ли клапан.

Рис. 2.7. Принципиальная схема (а) и дерево решений (б) для двухэлементной схемы (Хенли Э.Дж., Кумамото Х., 1984)

Вероятность безотказной работы системы 0,98·0,95 = 0,931. Вероятность отказа 0,98·0,05 + 0,02 = 0,069, суммарная вероятность двух состояний системы равна единице.