АНАЛІЗ ІМОВІРНОСТЕЙ КРИТИЧНИХ ПОДІЙ З ВИКОРИСТАННЯМ МОДЕЛЕЙ ТИПУ “ДЕРЕВО ПОДІЙ” ТА “ДЕРЕВО ВІДМОВ”

(ДЖЕРЕЛА ПОТЕНЦІЙНОГО ОПРОМІНЕННЯ ПЕРШОЇ ГРУПИ)

Д.1.1  Загальні положення

Д.1.1.1   Матеріал даного Додатку базується на рекомендаціях МКРЗ (Публікація 76, “Захист від Потенційного Опромінення: Застосування до Окремих Джерел”, 1996 р.).

Д.1.1.2  Для побудови логічної структури сценаріїв та оцінки ймовірності окремих критичних подій застосовуються два типи моделей:

-      моделі типу “дерево подій”;

-      моделі типу “дерево відмов”.

Д.1.1.3  Модель типу “дерево подій” використовує початкову подію як вихідну точку розвитку сценарію. Далі, через послідовно-паралельні ланцюги проміжних подій, кожному з яких відповідає деяка ймовірність його виникнення, оцінюється сукупна ймовірність виникнення кінцевої окремої критичної події.

Д.1.1.4  Модель типу “дерево відмов” характеризується тим, що спочатку розглядається деяка конкретна критична подія (це може бути й окрема критична подія). Після цього аналізуються можливі послідовно-паралельні ланцюги проміжних подій-відмов (разом з їх імовірностями), що могли спричинити критичну подію, яка розглядається.

Д.1.1.5  Критична подія може бути наслідком n незалежних у сукупності i-тих окремих критичних подій, повний перелік яких заздалегідь ідентифікований. Якщо виникнення кожної з зазначених окремих подій характеризується ймовірністю P_i, тоді ймовірність критичної події P визначається рівнянням:

Звичайно P_i <<1, тоді з прийнятною точністю:

.

(Д.1.2)

Д.1.1.6  Наближення у рівнянні (Д.1.2) пункту Д.1.1.5 дає цілком задовільні оцінки імовірності критичної події P, оскільки для всіх критичних подій, ймовірність яких вища за 1?10^-2 рік^-1, або пов'язане з ним опромінення (відповідно до
п. 1.3) переводиться в категорію поточного, або проектом передбачається додатковий комплекс заходів, які істотно зменшують імовірність критичної події, що розглядається.

Д.1.1.7  У будь-якій гілці дерева подій виділяються три найбільш важливі:

(а) початкова подія (ПП), без реалізації якої ймовірність подальшого формування самого дерева тривіально дорівнює нулю;

(б) центральна проміжна подія* (ЦПрП), досягнення якої створює пряму загрозу реалізації критичної події (або окремої критичної події);

(в) критична подія (КП) (окрема критична подія), виникнення якої негайно спонукає до реалізації потенційного опромінення.

Д.1.1.8  Між ПП та ЦПрП, а також між ЦПрП та КП розташовуються гілки проміжних подій (ПрП), для кожної з яких оцінюються ймовірності їх реалізації.

Д.1.1.9  Усі події, що розглядаються в даному контексті, поділяються на ті, які пов'язані:

-        з людським фактором (ступінь професіоналізму, досвід і тренованість персоналу; пильність і дисциплінованість працівника; схильність до ігнорування попереджувальних сигналів тощо);

-        з технічною надійністю (безвідмовністю) приладів і захисних бар’єрів, а також інформувальних (в тому числі аварійних) попереджувальних аудіовізуальних систем.

Д.1.1.10  Для формування структури типу “дерево подій” усі робочі приміщення повинні бути заздалегідь поділені на “радіаційно небезпечні” та “інші” (радіаційно-гігієнічне зонування приміщень, яке відповідає вимогам останнього абзацу п. 3.2.2).

Д.1.1.11  Джерела іонізуючих випромінювань, у свою чергу, доцільно поділити на три групи:

-        “нерадіонуклідні”* (рентгенівські діагностичні, терапевтичні та дефектоскопічні апарати, прискорювачі усіх типів);

-        “радіонуклідні”, засновані на використанні радіонуклідів – випромінювачів;

-        “змішані”, яким певною мірою властиві ознаки і тих, і інших.

Д.1.1.12  Відповідно до визначення моделі типу “дерево відмов” (п. Д.1.1.4) реконструюється та досліджується граф подій (відмов), які могли спричинити до критичної події.

        Д.1.2  Ілюстративна модель типу “дерево подій”

Д.1.2.1  Розглядається потенційне опромінення персоналу, пов'язане з джерелом першої групи, яке може виникнути при експлуатації дослідницького прискорювача**.

Д.1.2.2   Приміщення прискорювача (у відповідності з
п. Д.1.1.10) можна поділити на зони:

-        підвищеної радіаційної небезпеки, до якої належить зал прискорювача, у який виводиться струмінь частинок високої енергії;

-        низької радіаційної небезпеки, де розміщена система дистанційного управління прискорювачем (струменем), а також допоміжні та обслуговуючі прискорювач системи (вакуумні, електричні, системи діагностики тощо).

Д.1.2.3  Зал прискорювача ізольований від інших приміщень достатньо потужним біологічним захистом. Вхід до залу можливий через спеціальний прохід з захисними дверима, який обладнано системою блокувальних замків.

Д.1.2.4  Для запобігання (“зменшення ймовірності до прийнятно низького рівня”) події “вхід персоналу в зал прискорювача при працюючому (“включеному”) струмені” передбачена система аварійно-блокувальних та інформаційно-запобіжних пристроїв:

-        запобіжні знаки пасивного типу (знаки радіаційної небезпеки);

-        запобіжні знаки активного типу (які включаються у момент несанкціонованих “небезпечних” дій);

-        попереджувальні знаки постійної дії, що інформують про стан апарату (“включено”, “виключено”);

-        дверні замки (на вході до залу прискорювача) пасивного типу (які реагують на механічний чи електронний ключ) або активні (які реагують на ключ у поєднанні з електричним сигналом, що підтверджує стан апарату: “виключено”);

-        прилади, які автоматично виключають прискорювач при позаштатних діях персоналу, пов’язаних з відчиненням дверей і спробою входу до залу прискорювача;

-        система кнопок аварійного вимикання прискорювача всередині залу.

Д.1.2.5  Першим кроком у процедурі оцінки ймовірності критичної події (окремої критичної події), пов’язаної з можливим опроміненням особи, яка увійшла до залу прискорювача, є встановлення деякої кількісної характеристики початкової події. За таку характеристику, у даній конкретній ситуації приймається “кількість спроб увійти до залу прискорювача” протягом року.

Д.1.2.6   Звичайно серед багатьох спроб “увійти до залу прискорювача”, які щорічно здійснюються, значна частина є технологічно зумовленою, причому такого роду технологічний доступ персоналу завжди здійснюється при виключеному струмені*.

Д.1.2.7   Звернімося до схеми на Рис. Д.1.1, яка ілюструє “дерево подій”, пов’язаних з реалізацією потенційного опромінення на вершинах частини “гілок” цього дерева
(позиція 15).

Д.1.2.8  Усе дерево, у відповідності з прийнятими у п. Д.1.1.7 визначеннями початкової, центральної проміжної і критичної подій доцільно поділити (як це зроблено на схемі Рис. Д.1.1) на дві частини:

·          А - частина, що охоплює послідовність подій від ПП (позиція 1) до ЦПрП (позиція 10);

·          Б - завершальна частина “дерева”, що охоплює групу проміжних подій (ПрП) (позиції 11-15), послідовна реалізація яких, як правило, з різним ступенем імовірності може закінчитися опроміненням персоналу.

Д.1.2.9  Структура усього дерева подій сформована так, що загальна схема захисту персоналу від потенційного опромінення струменем прискорювача враховує поєднання загально-дисциплінуючих (“людських”) факторів і конструкційно-технологічних бар’єрів, які фізично перешкоджають проникненню персоналу до залу прискорювача при працюючому струмені.

        До групи “людських” факторів належать: дотримання правил техніки безпеки режиму (позиція 3), додержання (ігнорування) попереджувальних знаків та інформуючих сигналів (позиція 5), реакція на критичну ситуацію, зокрема, натиск кнопки аварійної зупинки (позиція 13).

        До конструкційно-технологічної групи належать: наявність струменю (позиція 2), спрацьовування попереджувальних сигналів (позиції 4 та 11), правильне функціонування дверей і дверних замків (позиції 6 та 7), у тому числі, спеціальних блокувальних пристроїв (позиція 9), наявність і збереження грат, які огороджують струмінь (позиція 8), дієздатність систем аварійної зупинки апарату (позиції 12 та 14).

Д.1.2.10  Ймовірністні оцінки, що проводяться нижче, мають суто ілюстративний характер. При аналізі реальних конструктивно-технологічних рішень, пов'язаних з функціюванням дослідних прискорювачів, повинні використовуватись характеристики надійності, які відповідають даному рішенню.

Д.1.2.11  Важливою особливістю проміжної події, яка безпосередньо слідує за початковою, є стан струменя: “вимкнутий” - “не вимкнутий”. На схемі цій ПрП відповідає позиція “2” (ПрП2). Оцінкою ймовірності того, що при спробі входу струмінь виявляється невимкнутим, тут прийнято значення 0,05 (одна така подія приблизно на 20 спроб входу). Очевидно, що входу в ситуації вимкнутого струменя
(з імовірністю 0,95) відповідають гілки, які не спричиняють критичну подію.

Д.1.2.12  Аналогічно конструюються розгалуження, які відображають реалізацію (нереалізацію) проміжних подій (ПрП3-ПрП10). На схемі Рис. Д.1.1.А показано характер розгалужень дерева подій і наведено оцінки їх імовірностей (“так” – реалізація відповідних ПрП, “ні” – нереалізація).

Д.1.2.13  Оскільки всі ПрП вважаються незалежними, а реалізація кожної наступної ПрП відбувається лише за умови реалізації попередньої події, агрегована ймовірність ЦПрП (“вхід у небезпечну зону”) є добутком імовірностей альтернативних реалізацій кожної з ПрП. Значення цих агрегованих ймовірностей реалізації ЦПрП представлені числами у прямокутниках, розташованих у вершин тих гілок (позначених кружками), що з ненульовою ймовірністю досягають ЦПрП (на схемі – позиція 16).

Д.1.2.14  Зі схеми Рис. Д.1.1.А видно, що при даній композиції ймовірностей окремих ПрП є лише одна головна гілка дерева подій (на схемі виділена подвійними лініями з потовщенням), що відповідає максимальній імовірності входу до небезпечної зони (3,5?10^-5 на рік на одну спробу входу).

Ймовірність для всіх інших “ненульових” гілок на 2,5-5 порядків нижча. Це означає, що при подальшому аналізі ці “мало-імовірні” гілки можна не враховувати. По суті, перша частина аналізу полягає в ідентифікації обмеженої кількості головних гілок, які ведуть до ЦПрП.

Д.1.2.15  Наступним кроком імовірнісного аналізу є дослідження тих окремих імовірностей ПрП, що входять у дану гілку, реалізація яких, власне, і є причиною “високого значення” агрегованої ймовірності “входу до небезпечної зони” за ланцюгом подій, що утворюють головну гілку. У даному випадку – це подія проникнення людини крізь огороджувальні грати (позиція 8), ймовірність якої – неприпустимо висока (0,2).

Д.1.2.16  З другої частини схеми (Рис. Д.1.1Б) випливає, що серед чотирьох гілок-послідовностей ПрП, які можуть реалізуватися після входу до небезпечної зони і завершитися КП, тільки дві мають достатньо високі і порівняні за величиною агреговані ймовірності реалізації цього КП. Причиною однієї з них є “ненатиск” кнопки аварійного відключення струменю, хоча ця система і функціонує (позиція 13), а в іншій гілці, яка спричиняє найбільшу ймовірність окремого КП (1,75?10^-5), найважливішим ПрП є неспрацювання системи аварійного виключення струменю (позиція 12).

Д.1.2.17  Весь попередній імовірнісний аналіз по суті стосувався формування окремих КП. Ймовірність власне КП, що оцінюється за формулою (Д.1.2) пункту Д.1.1.5, є сумою тих імовірностей, значення яких розміщені в рамках на Рис. Д.1.1Б. З урахуванням цієї обставини оцінка агрегованої ймовірності КП становитиме 2,3?10^-5 на рік на одну спробу входу до залу прискорювача.

Д.1.2.18  Значення агрегованої ймовірності КП, наведене в попередньому пункті, дозволяє перейти до аналізу відповідності даної конструкції прискорювача та його штатних засобів протирадіаційного захисту від потенційного опромінення робітників, а також технології роботи дослідницького і обслуговуючого персоналу, тим радіаційно-гігієнічним нормативам, що регламентуються даним документом.

Д.1.2.19  Якщо відповідно до проектної технології прискорювач у середньому працює m₁ днів на рік, а середня кількість щоденних відвідувань залу прискорювача становить m₂, то середньорічна кількість початкових подій (“спроба увійти”) становить M = m₁ ^. m₂. Тоді ймовірність КП збільшиться у М разів у порівнянні з тією, яка оцінена з розрахунку на одну спробу входу протягом року.

Д.1.2.20  У досить типовому випадку, коли прискорювач працює 3-4 місяці на рік (m₁=100 днів), а середня технологічна потреба входу до залу m₂ не перевищує 10 відвідувань на день, ймовірність КП для такого режиму роботи вже становить
2,3?10^-2 рік^-1 (при М = 1000).

Д.1.2.21  У випадку реалізації критичної події рівні ефективних доз опромінення робітника, який опинився у залі, можуть перевищити 100 мЗв, а поглинута доза в окремому органі (частині тіла) може бути вища за 1000 мГр.

Д.1.2.22  Згідно з вимогами п. 2.7 для означених у п. Д.1.2.21 рівнів доз референтні ймовірності критичної події не повинні перевищувати 2?10^-4 рік^-1 (за ефективною дозою) і 5?10^-7 рік^-1 (за критерієм поглинутої дози). Зіставлення цих регламентів з отриманою у п. Д.1.2.17 оцінкою агрегованої ймовірності КП, що дорівнює 2,3?10^-5 рік^-1, свідчить, що рівень захисту від потенційного опромінення персоналу абсолютно недостатній як за критерієм ефективної дози, так і (тим більше) за критерієм поглинутої дози: у першому випадку розрахункова ймовірність КП перевищує референтне значення більш ніж на два, а в другому – більш ніж на п'ять порядків.

Д.1.2.23  Заключний етап аналізу полягає в обгрунтуванні таких змін (покращень) конструкції та технології, які мають бути внесені до проекту з тим, щоб забезпечити нормативні рівні захисту персоналу від потенційного опромінення:

·          Необхідно різко посилити бар'єрні функції захисних грат з тим, щоб практично вилучити можливість проникнення крізь них (ймовірність ПрП за позицією 8 має бути зменшена з 0,2 до 2?10^-4).

·          Доцільно істотно посилити вимоги і передбачити відповідні заходи з покращання професійної підготовки і дисциплінованості персоналу з тим, щоб імовірність ПрП, пов'язана з “ігноруванням попереджувальних знаків і систем”, була знижена з 0,5 принаймні до 0,05 (позиція 5 на схемі Рис. Д.1.1А).

·          Цілком неприпустимо, щоб кожний другий робітник “ігнорував” процедуру аварійної зупинки струменю, якщо він опиниться у залі прискорювача (позиція 12). Навченість, тренованість і дисциплінованість персоналу повинна підтримуватися на такому рівні, щоб імовірність такого роду подій не перевищувала 1?10^-2.

·          Доведена до автоматизму процедура натискування кнопки аварійного виключення має забезпечувати ймовірність реалізації цієї дії до величини, близької до одиниці (а не 0,7, як у позиції 13). Можна вважати, що прийнятною ймовірністю випадків ігнорування процедури натискування аварійної кнопки буде 3?10^-3.

Д.1.2.24  У разі реалізації усіх покращень, сформульованих у попередньому пункті (схема на Рис. Д.1.2), ймовірність ЦПрП по колишній головній гілці повинна зменшитися до 3,5?10^-9 і зрівнятися з іншими двома гілками, агреговані ймовірності ЦПрП яких 5?10^-9 та 2,5?10^-9 (позиція 10, Рис. Д.1.2.А).

        З урахуванням нових значень імовірностей ЦПрП по кожній окремій гілці, повна агрегована ймовірність цієї події - 1,2?10^-8, а агрегована ймовірність критичної події зменшиться до 1,7?10^-10 на 1 спробу на рік.

Д.1.2.25  Повертаючись до оціненого у п. Д.1.2.20 значення M=1000 входів на рік, нове значення ймовірності КП становить 1,7?10^-7 на рік (на повне число спроб M), що виявляється вже прийнятним і за критерієм ефективно, і за критерієм поглинутої дози потенційного опромінення (Таблиця 2.2).

        Д.1.3  Ілюстративна модель типу “дерево відмов”

Д.1.3.1  Розглядається “дерево відмов”, пов'язане з реалізацією критичної події, яка спричинила переопромінення пацієнта при отриманні призначеної йому радіотерапевтичної дози (джерело потенційного опромінення четвертої групи).

Д.1.3.2  Основні узагальнені конструкційно-технологічні характеристики гама-терапевтичної установки (ГТУ) такі:

-        радіаційний блок є системою радіально розташованих окремих радіонуклідних (⁶⁰Со) джерел гама-квантів, які розміщені у потужному захисному контейнері вагою 8 тон;

-        гама-випромінювання від джерел (завдяки їх радіальному розташуванню, а також наявності системи взаємозамінних і керованих коліматорів) фокусується у “точці” (малій області) онкоосередка, де власне і реалізується терапевтична доза; саме завдяки такій геометрії гама-поля опромінення здорових тканин, що розташовані поза онкоосередком утримується на прийнятно низькому рівні (головне призначення такого роду ГТУ – лікування пухлин мозку);

-        пацієнта спочатку розміщують на спеціальному процедурному столі, що є конструктивною частиною ГТУ, а його голова фіксується всередині спеціального пристрою (“шолому”), до якого підведена система полеутворюючих змінних коліматорів;

-        переміщення процедурного столу здійснюється за допомогою гідравлічної системи, а фіксація положення пацієнта всередині поля гама-випромінювачів забезпечується системою мікроелектричних вимикачів;

-        до складу такого роду ГТУ входить також загальний пульт управління апаратом та комп'ютерна система планування індивідуальних дозових схем лікування.

Д.1.3.3  Конкретний приклад відмови в системі ГТУ, що спричинила більш ніж двократне переопромінення пацієнта, відповідає реальній ситуації, описаній Джонсом з співавторами, 1996 (цитується за Публікацією 76 МКРЗ, 1996 р.). Критична ситуація, зокрема, розвивалася за наступним сценарієм.

·          Наприкінці експозиції гідравлічна система, що забезпечує зворотний рух процедурного столу, не спрацювала.

·          Персонал, який ідентифікував відмову двохпозиційного клапану гідросистеми (соленоїд, керуючий клапаном, виявився заклиненим у позиції: “стіл усередині”), відповідального за включення гідропомпи, спробував спочатку дистанційно усунути блокування клапана, а після цього запустити гідропомпу вручну.

·          Відразу ж після описаних вище безрезультатних спроб включити систему виведення пацієнта з зони опромінення, персонал увійшов до процедурного залу, вручну визволив фіксатори колімаційного шолому, зняв тиск

у гідросистемі і вручну викотив процедурний стіл, після чого пацієнт опинився поза гама-полем радіаційного блоку. Ці дії зайняли близько 4-х хвилин, протягом яких пацієнт продовжував опромінюватися, так що сумарна доза виявилася вдвічі більшою, ніж планова.

Д.1.3.4  На схемі Рис. Д.1.3 показані гілки “дерева відмов”, причому та гілка, що відповідає описаному вище інциденту (вона може бути умовно названа “гілка відмов гідросистеми”) виділена потовщеними стрілками, а самі елементарні відмови в рамках цієї гілки стисло описані всередині прямокутників з темно-сірим фоном.

Д.1.3.5  Хоча в описаному вище прикладі розглянута конкретна відмова окремої системи, до критичної події “переопромінення, пов'язане з відмовою ГТУ”, можуть спричинитися аварії іншого роду: механічні (заклинювання процедурного столу – лівий верхній прямокутник на схемі), або електричні, пов'язані з відмовами мікроперемикачів або таймера, що спричиняють неправильну експозицію (група відмов, що утворюють гілку у правій частині “дерева відмов”).

Д.1.3.6  Рис. Д.1.3 ілюструє побудову і якісний аналіз “дерева відмов”, яке пов'язане лише з технічними властивостями елементів конструкції ГТУ. Однак до переопромінення пацієнта можуть спричинити такі події, як “неправильна (помилкова) дія персоналу”. В останньому випадку доцільно додатково внести гілки такого роду подій в загальне дерево “відмов”.

Д.1.3.7  На схемі Рис. Д.1.3 вказані окремі ймовірності різних елементарних відмов (позначені літерами: a, b, c, d, e, f, g, h,
k, l), а також наведено формальні операції, що застосовуються при оцінці агрегованих імовірностей відмов окремих систем і ймовірності реалізації самої критичної події.

 

Таблиця Д.1.1 Приклад експертних оцінок імовірностей елементарних подій і відмов елементів даної ГТУ, які розглядаються при аналізі критичної події, що спричинила переопромінення пацієнта

Д.1.3.8   Отримання числових значень окремих імовірностей елементарних відмов або подій пов'язане з рядом серйозних труднощів, подолання яких можливе з використанням експертних оцінок. У Таблиці Д.1.1 наведено інтервальні оцінки такого роду ймовірностей стосовно ГТУ, тип якого описано у п. Д.1.3.2, і які отримано внаслідок спеціальної експертизи, виконаної групою лікарів-радіологів, дозиметристів і інженерів-розробників.

Д.1.3.9  Наведені в Таблиці Д.1.1 експертні оцінки відносних імовірностей нормовані на одну процедуру і ілюструють лише загальний підхід до побудови “дерева відмов” (“дерева подій”) стосовно деякого конкретного джерела потенційного опромінення четвертої групи. Детальні вимоги до методичних процедур повинні розглядатися і регламентуватися спеціальним документом Міністерства Охорони Здоров’я України (див. розділ 5 “Джерела потенційного опромінення четвертої групи (Медичне опромінення)”).

---

 

[ Вище ] [ Спадкоємність та новизна ] [ Абревіатури, терміни, визначення ] [ Частина 1 ] [ Частина 2 ] [ Частина 3 ] [ Частина 4 ] [ Частина 5 ] [ Додаток 1 ] [ Додаток 2 ] [ Додаток 3 ] [ Додаток 4 ] [ Додаток 5 ]