深圳中廣核工程設(shè)計有限公司 彭永森 劉政杰 王軍民 劉 超 范樂旺

0 引言

共因故障是指由單一事件或起因?qū)е氯舾裳b置、部件或系統(tǒng)功能失效的故障。作為核電廠重要的支持系統(tǒng)，核電廠暖通空調(diào)安全系統(tǒng)承擔(dān)著為前沿系統(tǒng)設(shè)備運(yùn)行及人員操作提供良好環(huán)境條件的安全功能，由于暖通空調(diào)系統(tǒng)存在服務(wù)范圍廣、設(shè)備數(shù)量繁多等特點，其潛在共因故障風(fēng)險可能會影響核電廠前沿系統(tǒng)的功能，進(jìn)而影響核電廠的安全。隨著核電廠安全要求的提高，國內(nèi)外核電廠對于暖通空調(diào)系統(tǒng)共因故障分析日趨重視，通過對國內(nèi)外相關(guān)規(guī)范及良好實踐研究總結(jié)，建立了一套核電廠暖通空調(diào)系統(tǒng)共因故障識別分析及應(yīng)對的方法論。

1 共因故障類型及典型應(yīng)對措施

國內(nèi)外核電廠相關(guān)法規(guī)標(biāo)準(zhǔn)對核電廠安全重要物項防范共因故障提出了如下要求。

1) HAF 102—2016規(guī)定：必須考慮安全重要物項發(fā)生共因故障的可能性，以確定應(yīng)該在哪些地方應(yīng)用多樣性、多重性和獨(dú)立性原則來實現(xiàn)所需的可靠性[1]。

2) IAEA SSR-2/1-2012規(guī)定：設(shè)計支持服務(wù)系統(tǒng)的可靠性、冗余性、多樣性和獨(dú)立性及提供對其實施隔離和進(jìn)行功能能力測試的特性必須與其所支持的系統(tǒng)的安全重要性相適應(yīng)。不得允許支持服務(wù)系統(tǒng)的一個故障能夠同時影響一個安全系統(tǒng)或一個執(zhí)行各種安全功能的系統(tǒng)的若干冗余部件及損害這些系統(tǒng)執(zhí)行其安全功能的能力[2]。

3) IAEA SSG-62-2020規(guī)定：在適用的情況下，對用于支持安全系統(tǒng)的輔助系統(tǒng)和支持系統(tǒng)，應(yīng)對其冗余部件間的共因故障予以識別，設(shè)計及布置中應(yīng)采取措施使冗余的部件盡量獨(dú)立[3]。應(yīng)采用合適的方式預(yù)防共因故障的發(fā)生，比如物理隔離和功能獨(dú)立。應(yīng)對冗余的安全系統(tǒng)間的共因故障與假定的始發(fā)事件之間可能的組合進(jìn)行分析。如果這種組合的后果超過了設(shè)計基準(zhǔn)事故的限值，則應(yīng)降低或消除這種組合的可能性或者采用額外的設(shè)計來應(yīng)對這種情形。

4) ONR-NS-TAST-GD-036中將可能會導(dǎo)致安全功能失效的共因故障分為4類[4]。

① 功能依存：由共享或共同的功能特征產(chǎn)生的共因，例如共用電源、共用冷卻水系統(tǒng)或共用工藝流體。

② 空間依存：由相同空間內(nèi)的部件共享的物理特征引起的共因，例如相同的輻射或化學(xué)條件、相同的環(huán)境和相同的支撐結(jié)構(gòu)等。

③ 固有依存：由相同的技術(shù)特性引起的共因，例如采用相同的操作原理或技術(shù)及相同的故障模式(如機(jī)械過載或超壓)。

④ 人因依存：與人為錯誤相關(guān)的共因，由于影響某些共享或相同的人員活動過程中的人因錯誤而產(chǎn)生的，如設(shè)計或制造中的人因錯誤、操作人員在操作和維護(hù)過程中的錯誤。

5) NUREG/CR-7007對于共因故障給出了主要的應(yīng)對措施[5]。

① 多樣化：包括采用不同的運(yùn)行條件、不同的工作原理、不同的設(shè)計團(tuán)隊、不同尺寸的設(shè)備、不同的制造廠家、不同的部件、不同物理原理的設(shè)備等措施。

② 實體分隔：采用幾何分隔或屏障分隔(如距離、方位)等措施。

③ 功能隔離：安全系統(tǒng)與非安全系統(tǒng)有效隔離、電氣隔離等措施。

結(jié)合上述規(guī)范要求，總結(jié)歸納核電廠典型共因故障及應(yīng)對措施，見表1。

表1 共因故障類型及典型應(yīng)對措施

2 暖通空調(diào)系統(tǒng)共因故障分析方法論及流程

為全面降低暖通空調(diào)系統(tǒng)共因故障，首先需要有效識別系統(tǒng)所有的潛在共因故障點，再針對各共因故障點分析制定合理、可行的改進(jìn)方案以實現(xiàn)風(fēng)險最小化。結(jié)合前述共因故障的類型，制定暖通空調(diào)系統(tǒng)共因故障分析的總體流程，見圖1。

2.1 系統(tǒng)共因風(fēng)險的識別

對于暖通空調(diào)系統(tǒng)中不同類型的共因故障，需采取有針對性的識別方法，對于固有和人因依存類的共因故障，一般采用安全分析的方法來識別暖通空調(diào)系統(tǒng)自身設(shè)計中的共因風(fēng)險；對于功能依存，通過暖通空調(diào)系統(tǒng)的支持系統(tǒng)失效分析找到支持系統(tǒng)共因的風(fēng)險點；對于空間依存，通過災(zāi)害分析的方法來識別共因風(fēng)險點。

2.1.1暖通空調(diào)系統(tǒng)自身共因風(fēng)險的識別

暖通空調(diào)系統(tǒng)作為核電廠支持系統(tǒng)的一部分，為核電廠前沿工藝系統(tǒng)和其他支持系統(tǒng)(如電氣、儀控機(jī)柜)提供通風(fēng)冷卻，暖通空調(diào)系統(tǒng)的失效可能導(dǎo)致電廠的安全功能共因失效，進(jìn)而引發(fā)嚴(yán)重的后果，尤其是因暖通空調(diào)系統(tǒng)導(dǎo)致核電廠縱深防御體系的失效，通過核電廠安全分析，如失效后果分析、始發(fā)事件分析等手段可識別暖通空調(diào)系統(tǒng)設(shè)計的薄弱點，通過暖通空調(diào)系統(tǒng)的多樣化設(shè)計規(guī)避該類型的風(fēng)險。識別風(fēng)險的方法如下：

1) 通過核電廠事故分析，依據(jù)應(yīng)對核電廠高頻事故的安全系統(tǒng)需采取多樣化設(shè)計的原則，以高頻事件為主線，分析其支持系統(tǒng)(暖通空調(diào)系統(tǒng))是否具備多樣化。表2給出了核電廠小破口事故分析示例。

需要注意的是，暖通空調(diào)系統(tǒng)失效的間接后果也需要分析，上述案例中如配電柜E1和E2或控制柜I1和I2都由同一個暖通空調(diào)系統(tǒng)或2個有共因風(fēng)險的暖通空調(diào)系統(tǒng)來控制環(huán)境溫度，則可能因為暖通空調(diào)系統(tǒng)共因故障間接導(dǎo)致中壓安注和低壓安注系統(tǒng)的失效，因此該失效分析應(yīng)該是全面的。

2) 通過支持系統(tǒng)的始發(fā)事件分析，找到暖通空調(diào)系統(tǒng)失效引起的始發(fā)事件，如該始發(fā)事件無有效手段進(jìn)行緩解，則需要考慮對該部分暖通空調(diào)系統(tǒng)進(jìn)行多樣化改進(jìn)，防范該始發(fā)事件的發(fā)生。

通過以上2種手段，可以找到需要進(jìn)行多樣化設(shè)計的暖通空調(diào)系統(tǒng)，接著對這部分系統(tǒng)進(jìn)行進(jìn)一步的分析，制定合理的改進(jìn)方案。

2.1.2暖通空調(diào)系統(tǒng)支持系統(tǒng)共因風(fēng)險的識別

暖通空調(diào)系統(tǒng)的支持系統(tǒng)主要包括冷卻水系統(tǒng)、電氣系統(tǒng)及儀控系統(tǒng)，因其失效可能會導(dǎo)致多個暖通空調(diào)系統(tǒng)失效，需要特別注意其失效后果。通過對支持系統(tǒng)的失效后果分析，識別出因支持系統(tǒng)失效導(dǎo)致暖通空調(diào)系統(tǒng)共因失效的風(fēng)險，并結(jié)合2.1.1節(jié)分析結(jié)果，識別出導(dǎo)致有多樣化要求的暖通空調(diào)系統(tǒng)失效的支持系統(tǒng)的失效模式，再針對性地制定改進(jìn)措施。核電廠控制及電氣系統(tǒng)的共因故障可以參照NUREG/CR-7007[5]進(jìn)行分析。

2.1.3災(zāi)害引發(fā)的共因風(fēng)險的識別

通過內(nèi)外部災(zāi)害分析，研究暖通空調(diào)系統(tǒng)空間依存性，分析因內(nèi)外部災(zāi)害導(dǎo)致多個冗余的暖通空調(diào)系統(tǒng)同時失效的可能性及后果，識別出因內(nèi)外災(zāi)害引發(fā)的暖通空調(diào)系統(tǒng)共因失效風(fēng)險點。

2.2 暖通空調(diào)系統(tǒng)改進(jìn)方案的確定

針對識別出的暖通空調(diào)系統(tǒng)的共因風(fēng)險點，梳理所有潛在的改進(jìn)方案，逐項評估各改進(jìn)方案在核安全、工程代價方面的收益，并結(jié)合方案的可實施性、技術(shù)成熟性等多方面的因素，確定最終的方案。對于暖通空調(diào)系統(tǒng)自身的共因風(fēng)險點，主要采用多樣化的方法進(jìn)行改進(jìn)，第3章將詳細(xì)闡述流程及方法；對于暖通空調(diào)系統(tǒng)支持系統(tǒng)的共因風(fēng)險點，主要采用支持系統(tǒng)多樣化的方法進(jìn)行改進(jìn)，這部分內(nèi)容不是暖通空調(diào)系統(tǒng)設(shè)計的范疇，可參考相關(guān)領(lǐng)域的成果，本文不做探討；對于災(zāi)害引起的共因風(fēng)險點，主要通過布置優(yōu)化和提升暖通空調(diào)設(shè)備鑒定要求的方法進(jìn)行改進(jìn)。

2.3 暖通空調(diào)系統(tǒng)改進(jìn)方案的實施

確定改進(jìn)方案后，需要對改進(jìn)方案進(jìn)行影響分析，確定改進(jìn)的影響范圍及可實施性，確定方案是可執(zhí)行的，并執(zhí)行改進(jìn)方案，如發(fā)現(xiàn)改進(jìn)方案無法執(zhí)行，需要重新確定方案。

3 暖通空調(diào)系統(tǒng)多樣化設(shè)計分析

3.1 暖通空調(diào)系統(tǒng)多樣化策略的制定

暖通空調(diào)多樣化的策略主要有2種類型：設(shè)計多樣化和設(shè)備多樣化。

1) 設(shè)計多樣化：主要是指實現(xiàn)功能的原理不同，如設(shè)計1套能動降溫的空調(diào)系統(tǒng)和1套非能動降溫的系統(tǒng)，2套系統(tǒng)相互備用，該策略使暖通空調(diào)系統(tǒng)具有天然的多樣化，但此種方式在目前的核電工程上較難實現(xiàn)。需要注意的是，即使系統(tǒng)設(shè)計存在較大差異，如采用相同類型的設(shè)備，仍需評估設(shè)備的多樣化程度。

2) 設(shè)備多樣化：采用不同制造廠家、不同部件、不同物理原理、不同尺寸的設(shè)備來實現(xiàn)多樣化設(shè)計，該策略不需要對系統(tǒng)設(shè)計進(jìn)行大的修改，相對容易實現(xiàn)，也是目前國際核電工程普遍采用的多樣化策略，本文將重點介紹設(shè)備多樣化的策略。

3.2 設(shè)備多樣化策略介紹

對于有多樣化需求的暖通空調(diào)系統(tǒng)，需要注意的是，并不是系統(tǒng)內(nèi)所有的設(shè)備均需要多樣化，如設(shè)備足夠可靠或其失效不會導(dǎo)致系統(tǒng)安全功能的喪失，則該類設(shè)備可以不進(jìn)行多樣化。因此，應(yīng)精確識別需開展多樣化設(shè)計的設(shè)備部件，并采取合理、可行的改進(jìn)措施，以使改進(jìn)的收益代價比在合理的區(qū)間內(nèi)。暖通空調(diào)設(shè)備多樣化分析流程見圖2，后文將對每個步驟進(jìn)行詳細(xì)的介紹。

3.2.1識別需要多樣化的設(shè)備

一般通過失效模式、影響及危害性分析(FMECA)可識別出需要進(jìn)行多樣化的設(shè)備。FMECA是針對系統(tǒng)中設(shè)備所有可能的故障模式進(jìn)行分析，確定每種故障模式對系統(tǒng)功能的影響，并按故障模式的嚴(yán)重程度及其發(fā)生的概率確定其危害性。FMECA包括故障模式影響分析(FMEA)和危害性分析(CA)。工程師可依據(jù)BS 60812-2018[6]開展分析，列舉部件的每一個失效模式對該模式進(jìn)行危害性分析，找出需要關(guān)注的重點失效模式，關(guān)于設(shè)備失效模式關(guān)注度的評估需要考慮2個方面：

1) 可能性。

理想情況下，可能性及失效模式發(fā)生的概率是根據(jù)該失效模式的統(tǒng)計數(shù)據(jù)估計的。根據(jù)BS 60812-2018[6]，考慮影響故障發(fā)生概率的每個部件的邊界條件(施加的環(huán)境、機(jī)械和(或)應(yīng)力)是非常重要的。設(shè)備故障的數(shù)據(jù)統(tǒng)計可參見《中國核電廠設(shè)備可靠性數(shù)據(jù)報告》(2015版)[7]和NUREG/CR-6928[8]，典型暖通空調(diào)設(shè)備失效概率見表3。

表3 典型暖通空調(diào)設(shè)備失效概率

2) 嚴(yán)重性。

分析該失效模式發(fā)生的后果，即影響安全功能的程度。如設(shè)備部件失效導(dǎo)致系統(tǒng)安全功能完全喪失，則認(rèn)為嚴(yán)重性為高；如導(dǎo)致安全功能退化，認(rèn)為嚴(yán)重性為中；如對安全功能無影響，則認(rèn)為嚴(yán)重性為低。

通過對暖通空調(diào)設(shè)備每一種失效模式從失效模式的可能性和嚴(yán)重性2個方面進(jìn)行危害性評估，采用表4進(jìn)行篩選，對于危害性高的失效模式(表中加下劃線)需要進(jìn)一步進(jìn)行多樣化改進(jìn)分析。

表4 危害性評估矩陣

結(jié)合國內(nèi)外相關(guān)的工程經(jīng)驗及典型暖通空調(diào)系統(tǒng)的FMECA分析，暖通空調(diào)系統(tǒng)中失效概率及危害性較高的設(shè)備及其主要失效模式見表5。

表5 暖通空調(diào)系統(tǒng)設(shè)備的失效模式

3.2.2設(shè)備多樣化改進(jìn)方案的評估

在找到需要考慮多樣化改進(jìn)的暖通空調(diào)設(shè)備后，針對其危害性較高的失效模式確定多樣化改進(jìn)方案，并進(jìn)行方案的評估工作，找到可有效改進(jìn)多樣化程度的方案，主要可以采用概率安全分析及確定論分析的手段。

1) 概率安全分析(PSA)。

PSA用于從系統(tǒng)整體共因故障及對堆芯損壞或放射性釋放方面的影響確定部件的重要性。對于已確定需要進(jìn)一步分析的設(shè)備，需要通過下述步驟開展PSA建模分析。

① 在不同的共因故障組中對每種類型危害性高的設(shè)備進(jìn)行建模。

② 分析增加冗余度的影響，以考慮是否需要額外的冗余作為應(yīng)對共因故障的一部分。

③ 對設(shè)備失效按重要程度進(jìn)行排序，并考慮總體風(fēng)險級別，以支持后續(xù)判斷。

在完成PSA分析建模后，可通過表6進(jìn)行風(fēng)險收益的評估。

表6 PSA分析收益分級

2) 確定論分析。

可依據(jù)NUREG/CR-7007[5]中評估多樣性程度的準(zhǔn)則，開展多樣化程度的分析，分析的維度見表7。

以安全級的風(fēng)機(jī)為例，對采用相同設(shè)備設(shè)計不同供應(yīng)商和采用不同設(shè)計相同供應(yīng)商2個方案進(jìn)行分析，可采用表8的形式進(jìn)行量化分析，并結(jié)合工程實現(xiàn)等其他因素確定最終的方案。

結(jié)合概率和確定論的分析，即可分析出暖通系統(tǒng)的多樣化程度，確定合適的改進(jìn)策略。

3.3 多樣化改進(jìn)方案的確定

確定暖通空調(diào)系統(tǒng)多樣化改進(jìn)策略后，需要結(jié)合暖通空調(diào)系統(tǒng)的支持系統(tǒng)的多樣化改進(jìn)分析，確定多樣化的潛在改進(jìn)方案，并對潛在方案進(jìn)行方案比選，比選可從對核安全的影響、技術(shù)成熟度、可實施性、成本等方面開展，最終確定合理可行的方案，并將暖通空調(diào)系統(tǒng)共因故障的風(fēng)險降低至可以接受的程度。方案比選的方法論比較成熟，本文不再進(jìn)行探討。

表8 風(fēng)機(jī)多樣化方案評估

4 結(jié)語

本文探討了核電廠共因故障的類型，總結(jié)歸納了適用于核電廠暖通空調(diào)系統(tǒng)共因故障分析的方法、流程及應(yīng)對措施，為國內(nèi)核電廠開展暖通空調(diào)系統(tǒng)共因故障分析提供了借鑒和參考。核電廠暖通空調(diào)系統(tǒng)共因故障分析涉及核電廠安全分析、設(shè)備FMECA分析、PSA分析、災(zāi)害分析等多個領(lǐng)域，需要全面分析以識別所有共因風(fēng)險點，并針對性地制定合理、可行的應(yīng)對措施，以使風(fēng)險最小化，提升核電廠的安全水平。