謝朝陽，劉平，何倩云，蔣華兵，李明海

（中國工程物理研究院總體工程研究所，四川 綿陽 621900）

要害系統(tǒng)（High Consequence System）來源于美國Sandia國家實(shí)驗(yàn)室對戰(zhàn)略武器以及重大基礎(chǔ)設(shè)施的安全性研究實(shí)踐[1-2]，是指由于意外事故或人為破壞，可能導(dǎo)致重大災(zāi)難性后果的系統(tǒng)，如核電站反應(yīng)堆、戰(zhàn)略武器等。要害系統(tǒng)廣義安全（Surety）涵蓋正常環(huán)境的可靠性、異常環(huán)境的安全性以及故意或敵對環(huán)境下的安?？刂芠3-4]。其中異常環(huán)境（火燒、沖擊、雷擊等）下的安全性是產(chǎn)品的固有特性，表征系統(tǒng)在可容許的事故后果范圍內(nèi)，能夠抵抗外界異常載荷刺激的能力。

安全性是要害系統(tǒng)的重要屬性之一，從歷史數(shù)據(jù)看，盡管各國都高度重視反應(yīng)堆等要害系統(tǒng)的安全性，但是仍不能完全避免發(fā)生事故的風(fēng)險。比如1986年的切爾諾貝利核電站發(fā)電組爆炸事故，2002年美國戴維斯-貝斯核電廠反應(yīng)堆壓力容器的頂蓋降級事件，2011年日本福島核電站放射性物質(zhì)泄露事故等[5]。因此準(zhǔn)確地認(rèn)識評估系統(tǒng)安全性對于要害系統(tǒng)的工程活動管理與決策具有極其重要的意義。

由于設(shè)計(jì)制造和服役環(huán)境的不確定因素，要害系統(tǒng)的實(shí)際運(yùn)行風(fēng)險往往高于預(yù)期，傳統(tǒng)的確定性方法在評估安全性時存在較大偏差。1992年和1994年，國際原子能機(jī)構(gòu)和美國核管理委員會分別發(fā)布指導(dǎo)方針，要求全面實(shí)施核電站的概率安全評估（PSA）[6]。概率安全評估理論立足于風(fēng)險視角，關(guān)注事故的可能性和嚴(yán)重性，難以定量反映要害系統(tǒng)安全設(shè)計(jì)特征對異常刺激的抵御能力。在安全性設(shè)計(jì)方面，美國Sandia實(shí)驗(yàn)室針對要害系統(tǒng)提出了隔離-失能安全設(shè)計(jì)措施[7]，其核心在系統(tǒng)中設(shè)置專門的隔離部件和失能部件。其中，失能部件是系統(tǒng)正常功能鏈路的關(guān)鍵環(huán)節(jié)，其失效閾值低于隔離部件。在異常環(huán)境下，失能部件可以在隔離部件失效前可靠地失效，使要害系統(tǒng)喪失爆發(fā)災(zāi)難性事故的能力。如果隔離部件先于失能部件失效，其失效概率被稱為確信安全失效率（Probability of Loss of Assured Safety，PLOAS），定量表征系統(tǒng)安全性的喪失情況。如果要害系統(tǒng)在異常環(huán)境下確信安全失效率ηPLOAS<10–6，則稱為確信安全[8]。

現(xiàn)有相關(guān)文獻(xiàn)主要針對隔離-失能設(shè)計(jì)系統(tǒng)PLOAS評估開展了方法、模型以及不確定性研究[9-10]，對于更一般的要害系統(tǒng)，缺乏比較通用的確信安全評估方法和技術(shù)流程。為此，文中基于系統(tǒng)確信安全的基本概念，結(jié)合傳統(tǒng)可靠性的統(tǒng)計(jì)理論，探討提出異常環(huán)境下要害系統(tǒng)確信安全評估方法，可為反應(yīng)堆等涉核要害系統(tǒng)安全性評估提供參考。

1 確信安全評估基礎(chǔ)理論與方法

1.1 概念與定義

1）確信安全：針對涉核等高危險要害系統(tǒng)中安全性關(guān)鍵部件，在規(guī)定的異常環(huán)境下喪失安全功能或造成不可接受事故的概率小于10–6，則稱系統(tǒng)確信安全。其主要意義在于能夠明確地表征系統(tǒng)對異常環(huán)境的容忍能力，對安全功能關(guān)鍵部件的設(shè)計(jì)以及要害系統(tǒng)使用管理限制決策具有實(shí)際工程價值。

2）確信安全評估：基于系統(tǒng)安全功能與外界環(huán)境之間的響應(yīng)機(jī)制，計(jì)算PLOAS的大小，并判斷其是否滿足確信安全要求。

3）安全特征參數(shù)：表征安全性關(guān)鍵部件響應(yīng)行為特征及程度的參數(shù)，通過該參數(shù)可以判斷系統(tǒng)是否處于安全狀態(tài)。比如撞擊場景下結(jié)構(gòu)的應(yīng)力、爆炸品內(nèi)部溫升、火燒條件下的功能部件溫度等。

4）安全失效閾值：基于安全特征參數(shù)，當(dāng)該參數(shù)值超過某一邊界值，則表示系統(tǒng)處于事故狀態(tài)，該邊界值定義為失效閾值。

1.2 確信安全評估理論基礎(chǔ)

1.2.1 單特征參數(shù)系統(tǒng)

對于要害系統(tǒng)中的一般安全性設(shè)計(jì)部件，比如反應(yīng)堆中的管道或壓力容器，其確信安全的狀態(tài)就是結(jié)構(gòu)不發(fā)生破壞失效。因此，可用結(jié)構(gòu)強(qiáng)度裕量表征系統(tǒng)的安全性，異常環(huán)境下要害系統(tǒng)承受的應(yīng)力可作為反映其安全性狀態(tài)的特征參數(shù)。設(shè)T為安全功能部件的安全狀態(tài)特征參數(shù)，其失效閾值為T0，異常環(huán)境刺激下安全特征參數(shù)的實(shí)際值記為T1。當(dāng)T1>T0時，認(rèn)為安全功能失效系統(tǒng)處于事故狀態(tài)，如圖1所示?？紤]到各種不確定性的存在，PLOAS的計(jì)算表達(dá)式為：

圖1 單特征參數(shù)系統(tǒng)確信安全系統(tǒng)Fig.1 PLOAS of single feature parameter

1.2.2 隔離-失能競爭系統(tǒng)

要害系統(tǒng)中，隔離失能系統(tǒng)的功能關(guān)系如圖2所示。正常情況下，失能開關(guān)閉合、隔離開關(guān)斷開，整個系統(tǒng)處于斷路狀態(tài)，系統(tǒng)安全。異常環(huán)境下，如果失能開關(guān)未按預(yù)期可靠失效（未斷開），隔離開關(guān)失效閉合，則系統(tǒng)處于不安全狀態(tài)；如果失能開關(guān)按預(yù)期可靠失效，隔離開關(guān)斷開或閉合，系統(tǒng)均處于安全狀態(tài)?？紤]到材料、制造等各種不確定性，用Tw和Ts分別表示失能和隔離開關(guān)失效閾值的隨機(jī)變量。假設(shè)兩者相互獨(dú)立，其概率密度分布函數(shù)分別為fw(t)和fs(t)，兩者均服從正態(tài)分布，PLOAS則為圖3中陰影部分的面積，可通過式(2)表達(dá)。

圖2 隔離（強(qiáng)鏈）/失能（弱鏈）系統(tǒng)功能示意[11]Fig.2 Function diagram of isolation-inoperability system[11]

圖3 PLOAS與失效閾值概率密度分布Fig.3 PLOAS and distribution of failure threshold

1.2.3 多特征參數(shù)系統(tǒng)

對于要害系統(tǒng)中的安全部件，有多個特征參數(shù)反映其安全狀態(tài)時，假設(shè)每個特征參數(shù)相互獨(dú)立，如果某一個參數(shù)值到達(dá)失效閾值時，系統(tǒng)安全狀態(tài)將發(fā)生改變，則系統(tǒng)的PLOAS定義為：

式中：P1,P2,…,Pn分別表示每個安全特征參數(shù)基于相應(yīng)的失效閾值計(jì)算得到的PLOAS結(jié)果，系統(tǒng)的PLOAS則取其中的最大值。

2 評估流程與框架

基于PLOAS的相關(guān)概念和理論基礎(chǔ)，在實(shí)際的確信安全評估中，面臨安全特征參數(shù)分布難以獲取的困難。為此，需要開展以安全特征參數(shù)為中心的試驗(yàn)測試和數(shù)值模擬仿真工作，量化安全特征參數(shù)的不確定性?；谏鲜隹紤]，文中提出了確信安全評估總體技術(shù)框架，如圖4所示。

圖4 確信安全評估流程與技術(shù)框架Fig.4 Process and technical framework of assessment of PLOAS

評估過程如下：

1）首先根據(jù)評估對象——要害系統(tǒng)特點(diǎn)和事故場景條件，明確異常環(huán)境下系統(tǒng)發(fā)生不可接受事故后果的主要演化機(jī)制。

2）根據(jù)事故演化機(jī)制，識別并確定表征系統(tǒng)安全性行為的特征參數(shù)，形成安全性特征參數(shù)集。

3）基于確定的安全性特征參數(shù)集，開展系統(tǒng)或分解試驗(yàn)，測試安全性特征參數(shù)集中的相關(guān)參數(shù)。

4）通過試驗(yàn)測試獲得的特征參數(shù)試驗(yàn)數(shù)據(jù)，校驗(yàn)數(shù)值模擬模型，通過校驗(yàn)后的數(shù)值模擬模型，計(jì)算獲得安全性特征參數(shù)集中的不可直接測試量。

5）基于試驗(yàn)和數(shù)值模擬獲得的數(shù)據(jù)樣本，視情建立安全性響應(yīng)特征參數(shù)集與試驗(yàn)條件以及產(chǎn)品狀態(tài)因素之間的代理模型[12-13]。常見的包括響應(yīng)面法[14]、Kriging法[15]、多項(xiàng)式插值方法等[16-17]。

6）利用試驗(yàn)、數(shù)值模擬獲得的結(jié)果，結(jié)合代理模型，進(jìn)行不確定性傳播分析，給出安全性特征參數(shù)集中各參數(shù)的概率密度分布。

7）基于各參數(shù)概率密度分布，根據(jù)確信安全失效概率的定義計(jì)算系統(tǒng)PLOAS。

8）根據(jù)PLOAS定量計(jì)算結(jié)果，評估要害系統(tǒng)在給出的異常環(huán)境條件下是否滿足確信安全的結(jié)論。

3 工程算例

高壓容器常用于貯存有毒有害危險性氣體，除了在正常工況下要保證其結(jié)構(gòu)可靠外，在運(yùn)輸過程中如果遭遇運(yùn)輸工具發(fā)生火燒等意外事故，容器內(nèi)的氣體由于高溫的作用將使得壓力變大，造成結(jié)構(gòu)破裂，有發(fā)生有毒有害氣體泄漏的風(fēng)險[18]。為了控制和減小放射性氣體因?yàn)檫\(yùn)輸工具產(chǎn)生的異常環(huán)境而導(dǎo)致的有毒有害氣體泄漏事故，高壓容器在運(yùn)輸過程中可采用抗事故包裝箱對運(yùn)輸工具產(chǎn)生的火燒和沖擊環(huán)境刺激進(jìn)行衰減控制。通常運(yùn)輸事故將產(chǎn)生沖擊和高溫這兩類異常環(huán)境刺激。由于運(yùn)輸汽車自身的吸能緩沖以及包裝固定等防護(hù)措施，沖擊環(huán)境對高壓容器結(jié)構(gòu)破壞影響不大。如果運(yùn)輸工具意外燃燒，據(jù)統(tǒng)計(jì)，汽車燃油火燒的溫度一般為800~1000 ℃[19-20]，若不采取隔熱防護(hù)措施，高壓容器內(nèi)氣體壓力將增大到3~4倍，且不銹鋼在高溫環(huán)境下的極限強(qiáng)度將下降，高壓容器必然發(fā)生破壞，因此需采用抗事故包裝箱進(jìn)行隔熱設(shè)計(jì)。

針對高壓容器在運(yùn)輸過程中的火燒事故場景，根據(jù)機(jī)械結(jié)構(gòu)失效機(jī)制，以高壓容器結(jié)構(gòu)應(yīng)力作為安全性特征參數(shù)，考慮的不確定性源參數(shù)見表1。根據(jù)高壓容器的幾何結(jié)構(gòu)開展有限元建模仿真，單次有限元計(jì)算結(jié)果如圖5所示?？紤]到隨機(jī)不確定性，以有限元計(jì)算結(jié)果作為訓(xùn)練樣本，建立高壓容器在異常高溫條件下最大應(yīng)力響應(yīng)的Kriging代理模型。根據(jù)代理模型，采用蒙特卡洛抽樣可獲得最大應(yīng)力響應(yīng)的不確定性分布。高壓容器應(yīng)力與強(qiáng)度的概率密度分布如圖6所示。考慮到高壓容器長期腐蝕以及高溫導(dǎo)致的強(qiáng)度損減，以強(qiáng)度作為失效閾值。根據(jù)圖6所示的分布情況，可計(jì)算得到PLOAS為3.47×10–7，滿足確信安全要求。

表1 高壓容器參數(shù)及不確定性源分析Tab.1 The source of uncertainties for pressure vessel

圖5 高壓容器最大應(yīng)力有限元計(jì)算Fig.5 The maximum stress of pressure vessel

圖6 結(jié)構(gòu)應(yīng)力與失效強(qiáng)度閾值的概率密度分布Fig.6 Distribution of structural stress and failure strength threshold

4 結(jié)論

1）針對異常環(huán)境下要害系統(tǒng)的安全性評估問題，基于系統(tǒng)安全性物理特性和統(tǒng)計(jì)理論，提出了確信安全評估方法和技術(shù)框架，并給出了具體的實(shí)施方案和評估實(shí)例，該方法可應(yīng)用于要害系統(tǒng)確信安全量化評估。

2）針對單安全特征參數(shù)、隔離失能競爭系統(tǒng)、多安全特征參數(shù)3種情況，定義了PLOAS的內(nèi)涵和計(jì)算理論基礎(chǔ)。

3）文中的評估方法，以安全特征參數(shù)為中心，具有一定的通用性，對試驗(yàn)與數(shù)值模擬仿真具有較高精度要求。