考慮多失效行為的核電廠可修系統可靠性數值仿真

戈道川，楊燕華，張若興，丑 強（．上海交通大學核科學與工程學院，上海 0040；．國家核電技術公司北京軟件技術中心，北京 0009）

考慮多失效行為的核電廠可修系統可靠性數值仿真

戈道川1，楊燕華1，張若興2，丑 強2
（1．上海交通大學核科學與工程學院，上海 200240；
2．國家核電技術公司北京軟件技術中心，北京 100029）

摘要：為分析含有順序、冗余及功能相關等多失效行為的核電廠安全系統的可靠性，提出了基于動態故障樹模型的可靠性數值仿真方法。通過對部件多失效行為的隨機模擬及動態邏輯門成功準則的判定，實現了對含有多失效行為的核電廠安全系統的可靠性數值模擬。案例分析結果表明，該方法能對多失效行為的復雜系統進行可靠性分析，具有較強的適應性。

關鍵詞：數值仿真；可靠性；動態故障樹；多失效行為；核電廠

目前，國際上普遍采用動態故障樹（DFT）模型對多失效行為系統進行可靠性建模分析。DFT在靜態故障樹的基礎上引入了多種動態邏輯門［1］。DFT定量分析的主要方法有：狀態空間法和容斥原理法。狀態空間法是將DFT轉化為馬爾科夫鏈模型，通過求解Chapman－Kolmogorov微分方程［2］，來獲得系統的可靠性指標。這種方法存在3個缺陷：1）要求系統滿足馬爾科夫性，即系統的失效和修復時間服從指數分布；2）狀態空間規模隨系統部件的增加呈指數型增長；3）無法對存有定期試驗和維修的設備進行建模。容斥原理法［3］是通過求解不交化割序發生的概率來獲取系統的不可靠度，這種方法僅適用于不可修系統。故障樹的仿真分析主要集中在靜態系統［4－5］，技術趨于成熟。文獻［6］初步提出了一種基于最小割序集（MCSS）的DFT數值仿真技術，但未涉及如何處理部件由于維修、試驗而導致的功能需求失效。此外，這種仿真技術依賴于DFT的MCSS。針對大規模、高耦合的DFT，獲取完整的MCSS十分困難。

為了克服以上方法的缺陷及考慮核電廠安全系統的實際情況，本文提出一種基于模擬部件多失效行為和判定動態邏輯門成功準則的數值仿真方法。該方法無需獲取系統的MCSS，直接通過模擬部件的多失效行為及判定動態邏輯門的成功準則來獲取系統的可靠性指標，為含有多失效行為的核電廠安全系統可靠性評價提供一種新的分析手段。

1　可修系統可靠性指標

假設對象為連續工作的可修系統，且只有運行和停役兩種狀態。系統在t時刻的狀態變量X（t）定義為：

系統主要的可靠性指標（瞬時可用度、平均可用度、極限可用度）定義如下。

瞬時可用度指的是系統在某時刻能正常運行的概率［7］，用A（t）表示，則：

平均可用度是系統在某段時間內的平均可用性，用Aav（t）表示，則：

式（3）表示系統在（0，τ）時間段內的平均可用度。此外，文獻［8］將系統在統計期間時間內的可用度Ac定義為：

其中：t1為工作時間；t2為統計時間

極限可用度是在統計期間無窮大時間內系統平均可用度的極限，可表示為：

當式（5）的極限存在時，這個極限值被稱為系統的極限可用度，也稱為穩態可用度。

2 部件多失效行為和動態門成功準則

2．1 部件多失效行為

部件多失效行為指的是部件在發生失效時表現出的多隨機性行為。系統部件按照供給功能的主次關系大致分為兩類：一類為在役部件；另一類為備件（包括冷備件、熱備件和溫備件）。其中，冷備件在主件正常運行時處在停役狀態，只有當主件失效時，才會投入運行。因此，冷備件在備用狀態下不會失效。熱備件則與之不同，它在備用狀態下就以全功率的模式運行。因此，熱備件在備用和運行工況下失效概率特性是一致的。溫備件是冷備件和熱備件的一個折衷方案。它在備用狀態下以一個低功率的模式運行，直到替換失效的主件。通過以上分析發現，冷備件和溫備件的失效行為與主件狀態密切相關，本文將此類備件失效行為定義為半隨機事件，定義在役部件和熱備件的失效行為為隨機事件。

此外，部件功能喪失的原因除隨機失效外，試驗、維修導致的不可用也是一個因素。這類失效是由于部件定期的試驗和維修活動造成的。本文將這類活動定義為虛擬部件，并將由此引發的部件失效事件定義為確定事件。核電系統中部件多失效行為大致可歸為以下3類（表1）。

表1　 部件多失效行為分類Table 1 Category of component multi－failure behavior

2．2 動態門成功準則

DFT中動態門有：優先與門（PAND）、功能相關門（FDEP）、順序強制門（SEQ）及備門（SPARE）。此外，DFT也可能含有靜態門，如與門、或門和表決門。圖1為DFT中常見門。其中，橢圓形符號表示一個廣義的輸入事件，它既可以是一個基本事件也可以是一個門事件。圓形符號表示對象只能是基本事件。

圖1　 核電廠安全系統常見邏輯門Fig．1 Common logic gate for safety system of nuclear power plant

動態門成功準則是指動態門產生失效輸出時，門下事件發生失效時應滿足的組合和順序條件，它可通過門的行為表達式來定義。文獻［9］給出了各種門的行為表達式來定義門的成功準則，表2列出幾種常見門的情況。關于更多復雜門，可參考文獻［9－10］。

表2　 門成功準則的行為表達式Table 2 Behavior expression for successful rule of gate

表2中，以優先與門為例，a→b表示只有當事件a、b均失效且a先于b失效，才滿足優先與門成功準則；再以兩輸入備門為例，（a→ba）＋（bd→a）表示a發生后b發生，則滿足備門成功準則，或b先發生而后a發生同樣也滿足成功準則。需注意的是：當備件為熱備件時，熱備件在備用和運行工況下失效概率特性是一致的，故熱備門的代數模型可寫成（a→b）＋（b→a），這跟與門的行為表達式是一致的。因此，熱備門在邏輯上等價靜態與門；當備件為冷備件時，由于冷備件不可能在備用狀態下失效，故冷備門的代數模型只能寫成a→ba。此外，通過觀察FDEP的行為表達式，發現功能相關門在邏輯上可等價地轉化為靜態或門。文獻［10］指出順序強制門可由冷備門的組合形式來等價表達。因此，動態邏輯門的成功準則最終可由優先與門、溫備門及冷備門來表示。

3　仿真算法

3．1 部件多失效行為的仿真

假設部件具備完美的可維修性，即部件無論何時發生故障，均能立即進行維修并修復到一個全新狀態。部件在時間軸上形成由交替出現的運行時間序列（T1，T2，…，Tn）和停役時間序列（O1，O2，…，On）構成的部件運行狀態圖，如圖2所示。

圖2　 部件的運行狀態圖Fig．2 Running state diagram of component

假設T1，T2，…，Tn獨立同分布，分布函數Fi（t）＝pr｛Ti≤t｝（1≤i≤n）；O1，O2，…，On也服從獨立同分布，且分布函數Ri（t）＝pr｛Oi≤t｝。則Ti、Oi可由式（6）隨機抽樣獲得。

式中，ε、η為在區間［0，1］上服從均勻分布的隨機數，由隨機數生成器產生。

針對多失效行為是隨機事件的部件，其運行狀態總是運行和停役交替出現（圖2），可由式（6）直接模擬，直到達到規定任務時間。對于多失效行為是半隨機事件的部件，情況稍顯復雜。對冷備件來說，當主部件處在Ti時間段內，冷備件一定是停役狀態。因此，冷備件的狀態模擬只發生在主部件處在Oi時間段內，在此期間可由式（6）模擬得到。而對于溫備件，情況更為復雜，這是因為溫備件在備用和運行狀態下運行功率不一，存在兩個不同的失效分布函數。假設溫備件在運行狀態下的失效分布函數Fi（t）＝pr｛Ti≤t｝，在備用狀態下的失效分布函數Gi（t）＝pr｛Ti≤t｝。顯然，當主件處在停役時間段內，溫備件的狀態模擬則由式（6）完成。假設溫備件在運行和備用狀態下的修復時間分布是一致的，則當主件處在運行時間段內，溫備件的運行狀態可由式（7）模擬。

此外，鑒于虛擬部件的發生已事先確定，這類活動的影響應在部件的狀態圖上首先得到確認。因此，部件多失效行為的模擬仿真可按照確定事件→隨機事件→半隨機事件的順序進行。

3．2 門成功準則的判定

在完成對部件多失效行為的數值仿真后，需對門成功準則進行判定以確定系統發生故障的時間序列。通過比較門下所有輸入事件（包括門事件和基本事件）的運行狀態圖，最終確定目標系統的失效時間段。首先以兩輸入優先與門系統為例，成功準則判定示意圖如圖3所示。

圖3　 優先與門成功準則判定示意圖Fig．3 Judging diagram for successful rule of PAND

在圖3的場景1中，部件a和b均失效，且a先于b失效。根據優先與門成功準則，場景1顯然符合。兩部件失效區間的交集［t1，t2］即為系統的停役時間。而場景2中，盡管兩部件均失效，但部件a后于b失效，故系統不會失效。

再以兩輸入冷備門系統為例，其成功準則判定示意圖如圖4所示。

圖4　 冷備門成功準則判定示意圖Fig．4 Judging diagram for successful rule of cold standby door

在圖4的場景1中，冷備件b在主件a的停役期間發生了隨機失效，導致系統在［t1，t2］時間段內失效。場景2情況特殊，從隨機抽樣的角度看，冷備件b在主件a的停役期間未發生隨機失效，但由于備件在此期間存在規定的維修或試驗活動，導致備件b的功能需求失效，從而導致系統在備件b停役時間段［t3，t4］失效。在場景3中，冷備件在主件的失效期間未發生隨機失效，系統運行正常。同理，或門、與門及溫備門也可根據它們的成功準則進行判定。

3．3 統計量分析

假設系統的任務時間為Tm，通過N次仿真模擬，得到N組系統失效樣本。每個樣本可是一個有序的時間序列（按照時間的先后排列），也可是一個空集（說明系統在任務期間內不失效）。當樣本不為空時，假設第i組樣本為可得到式（8）～（12）。

系統平均可用度根據式（4）定義，則系統在N次模擬中的平均不可用度為：

令ψi（t）為第i次模擬中系統在t時刻狀態變量，則：

根據式（2），則系統在t（t≤Tm）時刻的不可用度可表示為：

系統在t（t≤Tm）時刻的瞬時可用度A（t）可表示為

可修系統的可靠度R（t）是指系統首次故障時間超過t的概率。為了有別于式（9）的定義規則，本文定義系統在t時刻狀態變量φi（t）如下：

則系統在t時刻的可靠度R（t）可表示為：

則系統在t時刻的不可靠度F（t）可表示為F（t）＝1－R（t）。

4 算例驗證

算例為一個含有多失效行為的高度復雜系統，包括順序失效、冗余失效以及功能相關失效。系統簡化DFT模型如圖5所示。

圖5 算例的DFT模型Fig．5 DFT model of example

建立系統頂門成功準則的代數模型，如式（13）所示。

假設部件失效和修復時間服從指數分布，相關參數列于表3。

表3 部件的失效參數Table 3 Failure parameter of component

為了對比分析，采用Markov模型對算例可靠性進行精確建模分析。圖6為系統的Markov模型（陰影部分表示系統處于失效狀態）。

圖6 算例Markov模型Fig．6 Markov model of example system

建立的系統狀態概率微分方程為：

式中：P（t）＝［p1（t），p2（t），…，p19（t）］，pi（t）為系統在t時刻處在狀態i的概率；Q為狀態轉移矩陣，可從算例的Markov模型中獲取。

假設設備在初始時刻完好，則P（0）＝［1 0 00000000000000000］。P（t）可由下式求得：

則系統在t時刻的不可用度可表示為：

需注意的是，求可修系統在t時刻的不可靠度時，需將系統的失效狀態定義為吸收態，即令Q中失效狀態對應行的所有元素為0，這與求解系統的不可用度方法不同。

在不同時刻，分別采用Markov模型法和數值仿真法對算例進行不可靠度分析。仿真次數N＝1．0×106，計算結果列于表4。可看出，數值仿真獲取的系統不可靠度與Markov模型的一致，驗證了本文仿真算法的正確性。

表4　 案例系統的不可靠度Table 4 Unreliability of example system

5　應用

在核電廠概率安全分析（PSA）中，全廠斷電（SBO）事故的嚴重程度僅次于冷卻劑喪失事故（LOCA）和熱阱喪失事故的第三重要始發事故。因此，對核電廠電力供應系統進行PSA，具有重要的現實意義。

核電廠電力供應系統主要由廠外電源和場內電源（應急柴油發電機供應）組成。正常情況下，電廠電源由電網供應，場內電源作為應急電源處于冷備用的狀態。電力供應系統的故障后運行流程為：當喪失廠外電源后，通過電子傳感器發送信號啟動備用電源，備用電源收到啟動信號后立即啟動，為電廠提供電力以確保電廠的安全運行。為確保柴油發電機組的可靠性，電廠會定期對其進行試驗和預防性維修。而一旦柴油發電機組處在試驗或維修狀態時，將喪失提供備用功能。因此，電廠的電力供應系統存在3種失效模式：1）傳感器模塊先于主電源失效，在喪失主電源的情況下，無法正常啟動備用電源，從而導致全廠斷電；2）備用電源正常啟動，但在主電源修復期間發生了隨機失效，導致全廠斷電；3）主電源失效時，備用電源處在試驗或維修狀態，無法提供備用電源，導致電廠失效。根據供電系統的多失效行為，建立核電廠全廠斷電事故DFT，如圖7所示。

圖7　 核電廠全廠斷電DFT模型Fig．7 DFT model for station blackout of nuclear power plant

建立系統頂門成功準則的代數模型為：

TE＝A→B＋A·（T＋M）＋C→A（17）

假設部件的失效和修復時間均服從指數分布，系統部件的可靠性參數列于表5。

采用本文提出的方法對系統可靠性進行了數值仿真分析，通過Matlab平臺編程計算，獲得核電廠電力供應系統年平均不可用度為3．9×10－7（仿真次數N＝5．0×108）。這一結果表明，該電廠電力供應系統的年不可用度非常低，滿足電廠可靠性設計要求。其供電系統隨時間變化的平均不可用度及停役時間概率分布示于圖8。

表5　 部件可靠性參數Table 5 Reliability parameter of component

圖8　 系統平均不可用度及系統停役時間概率分布Fig．8 Average unavailability of system and probability distribution of system outage

6　結論

實際核電廠安全系統存在多失效行為，即順序失效、冗余失效、功能相關失效以及試驗、維修引起的設備不可用等。本文提出了一種基于部件多失效行為模擬和動態門成功準則判定的數值仿真方法。通過DFT建模和數值仿真，實現了對含有多失效行為的核電廠供電系統的可靠性分析，為系統的安全評估提供了可信數據。與以往的評價技術（如靜態故障樹分析法、Markov模型分析法等）相比，本文提出的數值仿真算法優勢為：1）仿真模型真實反映了系統的多失效行為，是一種模擬現實技術，能對多失效行為系統進行有效的可靠性分析；2）這種仿真方法不依賴于DFT的最小割序集，通過對門成功準則的遞歸判定可實現對DFT的仿真計算；3）相對于傳統的Markov模型法，數值仿真克服了狀態空間爆炸難題，且不受部件失效和修復時間分布的限制，具有較強的適應性；4）此方法能提供更多的系統可靠性指標，如系統的平均可用度、可靠度、系統停役時間的累積分布等。

參考文獻：

［1］ DUGAN J B，BAVUSO S J，BOYD M A．Dynamic fault－tree models for fault－tolerant computer systems［J］．IEEE Transactions on Reliability，1992，41（3）：363－377．

［2］ DEVOOGHT J，SMIDTS C．Probabilistic reactor dynamicsⅠ：The theory of continuous event trees［J］．Nuclear Science and Engineering，1992，111：229－240．

［3］ YUGE T，YANAGI S．Quantitative analysis of a fault tree with priority AND gates［J］．Reliability Engineering and System Safety，2008，93（11）：1 577－1 583．

［4］ 陳兆兵，曹學武．核電系統的故障樹可靠性定量分析數字仿真［J］．計算機仿真，2005，22（10）：222－224．CHEN Zhaobing，CAO Xuewu．Digital simulation of reliability qualitative analysis of fault tree in nuclear power plant［J］．Computer Simulation，2005，22（10）：222－224（in Chinese）．

［5］ 文建國，孫作佩，陳爭新．基于故障樹的蒙特卡羅仿真在可靠性評價中的應用［J］．海軍航空工程學院學報，2010，25（1）：88－92．WEN Jianguo，SUN Zuopei，CHEN Zhengxin．Research on the Monte Carlo simulation in reliability assessment based on fault tree analysis［J］．Journal of Naval Aeronautical and Astronautical University，2010，25（1）：88－92（in Chinese）．

［6］ LIANG X，HONG Y，ZHANG Y，et al．Numerical simulation to reliability analysis of fault－tolerant repairable system［J］．Journal of Shanghai Jiaotong University，2010，15（5）：526－534．

［7］ RAUSAND M，HOYLAND A．System reliability theory：Models，statistical methods，and application ［M］．Canada：Wiley－Interscience，2004．

［8］ 史進淵．發電設備主機的可靠性模型［J］．動力工程，1991，11（1）：12－16．SHI Jinyuan．Reliability model of generating equipment host［J］．Power Engineering，1991，11（1）：12－16（in Chinese）．

［9］ MERLE G，ROUSSEL J M，LESAGE J J．Algebraic determination of the structure functions of dynamic fault trees［J］．Reliability Engineering and System Safety，2001，96（2）：267－277．

［10］MERLE G．Algebraic modeling of dynamic fault trees，contribution to qualitative and quantitative analysis［D］．France：ENS de Cachan，2010．

Numerical Simulation of Reliability of Nuclear Power Plant Repairable System with Multi－failure Behavior

GE Dao－chuan1，YANG Yan－hua1，ZHANG Ruo－xing2，CHOU Qiang2
（1．School of Nuclear Science and Engineering，Shanghai Jiao Tong University，Shanghai 200240，China；2．Software Development Center，State Nuclear Power Technology Corporation，Beijing100029，China）

Abstract：To analyze the reliability of safety system having multi－failure behavior，such as sequence－，redundancy－and function－dependent failure behaviors，in nuclear power plant，a dynamic fault tree model based on numerical simulation approach was proposed in this paper．It is implemented to analyze the reliability of safety system having multifailure behavior in nuclear power reactor through randomly simulating the multi－failure behavior of component and judging the success rule of dynamic logic gate．The results of the case study indicate the proposed method is applicable for evaluating the reliability of complicated system with multi－failure behavior，and offers great generality．

Key words：numerical simulation；reliability；dynamic fault tree；multi－failure behavior；nuclear power plant

作者簡介：戈道川（1984—），男，安徽六安人，博士研究生，從事核電廠概率安全研究

收稿日期：2014－04－15；修回日期：2014－07－18

doi：10．7538／yzk．2015．49．08．1410

文章編號：1000－6931（2015）08－1410－07

文獻標志碼：A

中圖分類號：TL364．5