“華龍一號”數字化儀控系統縱深防御設計

，　

(中國核電工程有限公司，北京　100840)

福島核事故后，國內外對于新建核電廠縱深防御的設計理念有了進一步的發展，在縱深防御層次設置，縱深防御層次獨立性等方面提出了更高的技術目標。在HAF102—2016《核動力廠設計安全規定》中，就體現了這一設計理念的發展，首次引入了“設計擴展工況”和“實際消除”的概念，將設置縱深防御第四層次的目的從2004版的“是針對設計基準可能已被超過的嚴重事故的，并保證放射性釋放保持在盡可能的低”調整為“減輕第三層次縱深防御失效所導致的事故后果。這一目標通過阻止這些事故進程和緩解嚴重事故的后果得以實現”，并進一步強調了縱深防御各個層次之間的獨立性要求。對于核電廠儀控系統而言，它的縱深防御設計有兩個方面的含義：一方面，作為支持系統，要為核電廠縱深防御各個層次的工藝系統提供監測和控制手段；另一方面，儀控系統自身也應滿足縱深防御的設計理念，保證某一層次的失效能為下一層次所補償。本文對國際上儀控系統縱深防御設計相關的最新法規要求進行了梳理和總結，介紹了中核集團“華龍一號”機組儀控系統設計實踐，并對核電儀控設計縱深防御設計后續應關注的問題給出了建議。

1　儀控系統縱深防御設計的法規要求

1.1　國際原子能組織技術要求

國際原子能組織(IAEA)于2016年發布了安全標準SSR-2/1(Rev.1)[1],該標準總結了福島核事故的教訓，在縱深防御層次的獨立性等方面提出了更高的要求，我國的HAF102-2016征求意見稿較大程度上參考了該標準。同年，IAEA出版技術文件IAEA-TECDOC-1791[2]，對SSR-2/1標準進行了進一步的解讀，為實際應用該標準提供指導。SSG-39[3]是SSR-2/1在儀控設計領域的下層標準，相應的，它對在儀控總體結構設計上如何滿足核電廠系統和儀控自身的縱深防御要求提供了指導。表1對3份技術文件中的相關技術要求進行詳細的梳理和分析。

表1　IAEA要求分析Table 1　IAEA requirement analysis

續表技術要點具體要求多樣化保護系統設計要求如果設置多樣化儀控系統,則多樣化系統在規格、設計、制造和維護上不應遭受與主保護系統同樣的錯誤;在概率分析中,安全重要系統只有滿足下列條件才能夠認為他們是充分獨立的:滿足多樣性,功能獨立性,電氣隔離,通信獨立性,環境鑒定,抗震鑒定,電磁兼容鑒定,物理分隔以及防御內部災害;一個普遍的共識是多樣化保護系統能夠有效緩解PIE疊加保護系統共因失效的后果。但在安全分級,使用數字化的多樣化保護系統作為數字化保護系統的后備,手動控制的應用等方面存在不同的方法和要求

1.2　西歐核監管聯合會技術要求

西歐核監管聯合會(WENRA)下屬的反應堆協調工作組(RHWG)于2013年發布技術報告《Safety of new NPP designs》[4]，闡明了西歐核電監管部門對于核電廠關鍵安全問題的技術見解，包括新建核電廠縱深防御設計方法，縱深防御層次之間的獨立性，多重失效應對措施等。表2對WENRA要求進行了分析。

表2　WENRA要求分析Table 2　WENRA requirement analysis

1.3　美國核管會技術要求

美國核管會(NRC)在其核電廠安全分析報告標準審查大綱NUREG0800中，通過BTP 7-19[5]，DI&C-ISG-02[6]闡明了其對于儀控系統縱深防御設計的技術要求。NRC對于儀控系統縱深防御層次的劃分與上述IAEA和WENRA要求略有不同，對于防止數字化主保護系統共模故障的設計要求則更加明確具體。詳見表3。

表3　NRC要求分析Table 3　NRC requirement analysis

1.4　小結

從上面的分析可以看出，各法規標準體系對于儀控系統縱深防御的要求略有差別，但基本要求還是一直的，綜合分析其要點如下：

1)在縱深防御第3b層次[4](或第4層次[1-2])中，考慮安全系統的多重共模失效的擴展工況，包括反應堆保護系統的多重共模失效。

2)各縱深防御層次系統之間應盡可能做到獨立，但考慮到與系統復雜性的平衡，可接受的做法是：控制系統與限值系統可以合并，反應堆緊急停堆系統與專設系統可以合并(反應堆保護系統)，反應堆保護系統與其他縱深防御層次系統獨立，嚴重事故儀控系統應獨立并使用獨立電源。上述標準中均沒有明確提出承擔3b層次工藝系統和設備的監控功能的儀控系統的獨立性要求，但提出儀控系統不能影響所監控的電廠縱深防御層次之間的獨立性。

3)IAEA-TECDOC-1791提出了對于儀表的獨立性和多樣性要求：包括用于監視和用于DBA/DEC-A自動保護儀表宜具有多樣性；堆芯融化事故盡可能采用專用儀表和獨立電源；對于保護系統自動保護和監視儀表宜監測不同的物理參數；在有足夠的冗余度，并且滿足隔離和獨立性的前提下，縱深防御層次1,2,3a的儀表可以共用；沒有明確要求RPS和DAS用儀表必須具有多樣性，但提出儀表的設置應盡可能不影響RPS和DAS之間的獨立性和多樣性。

4)設置多樣化保護系統成為公認的緩解反應堆保護系統共模故障疊加PIE的有效手段；多樣化保護系統采用的技術應與數字化保護系統有充分的多樣性；反應堆保護系統多重故障疊加PIE的分析范圍，接受準則與3a層次沒有區別，但可以采用偏不保守的分析方法，如最佳估算方法；一個普遍認可的共識是操縱員手動可以作為保護系統的多樣化后備，最嚴格的要求是在保護系統共模疊加PIE發生30 min后的操縱員手動才是可信的。

2 “華龍一號”儀控系統縱深防御設計

在“華龍一號”儀控設計中，一方面儀控系統針對不同的電廠工況和始發事件，提供正常運行監控，緊急停堆，專設安全設施驅動，嚴重事故預防緩解設施監控四個縱深防御層次的功能；另一方面，在儀控系統設計上，通過適當的功能分配，數字、模擬等不同技術措施的合理應用，充分的獨立性設計等手段，提高系統整體的可靠性，避免或限制單個或局部儀控系統故障對核電廠整體縱深防御屏障的影響。圖1給出了“華龍一號”儀控系統總體縱深防御結構的示意。

圖1　儀控系統縱深防御結構示意圖Fig.1　I&C system defense in depth structure

基于上述縱深防御的思想，儀控系統設計和設備選型考慮了下列多樣性原則：

1)多樣化的人機接口：以計算機化操縱員工作站站為主要人機接口手段，同時提供以常規技術為主的后備盤(BUP)，并與計算機化操縱員工作站采用完全獨立的信號傳輸路徑和接口方式；

2)多樣化的保護功能：在保護和安全監測系統內對針對同一始發事件的不同保護參數進行功能分組；在自動保護功能之外，通過緊急操作盤可實現系統級手動緊急停堆和專設驅動；

3)多樣化或獨立的處理系統：保護和安全監測系統、多樣化保護系統采用不同的控制平臺，避免共模故障；緊急操縱盤指令通過繼電器，固態電路等技術，旁通數字化主保護系統；

4)多樣化保護系統的設計滿足NUREG0800 BTP7-19的要求，采用D3分析的方法對安全分析報告15章的事故進行分析，執行保護系統失效30 min內需要的后備動作，30 min后依靠與保護系統多樣化的手動控制和監視設備繼續處理事故或將反應堆帶入安全停堆狀態；

5)設置專用的嚴重事故儀控系統，包括采集處理機柜、位于后備盤專門區域的監測控制設備；

6)對于優選模件，信號隔離分配模件采用盡可能簡單可靠的硬件電路技術，降低共模故障風險。

通過上述設計措施，能夠實現：

1)在正常運行工況下，通過非安全級操縱員工作站和控制系統能夠完成核電廠主要監控任務，在非安全級操縱員工作站不可用的情況下，通過后備盤可以維持電廠一段時間的穩定運行或將電廠帶入安全停堆狀態；

2)在發生預計始發事件或事故工況下，通過保護和安全監測系統自動動作將機組帶入安全停堆狀態；

3)在發生預計始發事件或事故同時保護和安全監測系統共模故障時，由多樣化保護系統提供事故后30 min內必須的自動保護功能將機組帶入安全停堆狀態，之后操縱員可以通過緊急操作臺，非安全級操縱員工作站等繼續處理事故；

4)在發生多重安全系統失效的工況下，如全廠失電，失去輔助給水，失去安全殼噴淋等，后備功能根據安全分級，供電要求等，分配在不同的儀控系統中處理。如二次側非能動余熱導出系統，安全殼熱量導出系統監控主要由嚴重事故儀控系統實現，應對全廠失電事故相關功能均分配到帶有SBO電源的儀控機柜中實現。

5)在發生全廠斷電后72 h內，部分監測和控制回路可以通過SBO柴油機供電持續運行，提供必要的監測控制功能；嚴重事故儀控系統可以通過蓄電池供電持續運行，提供嚴重事故監測和控制功能。

3　結論

根據前文的分析，“華龍一號”現有設計基本滿足國際上關于儀控系統縱深防御層次設置，以及獨立性和多樣性的要求，但在下列領域可以繼續優化：

1)進一步提高多樣化保護系統的獨立性：考慮設置與控制系統，主保護系統均采用不同平臺的多樣化保護系統。

2)進一步提供提高嚴重事故儀控系統的獨立性：在合理可行的前提下盡可能設置獨立的嚴重事故用測量儀表。

3)對于現場儀表，優選模件等多重縱深防御層次共用的設備，密切關注國際最新法規標準的要求，國際上良好的經驗反饋實踐，研究共因失效機理，采取適當的改進措施。

儀控系統設計應與核電廠整體縱深防御理念保持一致。但是儀控系統又存在著一定的特殊性，如：它跨越多個縱深防御層次，從人因設計的角度上應提供統一和一致的人機接口，系統之間存在著信號接口等。在強調縱深防御層次的獨立性和多樣性的同時，應考慮避免系統的過度復雜，考慮系統的投資成本，后續的可維護性。

在新的法規標準要求中對于核電廠整體縱深防御策略，各個層次的設計要求有比較詳細的闡述，但是對于儀控系統的要求比較籠統，各國要求也不盡相同，下面幾個問題需要在后續持續關注：

1)對于縱深防御層次3b或應對DEC-A工況的工藝系統，其監控系統的設計準則，獨立性要求應明確。

2)應明確設計中是否需要考慮控制系統與保護系統均共因失效的情況，此時的設計準則和接受準則。

3)對于儀表，優選模件等多個縱深防御層次共用設備的設計準則，應如何考慮共因故障。