基于風險指引理論的核電站運行風險監測與預警系統平臺

戈道川，王金凱，張 冰，郭丁情，林 堅，王 明，雍 諾，夏冬琴，汪建業，郁 杰

（1.中國科學院合肥物質科學研究院核能安全技術研究所，安徽合肥 230031；2.中廣核工程有限公司，廣東深圳 518000）

0 引言

截至2021年12月底，我國在運反應堆個數為53個，凈總發電量為50 034 MWe，占全國累計發電量的5%。在建核電機組16個，在建裝機容量15 967 MWe，在建規模居世界第一，我國核電領域進入快速發展的新階段［1］。安全是核電健康發展的前提，隨著概率安全評價（Probabilistic Safety Assessment，PSA）技術的發展，核電站的安全性與經濟性得到了極大提升。PSA 是20 世紀70 年代發展起來的一種系統工程分析方法，其采用基于故障樹與事件樹的系統可靠性評價技術和概率風險分析方法，對復雜系統各種可能事故的發生和發展過程進行全面分析，并對事故發生概率和后果進行綜合分析［2］。核電站的安全管理方式正朝著確定論與概率論相結合的“風險指引”核安全監管法規體制過渡。基于風險指引理論的核電站安全管理利用概率論的系統性和全面性以消除確定論分析方法的假設性、保守性等缺點，最終達到科學決策的目的。風險指引技術是指將風險分析結果與管理規范的其它因素（如確定論分析、安全裕量、專家判斷等）進行綜合考慮，使電站根據核安全和輻射防護的重要程度來考慮設計與運行問題的方法及技術。風險指引技術涵蓋內容非常廣泛，目前主要涉及的有：風險指引型設計、風險指引型維修、風險指引型在役檢查、風險指引型試驗、風險指引型管理規范等。核電站風險監測器（Risk Monitor，RM）是PSA 應用于核電站運營安全管理最基礎、直接、有效的方法，并在全世界得到了廣泛應用［3-4］。風險監測器是一種實時風險分析工具，可便于電廠人員及時掌握機組風險信息，確定風險所在，明確風險來源，從而有的放矢地對機組進行風險管理，確保電廠風險處于可知、可控的狀態，不僅對提高核電廠的安全性具有重要意義，而且對更有效地分配人力物力，以及減少核電廠不必要的負擔、提高經濟性也是非常有益的。當前，核電站風險監測器應用數量不斷增長，其所起到的積極作用已得到大多數核電國家監管部門以及核電業主的認可。美國核管會已出臺多個概率安全評價相關聲明，并制定風險指引管理規定，幾乎所有核電站都在用RM 進行風險評價。近年來國內核安全監管部門對核電站風險在線監測技術進行了大力推廣。2018 年5 月，發改委、能源局、生態環境部、國防科工局聯合發布《關于進一步加強核電運行安全管理的指導意見》，提出“加強關鍵設備運行安全狀態監測，開展核電站動態風險評價，提高核電站運行安全保障能力”的相關要求［5］。當前，我國擁有完全自主知識產權的核電站運行風險監測與預警系統平臺較少。在此背景下，本文提出一種核電站運行風險監測與預警方法，并開發了相應系統平臺。

1 國內外研究現狀

在國內，風險監測器已成為核電運行風險管理必不可少的工具，并獲得了廣泛應用，如秦山第二核電站的秦山二期1 號、2 號及擴建的3 號、4 號機組。其使用的RM 系統主要由風險模型、計算引擎和信息顯示及處理三大部分構成。基準風險模型是利用瑞典Relcon Scandpower AB 公司研發的RiskSpectrum 軟件建立的，用于在線風險監測的RM 軟件同樣采用該公司開發的Risk Watcher［6］。目前國內擁有完全自主知識產權的風險監測軟件較少，大部分RM 直接采用國外的軟件，或者基于國外的計算引擎進行二次開發。

在國外，英國是最早進行風險監測器研發的國家［7］。自1986 年起，風險監測器系統就在英國的Heysham2 和Torness 核電站投入運營。1999 年，兩座核電站的PSA 模型升級為2 級，并采用ESOP2000 的Risk Monitor 程序對1級和2 級PSA 模型進行計算。英國Sizewell B 核電站當前采用瑞典Relcon Scandpower 公司開發的Risk Watcher 軟件進行風險管理工作。風險監測器系統在美國應用最為廣泛，尤其新版10CFR50.65 中所增加的條款明確要求各核電站必須對維修活動進行定性/定量的風險評價。為滿足該要求，目前美國幾乎所有核電站均使用了風險監測器系統，使用的軟件包有Safety MonitorTM、EOOSTM、Risk and Reliability Workstation 等。匈牙利核電站普遍使用PSA 工具，但現有并沒有使用RM，也沒有監管方要求其開發和使用RM。匈牙利原子能機構（HAEA）的核能安全理事會在使用一款類似于PSA 的工具，稱為Risk Supervisor，其已常規性地應用于事件評估中，目的在于確定事件調查技術及提供更多的確定事件風險特征詳細解釋。瑞士聯邦核安全監管當局（HSK）鼓勵各持證核電業主開發RM，但并不作強制性要求。很多電站都在使用LPSA（Living PSA）模型，但沒有電站使用RM。然而，由于PSA 對于瑞士監管機構來說越來越重要，將來有可能使用RM。在日本，核安全委員會沒有要求核電站開發和使用RM，也沒有制定相關導則。其管理準則是在運行期間嚴禁維修活動，所有安全相關系統的預防維修活動都需要在停堆期間進行。目前法國核監管當局尚無對風險監測器使用的強制性規定，其目標是有一個足夠完整而詳細的技術規范，使電站配置不會進入高風險狀態。

總體而言，風險監測器在核電主流國家得到了廣泛應用。盡管少數國家目前沒有強制性的使用要求，考慮到RM 對核電站運行安全管理日益重要，風險監測器的應用已成為未來核電運行風險管理的必然趨勢。

2 系統平臺設計開發

2.1 框架設計

在系統平臺結構框架設計上，選擇基于Java 的J2EE框架和平臺。J2EE 能夠提供分層的分布式應用模型、MVC 交互模式、組件重用、一致化的安全模型以及靈活的事務控制策略。同時提供一組基于組件的方法，用于設計、開發、裝配及部署企業應用程序。這種成體系的框架式設計方法具有以下優點：①模塊分工明確，便于團隊合作研發；②層間接口明確、獨立性強，便于修改完善；③系統后期功能可拓展性強。

此外，在分布式的Web 應用系統中選擇B/S 結構。B/S結構相較于C/S 結構具有以下優點：①系統部署與維護容易；②大批量客戶端的軟件升級成本相對較低；③不同開發工具及運行平臺之間兼容性好。B/S 結構將Web 應用分為3 層：客戶層（Client Tier，CT）、中間層（Middle Tier，MT）和企業信息系統層（Enterprise Information System Tier，EIST）。其中，MT 又可細分為：表現層、業務層、數據持久層。

風險監測器B/S結構如圖1所示。

Fig.1 B/S architecture of risk monitor圖1 風險監測器B/S結構

2.2 功能模塊設計

根據當前國際上風險監測器的主要功能以及我國核電業主的實際需要，設計風險監測器系統平臺的主要功能模塊，包括：核電站狀態配置模塊、接口模塊、在線風險計算模塊、維修計劃風險計算模塊、界面圖形化展示模塊以及權限管理模塊。核電站狀態配置模塊的功能是用戶設置電站的運行模式、環境改變因子、出/復役設備、運行/備用系統/部件切換狀態等；接口模塊的功能是實現風險監測器與企業數據庫以及各功能模塊之間數據的正確傳輸與接收；在線風險計算模塊的功能是實現核電站實時風險計算，并結合風險管理限值給出電站運行安全預警狀態；維修計劃風險計算模塊的功能是給出核電站維修計劃的風險，并對各種風險進行橫向對比；界面圖形化展示模塊的功能是將計算結果以圖或表格的形式進行展示，便于用戶理解和使用；權限管理模塊的功能是對軟件各模塊的使用權限進行管理，支持對不同層級的用戶進行權限分配。風險監測器主要功能模塊如圖2 所示，各模塊之間的調用關系如圖3所示。

Fig.2 Primary function modules of risk monitor圖2 風險監測器主要功能模塊

Fig.3 Call relation between primary function modules圖3 主要功能模塊之間調用關系

2.3 關鍵技術與算法

2.3.1 快速分析技術

核電站風險監測器要求風險模型具備快速分析能力，雖然當前業內對計算時間沒有嚴格限制，但是一般要求在5min 以內［7-8］。因此，開發人員研發了大型故障樹的快速分析技術，采用邏輯重構和模塊化技術實現對故障樹規模的簡化，達到快速計算最小割集的目的。在此基礎上，系統平臺提供兩種快速定量分析技術：割集法和重解法。

（1）割集法。該方法首先采用下行法預先求解故障樹的最小割集，然后在此基礎上計算每一個最小割集發生的概率，再對所有發生概率進行求和，實現對核電站風險的快速計算。但該方法的一個缺點是由于采用概率截斷策略，并不能保證核電站所有配置狀態下的最小割集都存在，導致計算結果存在一定偏差。例如，某些被截斷的最小割集由于其蘊含的某個或某些設備因退出服役而導致該最小割集發生概率陡然增加，而這些新增加的概率風險往往不能忽略。

（2）重解法。該方法顧名思義就是重新計算核電站風險模型，其優點是能夠保證計算精度的要求，缺點是計算耗時長。在實際工程應用中，為了實現實時性和計算精度要求，往往采用割集法與重解法相結合的方法。首先采用一個較大的截斷概率計算核電站風險模型的最小割集，然后將計算結果與預先求解的割集進行比較。如果發現有新的割集產生，則將其添加到預先求解的割集中。

2.3.2 共因降階技術

冗余系統的可靠性往往受共因失效（Common Cause Failure，CCF）事件的影響，CCF 是核電站風險模型中必須要考慮的因素。針對冗余部件的數量變化，即退出服役部件數量對剩余部件失效概率的影響，系統平臺采用的冗余系統可靠性建模策略為：把冗余部件對應的基本事件、共因失效事件都更改成獨立的動態事件。經過此處理后，這些動態事件在風險監測器模型數據庫中將具有多個不同的可靠性值，可依據實際退出服役部件數量選擇相應的值，這種處理方法稱為共因降階技術。

以一個含有4 個部件A、B、C、D 的冗余系統為例進行說明，導致部件A 失效的所有事件組合AT，即構成部件A總不可用度的事件組合可表示為：

式中，EA是故障樹模型中的基本事件，代表部件A 的獨立失效部分；EAB表示與A 相關的一個CCF 事件，代表部件A 與B 且僅限于此2 個部件的CCF，其它情況依此類推。部件A 所在故障樹模型如圖4所示。

Fig.4 Fault tree model of component A圖4 部件A所在故障樹模型

假設在核電站某個運行時刻，部件D 由于定期實驗或預防性維修等原因需要退出服役，此時部件A 總不可用度涉及的事件以及事件失效概率將會有所變化。AT相應地變為：

因此，式中EA、EAB、EAC、EABC的不可用度需要采用實際在役部件即A、B、C 3 個部件組成的共因失效模型進行計算，而不能采用原來4 個部件組成的共因失效模型進行計算，才能保證部件A 的總不可用度是正確的，如圖5所示。

Fig.5 Fault tree model of component A after D out of service圖5 部件D退出服役后A所在故障樹模型

除需要在故障樹模型中把ED設置為TRUE 來表征部件D 的停役外，還需要把EAD、EBD、ECD、EABD、EACD、EBCD、EABCD都設置為FALSE，代表這些共因失效事件不會發生。

3 軟件平臺集成測試

系統平臺集成測試案例的選取原則是能夠覆蓋軟件平臺的所有功能，并能體現平臺的總體計算性能。因此，選擇的案例需覆蓋核電站主要的緩解系統（安注、超壓保護、二次側排熱等）和支持系統（冷卻系統和電氣系統）。風險模型覆蓋5 種運行模式：①功率運行工況到壓力大于130bar（POS_A）、SG 連接的雙相中間停堆工況（POS_B）；②蒸汽發生器（SG）連接的停堆工況（POS_C）；③余熱排出（RHR）連接的停堆工況（POS_D）；④維修冷停堆；⑤反應堆冷卻劑系統（RCP）中間水位的維修冷停堆（POS_G）。分析對象為核電站堆芯損傷頻率（Core Damage Frequency，CDF）風險模型，一方面，核電站模型規模需要足夠大（邏輯門約8 000 個，基本事件約2 000 個），能夠體現計算引擎的求解性能；另一方面，通過組態配置可對所有功能點進行測試。選擇11 組測試案例（見表1），并將計算結果與RiskSpectrum（RS）軟件進行對比分析。

圖6 給出了在截斷概率為10-14、10-15時系統平臺采用重解法的在線計算精度，其中相對誤差εr=［（軟件平臺計算值-RS 計算值）/RS 計算值］×100%。從圖中可以看出，計算結果與RS軟件基本一致。

圖7給出了系統平臺在兩種截斷概率下的計算時間。從圖中可以看出，當截斷概率為10-15時，計算時間均在5min以內；當截斷概率為10-14時，計算時間均在2min以內。此外，完成了對系統平臺所有功能點的測試。測試結果表明，研發的核電站運行風險與預警監測系統平臺實現了既定功能，計算精度與RiskSpectrum軟件相當，計算效率滿足設計要求。

Table 1 Explanations of test cases表1 測試案例說明

Fig.6 Computational accuracy圖6 計算精度

Fig.7 Computing time圖7 計算時間

4 結語

根據當前國際上主流風險監測器的主要功能以及我國核電業主的實際需要，提出一種基于風險指引理論的核電站運行風險監測與預警系統平臺框架，并開發了相應的系統平臺。經過Verification and Validation（V&V）測試，結果表明，研發的核電站運行風險監測與預警系統平臺實現了既定功能，計算時間與RiskSpectrum 軟件相當。該系統平臺具有完全自主知識產權，可以替代國際同類軟件，對于提高我國核電站運行風險管控水平具有重要的現實意義。