张怀远

（上海核工程研究设计院有限公司，上海 200233）

CAP 非能动核电厂是我国在三代非能动技术引进消化吸收基础上，结合国内压水堆核电长期积累的研发、设计、建设和运行经验，依托国家重大科技专项，通过自主研发/设计形成的各功率水平的系列化非能动压水堆型号，典型代表如“国和一号”（CAP1400）。

安全分级方法是重要的核电厂总体设计准则，按照其所确定的构筑物、系统和部件（SSC）安全等级是物项设计、采购、制造、建造和运维的主要依据。CAP 非能动核电厂安全分级借鉴AP1000 安全分级方法，主要参考ANS51.1—1983“固定式压水堆电厂设计的核安全准则”[1]中的安全分级方法并结合非能动特性作适当修改。因为ANS51.1—1983 已废止，美国核学会发布ANS58.14—2011“轻水反应堆安全和压力完整性分级准则”[2]，用于替代ANS51.1 中的安全分级内容。基于上述背景，CAP 非能动核电厂（以CAP1400 为例）开展了ANS58.14 分级工作。

本文首先介绍ANS51.1—1983 的安全分级方法，分析其与CAP 非能动核电厂安全分级的差异；其次阐述ANS58.14—2011 的分级内容和要求，分析其与ANS51.1、IAEA SSG30 等安全分级方法的差异；在此基础上，给出CAP1400开展ANS58.14 分级的实施流程和分级结果。

1 ANS51.1 安全分级

ANS51.1 作为经典的压水堆核电厂总设计要求标准，对世界核电设计产生深远影响，其提出的安全分级方法被各国广泛参考。我国现行的安全分级导则及标准与ANS51.1 方法类似。

1.1 ANS51.1 安全分级方法

ANS51.1 安全分级采用确定论方法，将物项按具体执行功能划分为4 个级别：安全1 级（SC-1），安全2 级（SC-2），安全3 级（SC-3）和非安全级（NNS）。对于每一级别，基于工程设计实践经验，ANS51.1 以条目罗列方式给出适用功能。SC-1 级适用反应堆冷却剂承压边界（RCPB），其失效将导致反应堆冷却剂泄漏量超过正常补给能力。SC-2 级主要功能包括安全壳放射性物质包容、隔离，安全壳冷却或放射性物质去除，应急负反应性引入或通过压力边界设备限制正反应性的增加，反应堆堆芯应急冷却和余热导出，反应堆水装量维持等。SC-3 级主要功能包括乏燃料池冷却，主控制室可居留以及安全级设备执行安全功能所需的仪控、电气、冷却水、暖通等支持功能等。NNS 级中包含一个特殊子类，即有附加要求的非安全级，相关功能包括放射性废物处理和贮存，一回路净化，重要过程变量监测，放射性流出物监测等。

1.2 CAP 非能动核电厂安全分级与ANS51.1的主要差异

CAP 非能动核电厂安全分级[3]将物项划分为A 级、B 级、C 级、D 级和其他非安全级，其参考ANS51.1 但作了适当修改。ANS51.1 编制时间早，基于当时的核电技术特征，其安全分级适用对象为传统能动核电厂。CAP 非能动核电厂属于革新型机组，其安全分级与ANS51.1差异主要体现在：

（1） 非能动核电厂采用非能动安全系统执行设计基准内的安全功能，其不依赖泵、柴油机等能动设备以及交流电源、冷却水等支持系统。这部分系统设备在ANS51.1 中定为安全级，但在非能动核电厂中降为非安全级。

（2） 能动核电厂基于安全壳空间有限及运维方便等的考虑，将专设安全系统的泵、热交换器等设备布置在壳外（见图1）。这使得事故工况下这些系统设备在执行安全功能时需贯穿安全壳以完成流体输运，从而使其间接成为安全壳压力边界的一部分。因此ANS51.1 将安全壳冷却和堆芯冷却等功能定为安全2 级。CAP非能动核电厂将堆芯冷却系统布置在壳内、非能动安全壳冷却系统布置在壳外（见图2），在事故缓解过程中无需贯穿安全壳，因此可考虑将堆芯冷却和安全壳冷却等相关功能和设备降为安全3 级。

2 ANS58.14 分级

美国核学会将ANS51.1—1983 废止后，发布了ANS58.14—2011“轻水反应堆安全和压力完整性分级准则”，用于替代ANS51.1 中的安全分级内容。

2.1 ANS58.14 安全分级和压力完整性分级

ANS58.14 分级包含安全分级和压力完整性分级方法两部分内容。

物项的安全分级基于所执行的安全功能和其他功能，分为安全级（Q）、附加要求非安全级（A）、非安全级（N）。其中安全功能基于电厂设计基准事件（DBE）所确定，提供或支持完成任意一项或多项安全功能所必要且充分的物项划分为安全级。用于满足特殊事件、执照要求或安审承诺的物项划分为附加要求非安全级。整个安全分级过程始于电厂DBE，依次延伸至安全功能识别，系统、设备、部件和零件分级。

同时ANS58.14 针对承压物项专门定义了压力完整性分级，基于物项所承担的压力边界功能，将物项划分为C-1、C-2、C-3、C-4 和C-5。C-1 适用于一回路压力边界，C-2 主要适用于安全壳压力边界，C-3 适用于其他Q 级承压物项，C-4 适用于A 级承压物项，C-5 对应N级承压物项。压力完整性分级的目的是为承压物项选用设计规范（如ASME B&PVC 第Ⅲ卷）提供依据。

此外ANS58.14 给出了各级别物项的基本设计要求，其与目前核电设计实践一致，具体如表1 所示。

表1 ANS58.14 基本设计要求Table 1 The basic design requirements of ANS58.14

2.2 ANS58.14 与ANS51.1 安全分级的主要差异

ANS58.14 由ANS51.1 安全分级发展而来，两者均属于确定论安全分级的范畴，但存在明显差异：

（1） ANS58.14 分级包括安全分级和压力完整性分级两部分内容。其中ANS58.14 安全分级要求基于设计基准事件演绎形成安全功能进而开展SSC 分级，相比于ANS51.1 规定条目式的安全功能罗列，增加了安全分级的逻辑性和操作空间，提高了标准对不同堆型的适用性。同时ANS58.14 给出压力完整性分级，其目的是用于指导承压设备选用规范标准，以满足如NRC RG1.26 等管理导则要求，匹配现行核电行业实践，是安全分级的补充。

（2） ANS58.14 体现了当今核电的发展成果，如商品级物项转化和非能动核电厂特性。非能动设计作为当前堆型研发的重要技术路线，为不少新研发堆型（如NuScale、SMR-160）所采用，ANS58.14 分级体现了非能动核电厂的设计特性，如：

（1） 对于执行堆芯冷却、安全壳冷却等的专设安全系统设备，明确仅当位于安全壳外且执行功能时需贯穿安全壳的情况才被要求划分为C-2，从而避免本文第1.2（2）节所述差异。

（2） 考虑非能动核电厂特有的RTNSS（非安全级系统监管要求）功能，并将其纳入附加要求非安全级。

2.3 ANS58.14 与IAEA SSG30 的主要差异

2014 年，IAEA 发布了SSG30“核电厂构筑物、系统和部件安全分级”[4]。IAEA SSG30安全分级准则以假设始发事件清单作为起点，在识别安全功能之后开展具体的物项分级工作。由事件清单演绎安全功能的做法与ANS58.14 类似，但两者对于安全功能的处理理念和方式存在着明显差异。

IAEA SSG30 强调安全功能重要性的差异，将用于预计运行事件、设计基准事故和设计扩展工况涉及的安全功能按功能投运频率、事故后投运时间以及该功能失效导致的后果严重程度，划分为安全1 级、安全2 级和安全3 级。

ANS58.14 则有不同的处理方式：对于预计运行事件和设计基准事故，考虑侧重纵深防御体系的均衡，认为各种事故预防和/或缓解功能同等重要，既不强调某些安全功能高于其他安全功能，也不强调单一元素（如事故预防）或屏障（如安全壳）而排除其他方面，因此对安全功能等级不做进一步划分。对于设计扩展工况，如全厂断电（SBO）、未能紧急停堆的预期瞬态（ATWS），ANS58.14 考虑纳入附加要求非安全级范围。

表 2 给出两个标准在安全功能分级原则上的差异对照。IAEA SSG30 分级理念先进，分级规则考虑细致，但相对复杂的分级逻辑提高了操作难度。此外IAEA SSG30 安全1、2、3 级的定义与传统安全分级存在差异，若严格按其实施会带来部分物项安全级别的调整，同时可能导致物项安全级别与规范等级不对应的情况，例如安全1 级物项可能会对应到ASME NC或ND 分卷[5]，与目前核电实践经验产生偏差。相较而言，ANS58.14 在安全分级操作上简洁易行，同时其在安全分级基础上辅以压力完整性分级，匹配现有工程实践，实现与现行核电行业体系的有效衔接。

表2 SSG30 与ANS58.14 安全功能分级差异Table 2 Difference of the safety function classification between SSG30 and ANS58.14

3 CAP非能动核电厂ANS58.14安全分级实践

参照ANS58.14—2011，CAP 非能动核电厂（以CAP1400 为实施对象）开展了重新分级。分级实施过程包括设计基准事件梳理、安全功能识别、物项安全分级和压力完整性分级等流程。分级结果表明现有CAP1400 安全分级能够满足ANS58.14—2011 要求。

3.1 设计基准事件梳理

设计基准事件（DBE）包括预期运行事件、设计基准事故、外部人为事件和自然现象。在设计基准事件下应确保核电厂完成如下基本安全功能：

（1）反应堆冷却剂压力边界完整性；

（2）反应堆停堆并维持安全停堆状态；

（3）预防或缓解事故后放射性后果。1）预期运行事件和设计基准事故

核电厂事故分析将事故/事件按照发生频率划分为工况Ⅰ、工况Ⅱ、工况Ⅲ和工况Ⅳ四类工况，其中工况Ⅱ对应预期运行事件，工况Ⅲ和Ⅳ对应设计基准事故，具体如表 3所示。

表3 工况对应关系Table 3 Corresponding relation of working conditions

2）外部人为事件

对于外部人为事件，一般考虑外部工业设施对核电厂造成的潜在影响。其中，外部工业设施包括制造厂、化工厂、炼油厂、化学品仓库、油气管线、采矿场、军事基地、运行路线（水陆空）、码头、机场等；导致的

潜在事件包括爆炸、着火、易燃易爆或有毒或腐蚀性或放射性气云的释放、飞机坠毁、地面塌陷等。通过对工业设施位置、路线和事件频率等因素进行筛选，确定构成设计基准事件的外部人为事件。对于核电厂设计，通过厂址筛选和规划限制等手段，避免外部人为事件成为设计基准事件。

3）自然现象

考虑的自然现象包括地震、外部洪水、极端气象（极端高温、极端低温、降雨、降雪、冰等）。这些对核电厂安全运行可能造成严重后果的自然现象纳入核电厂设计基准进行考虑，选取极端自然现象的相关参数作为设计输入开展核电厂设计，确保相关SSC 在极端自然事件下执行相应安全功能。

3.2 安全功能识别

基于各设计基准事件下电厂基本安全功能的实现需求演绎出电厂级安全功能，主要包括六大关键功能（堆芯次临界、RCS 完整性、RCS热导出、RCS 装量控制、安全壳完整性和热阱）、乏燃料热导出以及相关支持功能等。由电厂级安全功能继续演绎得到系统级安全功能、子系统级安全功能，进而开展物项的安全分级。表4给出了CAP 非能动核电厂主要的系统级安全功能。

表4 主要的系统级安全功能Table 4 Main system-level safety functions

3.3 具体物项分级

以核电厂系统作为单元，按照系统承担功能要求和分级接口准则，开展系统的安全分级和压力完整性分级，主要流程如下：

（1） 安全分级

1） 按照设备承担的具体功能，确定安全级设备。

2） 参考ANS58.14 第4.6.1 节准则确定附加要求非安全级设备。

3） 其余设备划入非安全级。

4） 对识别出的安全级设备开展零部件细化分级。

（2） 压力完整性分级

1） 针对安全级设备部件中承压物项：

① 参照ANS58.14 第5.1.1 节准则确定C-1设备部件。

② 参照ANS58.14 第5.1.2 节准则确定C-2设备部件。

③ 参照ANS58.14 第5.1.3 节准则确定C-3设备部件。

2） 针对附加要求非安全级设备部件中承压物项：

参照ANS58.14 第5.1.4 节准则确定C-4 设备部件。

3） 其余承压物项划入C-5 设备部件。

3.4 分级结果

按照上述流程，CAP1400 核电厂实施了ANS58.14 安全分级和压力完整性分级工作。分级结果表明，CAP1400 原有安全分级与ANS58.14-2011 分级基本满足对应关系（见表5），CAP1400 物项设计也符合ANS58.14 给出的基本设计要求（见表1）。对于不满足表5 的个别例外物项（存在于附加要求非安全级），CAP1400 通过提高其质量保证等级等方式对该物项进行强化，最终使得现有CAP1400 设计符合ANS58.14-2011 要求。此外，因为CAP1400安全分级与ANS58.14 分级存在此种对应关系，为保持原有设计文件体系一致性，CAP1400 原分级符号维持不变。CAP1400 开展的ANS58.14分级工作和结论在其初步安全分析报告审评过程中得到了审评机构的认可。

表5 分级对照表Table 5 Comparison of classification

4 结论

基于 ANS51.1—1983 安全分级方法由ANS58.14—2011 所替代这一背景，CAP 非能动核电厂（以CAP1400 为例）开展了ANS58.14分级工作，分级结果表明现有CAP1400 设计符合ANS58.14—2011 要求。

此外，本文分析探讨了 ANS58.14—2011与ANS51.1—1983、IAEA SSG30 等安全分级方法的理念和差异，认为安全功能演绎法是目前核电厂安全分级的发展趋势，相比安全功能罗列法更具有普适性，建议在充分考虑安全分级方法与现有核电体系兼容的基础上，应用于我国安全分级相关导则和标准的后续修订。