王 飞，王志文，张 冰

（中广核工程有限公司核电安全监控技术与装备国家重点实验室，广东 深圳518124）

核电厂中通风系统是重要的支持系统，由于通风系统分布式的布置特征，其对核电厂系统和设备的影响是大范围的，且重要通风系统的丧失可能导致始发事件发生，也可能影响缓解系统的功能。比如，电气设备房间通风系统丧失将影响配电盘的正常运行，而配电盘的故障将进一步影响工艺系统的功能；蓄电池房间通风系统丧失，此时蓄电池如处于充电状态，该房间内的氢气将逐渐聚集，可能引起内部爆炸。因此，丧失通风系统对核电厂安全的威胁是不容忽视的[1]。

根据国外的工程经验反馈，丧失通风系统的风险较高。比如，欧洲压水堆（EPR）作为三代核电机组，已经将丧失通风系统作为始发事件开展分析，分析结果表明丧失通风系统对于核电厂风险的贡献较大，约占内部事件一级概率安全分析（PSA）堆芯损坏频率的25%[2]。但国内开展丧失通风系统的相关研究较少，由于通风系统是支持系统，未引起足够的重视，目前尚缺乏丧失通风系统风险评估的系统化分析。

Dong-Soo Song 开展了核电厂丧失通风系统后安全相关设备所在房间的温升研究[3]，以验证安全相关设备在丧失通风系统情况下是否能够执行其功能。这个研究只是丧失通风系统风险分析所需研究的技术要素之一。

国内陈彦竹等人开展了核电厂通风系统概率安全评价方法研究[2]，侧重于从始发事件和事故缓解两个角度对通风系统PSA 进行模化。张江红等人开展了核电厂通风系统防火阀应用现状及维修优化分析研究[4]，主要采用故障模式及影响分析方法对不同防火阀故障机理和维修策略优先进行研究。这个研究目的是有效降低防火阀故障率。洪亭国等人开展了不同工况下核电厂上充泵房通风系统的设计与安全评价研究[5]，主要是研究不同工况下上充泵房通风系统的设计。

因此，基于以上国内外调研和工程实践，本文开发了一套适用于核电厂丧失通风系统的PSA 分析方法，并基于某核电厂开展系统性的丧失通风系统风险分析。本文的分析主要从核电厂完整的通风系统清单开始，对每个通风系统进行筛选分析，识别出对核电厂运行和事故缓解有影响的通风系统，并对这些系统开展包络影响分析以及房间温升模拟，构建丧失通风系统的PSA 模型，开展丧失通风系统的风险量化分析。通过对丧失通风系统的风险分析，能够为核电厂通风系统设计及优化提供指引，进一步提升核电机组的安全水平。

1 方法概述

本文参照 ASME/ANS RA-Sb—2013[6]和IAEA SSG-3[7]中PSA 技术要素分析相关要求，以及工程实践，总结形成丧失通风系统PSA 分析的方法流程（见图1）。

丧失通风系统PSA 的风险分析适用于通风系统设备随机故障或人员失误导致的丧失通风系统的堆芯损坏风险分析。

本方法从收集核电厂通风系统清单开始，通过对通风系统清单的筛选，识别出安全重要通风系统清单，进而梳理受丧失安全重要通风系统影响的区域及设备清单，并开展包络分析、设备所在房间在丧失通风系统后的温升模拟，判断房间内设备是否失效，进而开展丧失通风系统的后果分析，构建丧失通风系统PSA 模型，并开展丧失通风系统的风险量化分析。

2 方法应用

本文基于某核电厂开展丧失通风系统PSA的相关分析。

2.1 收集通风系统清单

根据核电厂系统子项清单，收集核电厂所有的通风系统并形成清单。

2.2 识别安全重要通风系统清单

由于有些通风系统的失效并不会对核电厂的安全带来挑战，因此需对已收集的通风系统清单进行筛选分析，筛除其丧失不会对核电厂安全带来挑战的通风系统，保留可能对核电厂安全造成影响的通风系统，最终得到安全重要通风系统清单。

在对已收集的通风系统清单进行筛选分析前，需建立合理的通风系统筛选准则。基于通风系统设计特点和相关的工程经验，形成通风系统的筛选准则，通风系统只要满足以下准则之一即可被筛除，筛选准则如下：

（1）该通风系统所支持的任何系统均不在PSA 分析考虑的范围之内；

（2）该通风系统所支持的系统故障不会引起始发事件并且不影响事故缓解。

根据以上筛选准则，所保留下来的通风系统即为安全重要通风系统，这些系统失效的影响将作进一步分析。

表1 提供了通风系统的筛选分析示例。

表1 通风系统筛选分析示例Table 1 Example for the screening analysis of the HVAC system

2.3 梳理受丧失安全重要通风系统影响的区域

基于安全重要通风系统清单，需对这些系统的影响区域进行梳理，得到受安全重要通风系统影响的房间信息。

根据受丧失安全重要通风系统影响的区域是否相同，梳理过程中以通风系统的列、或者子列、或者就地冷却机组为单位，梳理这些列、或子列、或就地冷却机组丧失影响的房间信息，最终可得到安全重要通风系统丧失所有列、或所有子列、或所有就地冷却机组影响的房间信息。

表 2 提供了安全厂房非控制区通风系统（DVL）丧失A 列通风冷却功能影响的区域。

表2 DVL A 列的影响区域示例Table 2 Example for the impact area of DVL train A

2.4 识别受丧失安全重要通风系统影响的设备清单

在获得受丧失安全重要通风系统影响的房间后，需进一步对房间内的设备进行识别和筛选，得到丧失安全重要通风系统后受影响的设备清单。

由于有些设备的功能不会受到丧失通风系统的影响，如非能动设备等，因此需对这些设备进行筛选，如设备满足以下任一筛选准则，则这些设备可被筛除。详细的筛选准则如下：

（1）该设备不需要在PSA 分析中考虑；

（2）该设备故障不会引起始发事件并且不影响事故缓解；

（3）该设备可以在丧失通风系统支持的情况下运行超过 24 h。该时间与内部事件一级PSA 的任务时间保持一致。

表 3 提供了受丧失安全重要通风系统DVL（A 列）影响的房间BSA2822ZRE 中的设备示例。

表3 丧失安全重要通风系统影响的设备示例Table 3 Example for impacted components due to the loss of the HVAC system important to safety

2.5 包络分析丧失安全重要通风系统的影响

基于以上步骤识别出的受安全重要通风系统影响的设备清单，采用包络分析认为这些受影响的设备均失效，并分析这些设备失效后的后果。如果采用包络分析的结果中丧失通风系统的风险后果对内部事件一级PSA 堆芯损坏频率贡献突出，为降低分析过程的保守性，需评估丧失安全重要通风系统后房间的温度变化以及判断是否引起房间内设备失效。详见节2.10。

2.6 评估丧失安全重要通风系统后房间的温度变化

通过详细分析丧失安全重要通风系统后房间温度的变化，判断丧失安全重要通风系统后房间内的设备是否失效，得到丧失安全重要通风系统后导致的设备失效清单。

该步骤采用已成熟应用的商用模拟分析软件FLUENT 进行房间温度场的模拟分析，选取有代表性的房间作为模拟分析的对象，适当简化模型与边界条件，最终得到分析结果。通常评估房间温度变化的时间范围应大于 24 h，具体的时间范围需结合实际情况进行确定。

通常丧失通风系统后，房间内的气流流动的动力为温度差引起的自然对流，流体状态为湍流，可采用FLUENT 中集成的k-e湍流模型，空气可采用Boussines 假设。此时，墙体的蓄热对结果的影响很可观，因此应建立墙体模型，使用气固耦合边界条件，引入墙体对室内温度的影响。

图2 提供了FLUENT 软件模拟丧失DVL系统A 列后BSA2822ZRE 房间的温升曲线。该房间的设备主要是配电盘和变压器。

从图2 可以看出，丧失DVL 系统A 列后BSA2822ZRE 房间的平均温度会迅速上升，达到45 ℃后温度上升过程趋于平缓，房间温度在 24 h 内达到并超过50 ℃，随后房间温度进一步上升并继续减缓，房间温度在80 h 内达到并超过 60 ℃，后续房间温度慢慢趋于平衡，在计算的终止时刻130 h 房间温度大约在64 ℃。

通过该步骤的执行，能够得到丧失通风系统后房间内的温升情况，该结果作为后续判断房间内设备是否失效的依据。

2.7 判断受丧失安全重要通风系统影响的设备是否失效

在得到丧失通风系统房间的温升曲线后，需判断在一定时间内房间内设备是否失效。该步骤主要将房间内设备的耐受温度（TR）（设备能够维持其功能的最高温度）与房间内的温度进行比较。如果一定时间内房间内的温度低于设备的耐受温度，则认为设备不会失效。如果一定时间内房间内的温度超过设备的耐受温度则认为设备将失效。

关于设备耐受温度的确定，优先参考设备的采购技术规格书或设备的运行维护手册等资料。在条件不具备时，可参考使用通风系统事故工况下房间设计最高温度或具体设备的最高设计温度。

房间内设备是否失效的详细判断过程如下：

（1）如果24 h 内设备的耐受温度TR＞房间内最高温度，认为设备不会失效；

（2）在正常运行工况下，如果24 h 内设备的耐受温度TR≤房间内最高温度，则认为丧失通风系统会导致设备失效，需要进一步分析失效的设备是否会导致始发事件；

（3）在事故工况下，如果24 h 内设备的耐受温度TR≤房间内最高温度，则认为事故工况下丧失通风系统会导致设备失效，将在用户系统故障树中进行模化。

基于以上的判断分析，可以获得丧失安全重要通风系统后失效设备的清单。其中选取的24 h 与内部事件一级PSA 的任务时间保持一致。

表4 提供了丧失DVL 系统A 列后BSA2822 ZRE 房间内设备是否失效的判断过程。表中设备的耐受温度保守采用房间设计的最高温度（50 ℃），实际具体设备的最高设计温度应高于房间的设计最高温度，房间最高温度基于图1的温度曲线，得到24 h 内房间温度达到并超过50 ℃。

表4 BSA2822ZRE 房间内设备失效判断示例Table 4 Example for the failure analysis of components in room BSA2822ZRE

2.8 获得丧失安全重要通风系统导致的设备失效清单

该步骤得到丧失通风系统导致的设备失效的设备清单。表5 给出了丧失DVL 系统A 列后BSA2822ZRE 房间内设备失效的清单。

表5 BSA2822ZRE 房间设备失效清单示例Table 5 Example for the list of failure components in room BSA2822ZRE

2.9 丧失安全重要通风系统的后果分析

基于识别出的丧失安全重要通风系统导致的设备失效的设备清单，分析这些设备失效的后果，其后果可能引起始发事件，也可能影响用户系统的功能。

基于以上受丧失安全重要通风系统影响的设备失效清单，开展丧失通风系统的后果分析，采用的分析方法主要是故障模式与影响分析，以及对比通风系统以及其用户系统的运行技术规范要求，综合判断丧失通风系统的后果。故障模式与影响分析用来定性分析受丧失安全重要通风系统影响的设备失效的后果；对比通风系统及其用户系统的运行技术规范要求用来判断丧失安全重要通风系统是否引起手动停堆。经过后果分析，如果丧失通风系统的后果满足丧失通风系统的始发事件定义（正常运行工况下），需进一步评估其后果；如果丧失通风系统的后果不满足丧失通风系统的始发事件定义，只影响用户系统的功能（事故工况下），需在用户系统的故障树中进行考虑。

在正常运行工况下，如果丧失通风系统引起用户设备失效，其后果具有如下特征则该事件被定义为丧失通风系统始发事件：

（1）挑战反应堆的安全功能；

（2）导致反应堆紧急停堆或需要手动停堆；

（3）造成前沿系统的列或整个前沿系统失效。这些前沿系统通常用于响应紧急停堆或手动停堆，提供事故缓解功能。

表6 给出了BSA2822ZRE 房间内配电盘失效的后果分析，分析了单列DVL 系统失效，以及多列DVL 系统失效造成的后果分析。

表6 BSA2822ZRE 房间内设备失效后果分析示例Table 6 Example for the consequence analysis of failure components in room BSA2822ZRE

在开展房间内失效设备的后果分析后，单列DVL 系统失效可能引起机组瞬态；多列DVL系统失效可能引起机组瞬态和丧失冷链。其中多列DVL 系统失效导致瞬态和丧失冷链，建模过程中，选取始发事件后果严重的丧失冷链作为包络后果。

如果丧失安全重要通风系统引起用户系统设备失效，不引起始发事件，其后果只是影响事故下用户系统的功能，需在用户系统的故障树中模化这些通风系统的失效。其模化方式与前沿系统的供电失效等支持系统的模化方式类似。

2.10 开展丧失安全重要通风系统风险分析PSA建模及定量化

对于丧失通风系统始发事件的建模，首先基于丧失安全重要通风系统的后果分析，建立丧失通风系统前置事件树，该事件树中考虑通风系统部分丧失以及全部丧失的后果（基于丧失通风系统的后果分析），并将前置事件树中丧失通风系统引起的不同后果连接到不同的内部始发事件的事件树中进行缓解或重新建立事故缓解的事件树。对丧失通风系统引起的用户系统和设备失效通过在前置事件树中设立边界条件进行控制，即将这些受丧失通风系统影响的用户系统和设备的基本事件或逻辑门设置为“TRUE”。丧失通风系统始发事件的频率评估，通过建立丧失通风系统的始发事件故障树进行计算，并将这些丧失通风系统始发事件故障树作为前置事件树中各个题头的输入。图3 提供了丧失DVL系统的始发事件前置事件树。

对于丧失通风系统影响用户系统功能的建模，事故工况下丧失通风系统，则可能影响对事故缓解有重要作用的系统和设备（如缓解系统的电动泵等），因此需要在用户系统的故障树中体现丧失通风系统对用户系统的影响。基于丧失通风系统的后果分析，确定需模化的通风系统，以及其用户系统和设备。在PSA 模型中可将丧失通风系统作为设备失效的因素之一，如同其他支持系统一样（如供电），直接将丧失通风系统的故障树与相应的设备连接。

由于通风系统是支持系统之一，其可能与供电系统、冷却水系统等形成逻辑环，因此断开逻辑环是丧失通风系统故障树与前沿系统故障树的主要区别。根据ASME/ANS RA-Sb-2013要求，故障树连接过程中形成的逻辑环需断开[6]。参照NUREG/CR-2728 中提供的断开逻辑环方法，如果通风系统的支持系统需要用于通风系统，需将通风系统的支持系统模化为基本事件以断开逻辑环[8]。图4 提供了DVL 系统A列断开逻辑环示例。

此外，由于丧失通风系统后，房间内温度升高是一个缓慢的过程，因此，这过程中有些设备的故障能够被恢复，比如在通风系统模化时，通风系统新风阀门的误关，短时间内该故障不会影响用户系统的功能，操作员可以通过新风流量监测、房间温度预警、以及阀门在主控室的位置状态等信息，及时将新风阀恢复至正确状态，因此对于这类故障可以在系统故障树中考虑人员的恢复动作，以更加现实的建模方式反映通风系统的影响，从而降低通风系统建模的保守性。

PSA 模型的定量化包括丧失通风系统始发事件后果的定量化，以及用户系统考虑通风系统后堆芯损坏频率的变化。

基于定量化结果，如果采用包络分析的结果中丧失通风系统的风险后果对内部事件一级PSA 堆芯损坏频率贡献突出，为降低分析过程的保守性，需采用详细分析的方式评估丧失安全重要通风系统后房间的温度变化以及判断是否引起房间内设备失效。反之，则不必开展详细分析。

2.11 分析见解

每个安全重要通风系统执行以上步骤开展分析，如果某个丧失安全重要通风影响的设备没有失效，则该系统的分析结束。

根据以上方法的分析，某核电厂丧失通风系统对堆芯损坏频率的贡献占比约三分之一，其中丧失DVL 系统一列和多列对内部事件一级PSA 的堆芯损坏频率贡献是主导贡献，主要原因是丧失多列DVL 系统将导致安全厂房的仪控机柜和电气机柜故障，进而影响缓解系统的功能。通过对DVL 系统始发事件故障树分析，丧失单列DVL 系统的定量化结果中无支配性的最小割集结果（小于2%）。但是在丧失多列DVL 系统的定量化结果以及丧失多列DVL的堆芯损坏频率定量化结果中，主导贡献是用于DVL 系统冷却的冷冻机组共因故障和DVL系统风机共因故障。因此，DVL 系统及其支持系统的设计需考虑冷冻机组和风机的多样化设计。如果这些设备考虑多样化设计，其敏感性分析结果表明丧失DVL 系统对堆芯损坏频率贡献降低到10%左右。

综合以上分析，能够得到以下分析见解：

（1）通过对丧失通风系统的PSA 分析，通风系统设计中DVL 系统风机以及用于DVL 冷却的冷冻机组需考虑多样化设计；

（2）电厂运行中需加强热负荷大的仪控机柜房间和配电盘房间温度的监测及预警，并制定临时的丧失通风缓解措施；

（3）在极端温度下，电厂应根据天气预警信息采取应急响应措施，比如高温情况，需确保用于支持通风的冷却系统的可用性；低温情况，需确保通风系统加热器的可用性。

3 结论

本文结合国内外调研和工程实践，开发了一套适用于核电厂丧失通风系统的PSA 分析方法，并基于某核电厂开展系统性的丧失通风系统风险分析。分析结果表明，通过采用本文分析方法，能够全面评估丧失通风系统对核电厂堆芯损坏频率的贡献，并且该贡献对于核电厂是不容忽视的。与此同时，通过对丧失通风系统的风险分析，能够为核电厂通风系统的设计及优化提供指引，进一步提升核电机组的安全水平。