风险指引型安全分级及应用研究

宫 宇，王宝祥，詹文辉，邓 伟，赵 军，肖 军，张佳佳，倪 曼，钱鸿涛,*

（1.生态环境部核与辐射安全中心，北京 100082；2.上海核工程研究设计院有限公司，上海 200233；3.中国核电工程有限公司，北京 100840；4.清华大学，北京 100084）

由于执行的功能不同，各物项被分为安全相关和非安全相关两大类。安全相关物项需要额外满足“特殊处理要求”，即一些针对重要物项规定的、超出普通工业标准的要求。这些特殊处理要求包括质量保证（QA）、环境和抗震鉴定、检查、试验以及性能监测等多个方面。

核电厂传统的安全分级是基于保守的确定论分级原则确定的。随着全世界机组累积超过数万堆年的运行数据积累以及核电厂概率安全评价（PSA）的不断进步，基于确定论的安全分级假设及结论存较为保守，给核电厂带来了额外的负担；某些对确定论监管很重要的物项对核电厂安全性而言不是很重要，一些不包括在确定论监管范围中的核电厂设备对电厂安全却很重要。因此，将风险指引的理念应用于安全分级中有重要的现实意义。

1 风险指引型安全分级的诞生及发展

美国南得克萨斯核电项目（STP，South Texas Project）采用西屋技术，是由两个机组组成的四环路PWR，额定输出为1 270 MW。厂址位于得克萨斯州休斯顿西南约85 mile（1 mile=1.609 km）处，靠近得克萨斯州墨西哥湾沿岸。1号机组1988年投入商业运营，2号机组1989年投入商业运营。

1980年以来，STP一直积极参与风险指引型应用［1］，建立了完整的1级和2级PSA模型，并作为STP决策过程的基础。1997年11月，STP获得了质量保证分级（GQA）安全评价报告，该报告允许将安全重要性较低的设备降低质保要求。1999年7月，STP在行业内首次向NRC提交了一项广泛的豁免申请，以期将10 CFR第21、第50和第100部分的某些要求从确定为“低安全性重要”或“非风险性重要”的设备中排除。2001年8月，经过与NRC的广泛讨论和互动，NRC豁免了10 CFR第21、第50和第100部分的某些特殊处理要求，也被称为《南得克萨斯豁免》，包括以下方面：

（1）10 CFR第21.3部分：报告要求；

（2）10 CFR 50.49（b）：环境条件；

（3）10 CFR 50.59：变更控制；

（4）10 CFR 50.55a（f）、50.55a（g）、50.55a（h）（2）：ISI/IST，ASME；

（5）10 CFR 50.65：维修规则；

（6）附录B：质量控制；

（7）附录J：密封泄漏密闭性；

（8）10 CFR第100部分：抗震要求。

由于STP的努力探索先于行业内其他核电项目，因此，STP也被视为该行业如何发展的原型试点。STP开展风险指引型分级工作获得的见解如下：

（1）已参与分级的所有物项中约有90%被确定为安全重要度很低（根据10 CFR 50.69分类方法，是RISC-3或RISC-4）；

（2）对于安全相关的物项，这些物项中约有25%被确定为安全重要（RISC-1），而其余75%被确定为低安全重要（RISC-3）；

（3）已确定少于1%的物项与安全无关，但具有重要的安全性（RISC-2），STP会定期进行评估，每18个月评估一次物项分类的持续可接受性。

STP实施免除条款中规定的RISC-3物项的豁免开始于2002年1月，STP选择兼顾电厂安全和经济利益的豁免应用主要包括以下内容：

（1）安全壳局部泄漏率试验（LLRT）。

基于安全性低且满足以下一项或多项标准，RISC-3组件可从LLRT试验的范围中删除：

a.在发生事故的情况下，阀门处于打开状态，且流量很大；

b.阀门在密闭的水系统中关闭，不需要根据事故而改变状态；

c.阀门处于密闭的管道系统中，其设计压力大于安全壳压力；

d.阀门尺寸为1 in（1 in=2.54 cm）或更小。

STP已将用于安全壳C型局部泄漏率试验的阀门减少了57%。应该注意的是，STP豁免仅要求对C型局部泄漏率试验进行减免，而10 CFR 50.69方法同时涵盖对B型和C型局部泄漏率试验进行减免。

（2）设备采购。STP采购组织和备件工程组织逐案评估RISC-3设备的购买情况（见表1），以评估潜在的工业级设备的可用性。为了在RISC-3应用中使用工业级设备，必须进行工程评估，以保证工业级设备在设计基准条件下满足与安全相关的功能要求。如果评估令人满意，并且购买工业级设备在经济上是有利的，则可以购买工业级设备。

已为RISC-3应用采购了工业级设备的范围包括：辐射监测器样品泵；乏燃料水池热交换器排气阀流量管；1cn排气阀；HVAC模数流量控制器。

（3）维修规则。如果通过分类过程确定整个系统为RISC-3，则可以将该系统从维修规则跟踪和操作范围中删除，STP已从维修规则的范围中删除了16个系统（之前维修规则考虑最多的系统是辐射监视系统和紧急直流照明系统，这两个系统都被确定为安全性较低，并已通过此过程从维修规则的范围中移除），并将依靠状态报告来跟踪和纠正已识别的问题。

（4）在役试验。泵和阀门的在役试验包括监督性试验，监督性试验可以定期保证设备的功能得到验证。对于RISC-3设备，不需要同样严格的保证。考虑到设备的低安全性和性能历史记录，STP致力于延长RISC-3设备的监督性试验周期。由于从在役试验计划中删除RISC-3组件会影响大量程序，因此，其中许多设备仍保留在在役试验计划范围内，但要适当延长试验周期。

（5）预防性维修。预防性维修活动的范围和频率可通过考虑相关设备的安全性而调整。如果确定该设备具有重要的安全性（RISC-1或RISC-2），则应考虑增加预防性维修活动的范围或缩短预防性维修的周期。在确定设备的安全重要性较低（RISC-3）的情况下，预防性维修范围可以减小，并优化预防性维修频率。

1998年12月，NRC发布了SECY—98-0300，确定了风险指引型方法可以推进的3个选项：

选项1：不修改现有法规，继续允许申请者在现有的法规体系内对风险指引型豁免以“具体问题具体分析”的形式开展。在此选项下，不会在全行业范围内推动修改现有法规。

选项2：更改现有法规的适用范围。对于确定为安全性不高的组件，通常可以将这些组件从特殊处理要求的范围中删除，并采取常规的商业级控制。被确定为具有重大安全意义的物项，将继续接受现有的特殊处理要求。

选项3：修改现有法规并纳入风险理念。该选项被认为风险指引型最终目标，但是也被认为是短期内最难实现的。

考虑到这3个选项，NRC确定采用将选项2和选项3结合在一起的方法。建议在短期内采用备选方案2的方法，与此同时，应在某些特定法规上采用备选方案3。南得克萨斯方法被认为是方案2方法的原型试验，其提供了一种可以被任何国内许可证持有人使用的更通用的行业方法，并在此基础上产生了法规草案10 CFR 50.69［3］“核动力反应堆的构筑物、系统和部件的风险指引型分类和处理”。该法规草案于2003年5月被提交公众审查，并计划于2004年7月发布，其范围反映了南德克萨斯项目的豁免范围。10 CFR 50.69草案是一项自愿性法规，可提供有关分类和处理方法的高层次见解。为了提供有关分类和处理实施的更多详细信息，核能研究所 （NEI） 已起草了 NEI—00-04［4］《10 CFR 50.69 SSC分类指南》。

2 风险指引型安全分级

以确定论原则为基础的传统核电厂安全分级，从确保核电厂安全功能的角度将各物项划分为“安全相关”和“非安全相关”两个等级，如图1所示。风险指引型物项分级是在传统确定论分级基础上，根据物项对电厂的安全重要度，在传统的确定论分级的基础上进一步细化，即将传统的安全相关和非安全相关分别再细分为高安全重要（HSS）和低安全重要（LSS）两类，并定义如下：RISC-1：安全相关、高风险重要物项；RISC-2：非安全相关、高风险重要物项；RISC-3：安全相关、低风险重要物项（可依据10 CFR50.69的相关规定减免或降低不必要的处理要求）；RISC-4：非安全相关、低风险重要物项。RISC-1和RISC-2物项对电厂运行的安全性有着重要的贡献，因此，需加强对这类物项的相关要求。

图1 基于风险的安全分级Fig.1 Schematic diagram of risk-informed safety classification

风险指引型物项分级工作开展时，可按如下6个步骤进行：

（1）系统信息和其他分析输入收集；

（2）系统工程评价；

（3）基于风险评价进行物项分级；

（4）基于纵深防御进行进一步评价和分级；

（5）基于敏感性分析进行进一步评级和分级；

（6）通过综合决策小组进行综合决策。

2.1 系统信息和其他分析输入收集

本阶段主要是收集开展风险指引型物项分级工作需的设计输入和其他文件资料信息。具体资料信息包括系统的设计文件信息（如系统说明书、流程图等）、物项的相关文件资料、内部事件、外部事件PSA模型和相关分析报告，以及其他的数据、信息和相关法规标准等。

2.2 系统工程评价

系统工程评价的主要工作是鉴别和确定开展风险指引型安全分级必需的基本信息，通常包括下述3个方面：

（1）系统选择和系统边界确定；

（2）系统功能确定；

（3）物项确定。

其中，PSA模型中考虑的所有设计基准功能和超设计基准功能（应对设计扩展工况系统设备的功能）都应包括在内。

2.3 基于风险评价进行物项分级

一般运用特定电厂的PSA模型开展风险评价，并进行风险指引型物项分级。涉及的PSA模型一般应包括内部事件PSA模型和外部事件PSA模型（包括火灾PSA、水淹PSA、地震PSA模型等）。

采用PSA分析工具开展风险评价时，采用如下两个PSA重要度因子进行筛选：

（1）FV重要度（Fussell-Vesely）；

（2）RAW重要度（RiskAchievementWorth）。

若物项的重要度满足下面准则中的任意一条，则该物项应定为高安全重要等级：

（1）单个物项的FV重要度>0.005时，取其所有基本事件（包括共因失效）FV重要度的总和；

（2）单个物项的RAW重要度>2.0时，取除共因失效（CCF）外基本事件（CCF基本事件单独考虑）最大的RAW；

（3）物项的共因组RAW重要度>20.0时，取所有CCF基本事件中最大的RAW。

进行安全重要度评估及后续的敏感性分析时，应分别按堆芯损伤频率和早期大量放射性释放频率两种模型分别计算物项的FV和RAW重要度。如果计算得到的3个重要度均不满足高安全重要的判定准则，则初步定为低安全重要类别，待进行纵深防御和敏感性分析时进一步评估。

2.4 基于纵深防御进行进一步评价和分级

纵深防御分析主要针对PSA模型中未包括的以及在风险评价阶段被认为是LSS的物项。该过程通过堆芯损伤缓解、早期安全壳失效/旁通和长期安全壳完整性3个方面评估SSC（构筑物、系统和设备）的功能，如果任意一方面被判定为对纵深防御为高安全重要，则该SSC即被认定为HSS。

2.4.1 评价堆芯缓解的纵深防御

该项工作主要考虑以下方面：

（1）始发事件的发生频率；

（2）所具有的缓解始发事件的纵深防御能力。

2.4.2 安全壳纵深防御评价

除了堆芯损伤纵深防御评价，还需要评价SSC在防止大量放射性早期释放中的纵深防御程度。对于每一个被确定为LSS的SSC，其纵深防御评价采用下述准则：

（1）安全壳旁通：该SSC是否会引发ISLOCA（界面失水）事故；该SSC是否能够为ISLOCA事故提供重要缓解能力；该SSC能否在蒸汽发生器传热管破裂事故后隔离该蒸汽发生器。

（2）安全壳隔离：该SSC是否用于支撑下述安全壳贯穿件的隔离；该SSC是否用于支撑安全壳贯穿件的隔离。

（3）早期氢气燃烧：该SSC是否支持安全壳内氢气点火器的运行。

（4）长期安全壳完整性：该SSC是否用于支持未在CDF（堆芯损坏频率）和LERF（早期大量放射性释放频率）计算中考虑的系统功能，但却是在堆芯损伤后保持长期安全壳完整性的唯一方式（如安全壳热移出）。

对于上述问题，任何一处的答案为“是”，则该SSC应被分类为高安全重要。只有所有问题的答案都是“否”的情况下，该SSC才能被确定为低安全重要，并留待下一步确认。

2.5 基于敏感性分析进行进一步评级和分级

对于经过风险评价和纵深防御评价后仍被划分为LSS的物项，我们还需再开展敏感性分析，可采用下述方法进行敏感性分析：

（1）将全部人员失误的基本事件数值增加到95%分位数值；

（2）将全部人员失误的基本事件数值降低到其5%分位数值；

（3）将全部物项共因失效的基本事件数值增加到其95%分位数值；

（4）将全部物项共因失效的基本事件数值降低其到5%分位数值；

（5）将所有维修不可用度设为0。

对以上5项内容，分别执行风险评价中的重要度评估过程，并采用相同的评判依据和评价标准，如果物项在（1）～（5）中任意一步被认为是HSS，则将物项划分为HSS；如物项仍然被认为是LSS，则将物项划分为LSS；如果被认定为安全相关物项，则该物项划分为RISC-3。

2.6 通过综合决策小组进行综合决策

综合决策小组（IDP）通常由来自PSA、安全分析、设计、运行、维修等领域的专家组成。IDP审评上述步骤的分类结果并充分考虑电厂设计、运行实践和经验以确定最终的分类方案。IDP基于下述方面进行综合决策：

（1）PSA评估和敏感性分析；

（2）纵深防御评估；

（3）安全裕量评估；

（4）其他风险指引项目（如维修规则、风险指引在役检查等）的见解；

（5）运行和维修经验。

IDP有将之前分析认为LSS的物项重新划分为HSS级别的权利，但应列出具体依据。通过上述所有步骤后，可确定最终的风险指引型物项分级结果，如图2所示。

图2 风险指引型物项分级流程Fig.2 Risk-informed item classification process

3 风险指引型安全分级应用

3.1 国外应用情况

3.1.1 STP核电厂应用实例分析

STP核电厂开始风险指引分级研究较早，是此分级思想发展强有力的推动者之一。STP核电厂针对多个系统和多个物项进行了风险指引型的物项分级，部分已经获得了NRC批准，结果见表2和图3。

表2 STP核电厂应用分析结果Table 2 STP instance analysis results

由表2可以看出，有超过3/4的“安全相关”物项被划分为低安全重要级别，可降低其特殊处理要求以提高经济性；同时，有大约1.4%的物项由“非安全相关”被评估为高安全重要，应对这些物项提高要求，保证核电厂的安全运行。

图3 STP实例分析结果Fig.3 STP analysis results

3.1.2 WOG（西屋用户集团）核电厂实例分析

WOG在Wolf Creek核电厂和Surry核电厂也进行了类似的试点研究［5］。在此研究中，Wolf Creek核电厂中的安全壳喷淋系统（CS）和常规服务水系统（NSW）及Surry核电厂中的化学和容积控制容系统（CVC）和主给水系统（FW）被选定为试点对象。分级的结果如表3～表8所示。

表3 Wolf Creek安全壳喷淋系统能动设备Table 3 Wolf Creek active equipment of containment spray system

表4 Wolf Creek常规服务水系统能动设备Table 4 Wolf Creek active equipment for conventional service water systems

表5 Surry化容系统能动设备Table 5 Surry active equipment for chemical and volumetric systems

表6 Surry化容系统非能动设备Table 6 Surry passive equipment for chemical and volumetric systems

表7 Surry主给水系统能动设备Table 7 Surry main water supply system active equipment

表8 Surry主给水系统非能动设备Table 8 Surry main water supply system passive equipment

由表3～表8可以看出，结果的趋势与STP分级实例趋势相一致，说明风险指引型安全分级对核电厂的管理和运行可能带来益处。

除美国核电厂，国际上其他国家的核电厂也开展了类似的实例研究，相比而言，它们大多是针对风险指引评价的特定应用进行研究。

综上所述，核工业界对风险指引物项分级思想的发展持肯定态度，并从监管和试点研究两个方面同时努力以推动此分级思想的发展和应用。实例分析表明：风险指引分级思想对核电厂经济性和安全性有重大意义。实例分析也为推动此分级思想的发展提供了坚实的依据，并为此分级方法的应用奠定了基础。

3.2 大亚湾核电厂的风险指引分级实例分析［6］

3.2.1 辅助给水系统设备分级

辅助给水（ASG）系统是核电厂重要的专设安全设施之一，其主要功能是要在下列情况下为蒸汽发生器二次侧提供充足的水量，以保证从堆芯带出衰变余热。主要评估过程如下：

（1）风险信息评估：在PSA模型中共包含ASG系统的75个设备，按照高安全重要SSC判断准则，确定其中43个为HSS设备；

（2）确定性评估：最终确定有36个为HSS设备。

综合以上评估结果，63个设备被认定为HSS级别。根据大亚湾核电厂系统手册，每个机组的ASG系统包含645个设备（其中有121个安全级设备，524个非安全级设备）。

最终分级结果中的63个HSS设备，有16个是在PSA评估和确定性评估中均被定为HSS级别，其他的47个是两个评估过程相互补充得到的。可见，两个评估过程有互补作用，证明了此分级方法的合理性及有效性。

3.2.2 安全壳喷淋系统设备分级

安全壳喷淋（EAS）系统是专设安全设施，在事故工况下、安全壳内压力和温度升高时，可将含有氢氧化钠的硼水均匀地喷入安全壳，通过排出热量使安全壳内压力和温度降低至可接受的水平，同时降低安全壳内气载放射性水平。主要评估过程如下：

风险信息评估：在EAS故障树模型中共包含了47个设备，按照高安全重要SSC判断准则，确定其中30个为HSS设备，均匀分布在两个冗余列中。根据确定性评估，确定47个设备为HSS。

综合风险信息评估和确定性评估结果，共有47个HSS设备。

3.2.3 设备冷却水系统设备分级

设备冷却水（RRI）系统的主要功能是：在各种工况下冷却各种热交换器，以确保核岛设备的正常运行，并将核岛内各种热负荷传递到最终热阱及海水。主要评估过程如下：

（1）风险信息评估：RRI系统中有126个设备被模化在模型中，按照高安全重要SSC判断准则，确定有70个设备为HSS。

（2）确定性评估：确定有280个为HSS设备。

对照分级结果，在PSA评估中的70个HSS设备有6个是在确定性评估中认为是LSS级别。根据风险指引分级的思想，设备的安全重要性等级应取PSA评估和确定性评估结果中较高的。因此，这6个设备应定为HSS设备。对RRI系统的风险指引分级结果中属于HSS设备的有286个。

上述3个系统分级的结果汇总见表9。

表9 大亚湾核电厂风险指引设备分级实例结果Table 9 Daya Bay Nuclear Power Plant risk guidance equipment classification example results

4 结论及国内应用建议

4.1 结论

实践和经验表明，风险指引型安全分级对提高核电厂的安全性和经济性都有重要意义。

4.1.1 提高核电厂的安全性

根据风险指引型安全分级，将管理和关注的重点集中到RISC-1和RISC-2级别设备中，一方面可加强对部分非安全相关设备的关注，提高其可靠性；另一方面可优化运行管理资源，更好地确保核安全。

4.1.2 提高核电厂的经济性

通过风险指引型安全分级，可免除RISC-3设备的一些特殊处理要求，从而降低业主的负担。

由于美国的核电厂基本上是老电厂，因此，风险指引型安全分级技术主要应用在运行电厂中。但这并不代表风险指引型分级技术不适合在设计阶段开展，相反，如果能够在设计阶段就充分、有效地利用该技术，则可以充分利用先进技术在提高核电厂安全性的同时提高核电厂的经济性。

综上，本文建议在国内积极推进风险指引型安全分级方法，并以试点形式开展针对设计阶段和运行阶段核电厂的相关应用研究。美国核能研究院发布的风险指引型安全分级导则NEI00-04可作为国内实践的参考，必要时做适应性调整。

4.2 国内应用建议

4.2.1 指导及优化设计

对于划分为RISC-2的设备，新设计核电机组应增加特殊处理要求。对于已在建或在运核电机组，应对这些设备进行评估，如当前的性能未达到预期，则应考虑适当增加特殊处理要求，以增强其可靠性水平。对于划分为RISC-3的设备，由于其当前受到与RISC-1设备相同的特殊处理要求，根据分级结果可申请豁免或降低某些特殊处理要求。

4.2.2 设备采购

根据风险指引型分级结果，对于划分为RISC-3的设备可以选择工业级设备代替核级设备。

4.2.3 环境鉴定

对于划分为RISC-2的设备，应保证其可用性，取消RISC-3电气设备的环境鉴定试验要求，而采用设备供应商文件、等价评估、运行经验报告、技术评价、技术分析以及试验等方法，确保这些设备能够在设计基准环境条件下完成安全相关功能。分级为RISC-3的1E级电气设备，可用非鉴定设备替换，不再要求苛刻的鉴定条件和详细的鉴定文件要求，在减免环境鉴定试验要求的同时，保留或附加评价要求。

4.2.4 抗震鉴定

对于划分为RISC-2的设备，应有一定的抗震要求，取消RISC-3设备的抗震鉴定试验和专门分析的要求，而采用设备供应商文件、等价评估、技术评价、技术分析以及试验等方法，确定这些设备能够在设计基准环境条件下完成安全相关功能，在减免抗震鉴定试验要求的同时，保留或附加评价要求。

4.2.5 质量保证

《核动力厂和核燃料后处理厂的质量保证准则》对安全相关设备提出了设计、建造、运行方面的质保要求，以防止和缓解假想事故的后果。在适当条件下，RISC-3设备可不遵守上述质保要求。

4.2.6 在役试验

泵和阀门的在役试验包括监督性试验。监督性试验可以使设备的功能得到定期验证。对于RISC-3设备，不需要同样严格的保证。考虑到低安全性和性能历史记录，可延长RISC-3设备的监督性试验周期。由于从在役试验计划中删除RISC-3物项会影响大量程序，因此，可将相关设备保留在在役试验计划范围内，延长试验周期。针对风险指引分级为低安全重要的设备可减免某些定期试验要求，例如，延长试验周期和减少试验次数，需根据具体的分级结果具体分析。

4.2.7 预防性维修

预防性维修活动的范围和频率可通过考虑相关设备的安全性而调整优化。如果确定该设备具有重要的安全性（RISC-1或RISC-2），可适当增加预防性维修范围或缩短预防性维修周期。在确定设备的安全重要性较低（RISC-3）的情况下，预防性维修范围可考虑缩小，并优化预防性维修频率。