机械设备故障安全在核电厂中的应用探讨

温 亮，李盛杰，顾明洲，彭 跃

（1.中广核工程公司，广东 深圳 518000；2.核电安全监控技术与装备国家重点实验室，广东 深圳 518000）

0 引言

故障安全设计在化工、常规火电、计算机、自动驾驶等方面都有广泛的应用，例如胡劲松等人［1］介绍了一种故障安全控制系统在石油化工生产中的应用，该控制系统采用双重冗余技术，基于微处理器、模块化、可进行软件编程和组态的系统，可以确保加氢重整联合装置的安全；李梅喜等人［2］也介绍了在催化裂化装置上采用了故障安全的设计，当工艺过程出现故障或控制系统本身出现故障时，可以确保工艺过程处于安全状态，现场设备处于安全位置；程嘉骥等人［3］介绍了故障安全系统在汽车总装线上的应用，即在一个或多个自控设备发生故障时，故障安全系统可以对人、机械和环境提供更高的安全等级，即使发生过程中断也不会对人员或环境产生危害；魏敏［4］介绍了故障安全系统在铁路信号发码器上的应用，当某个模块发生故障时采用具有最高安全等级的信息作为该模块的输出，确保了铁路火车运行的安全。

故障安全设计是偏安全的设计方法，对于核电厂同样适用，但是目前公开的文献中较少见到故障安全设计理念在核电厂中应用的研究，同时也缺少具体的设计流程用于指导核电厂故障安全设计。

1 故障安全分析

不同的人或行业，对故障安全的定义也有所不同，例如方蕾［5］提出经典的故障安全原则是以设备或装置发生故障时使其导向安全输出为基础，即在发生故障时不产生危害性输出。在通信领域，故障安全是指在通信传输系统由于外界的干扰或自身的物理缺陷而发生故障时，仍能以较高的概率使通信系统维持在安全态，以使终端设备避免因通信系统故障而发生事故［6］。在核电设计中，欧洲用户要求（EUR）［7］中故障安全的定义为：故障安全是指设备或系统在发生特定失效的情况下，设备或系统的动作导向这种失效情况下的安全状态。

EUR 没有对“特定失效”及“安全状态”进行解释。结合核电厂的设计经验，对“特定失效”及“安全状态”的解读如下：

1）特定失效。主要是指机械设备本身的失效以及相关支持系统（包括供水、供电及相关仪表和控制）的失效，例如气动阀失去气源，电动阀门失去电源以及失去相关的控制系统。

2）安全状态。在电站或系统正常运行时，如果某个设备发生特定失效后所达到或维持的“状态”，不会导致电站或系统预期发生的事故或者灾害由于该设备的状态而无法预防或缓解，那么这个状态就是安全状态，例如，安注管线上的电动阀在电厂正常运行期间处于备用状态（开状态），阀门失电的情况下，阀门保持在原来的位置（开状态），安注功能不受影响，那么这个开状态就是安全状态。

核电厂中，故障安全的定义如图1所示。

图1 核电厂中故障安全的定义

2 法规标准要求

核动力厂设计安全规定（HAF 102）［8］中要求“必须恰当地考虑故障安全设计原则，并贯彻到核动力厂安全重要系统和部件的设计中。在适用时，应将安全重要系统和部件设计为故障安全，使其自身的故障或支持设施的故障不妨碍预定安全功能的执行”。

国际原子能机构（IAEA）安全要求（SSR-2/1）［9］中也对故障安全设计提出了要求，即故障安全设计理念必须适当地贯彻到对安全重要的设备和系统的设计中。

EUR 中对故障安全的要求为“故障安全原则在合理的情况下应该贯彻到对安全重要的系统和设备的设计中”。

从法规标准对故障安全设计的要求可以看出：故障安全的设计不是强制的要求，但是在适当的情况下需要考虑故障安全的设计；仅考虑安全有关的系统和设备。

在法规和标准中没有说明在设计中如何考虑故障安全的设计，即，缺少可以指导设计的流程和方法。

3 故障安全范围及实现方式

根据第1 节的定义，故障安全概念中的故障包括系统本身的失效以及相关支持系统的失效，包括仪控系统的失效，本文主要对机械设备的故障安全设计流程进行讨论，仪控相关的内容不在本文的讨论范围。

根据第2 节法规标准对故障安全的要求，可以总结得出故障安全设计理念仅适用于安全相关的系统和设备，对于仅执行正常运行且对安全没有贡献的系统和设备可以不用考虑故障安全设计。

在核电厂中，常用的机械设备包括能动设备和非能动设备，非能动设备（例如管道、水箱、过滤器）的失效可以考虑为预期的事故或灾害，安全分析和灾害分析会考虑失效后果和应对措施，因此非能动设备不在故障安全考虑的范围，故障安全的设计主要应用在能动设备上，例如阀门、开关等。

在核电厂中典型的故障安全实现方式包括以下几种：

1）气动阀。气动阀门一般采用压缩空气作为动力源，可以控制阀门的开、关以及调节，通过气动阀的设计，在失去压缩空气的情况下，可以实现阀门的失效开、关动作，从而将阀门置于偏安全的状态（开或关）。

2）电磁阀。在失去电源的情况下，通过电磁线圈的作用，可以实现阀门的失效开、关动作，从而将阀门置于偏安全的状态（开或关）。

3）控制棒驱动机构。在失电的情况下，控制棒驱动机构在重力的作用下会自动下落，同时反应堆紧急停堆，中止链式反应，确保反应堆的安全。

此外，暖通系统常用的风阀，在失去电源的情况下，也可以实现故障安全动作，即可以在失去电源的情况将阀门置于偏安全的状态（开或关）。

4 故障安全流程及方法

尽管法规标准对故障要求设计没有强制要求，但无论是HAF 还是IAEA 都要求对安全重要的设备和系统，在设计时需要适当地考虑故障安全设计，通过对核电厂机械设备的功能、工况进行归纳总结，提出机械设备的故障安全流程。

1）设备是否需要采用故障安全设计，首先需要识别设备的失效模式，核电厂中设备的主要失效模式为支持系统的失效，其失效模式包括失去电源、气源等。

2）需要分析设备执行的具体安全功能，不同的机械设备执行不同的安全功能，同一个安全设备可能执行不同的安全功能，例如系统的安全壳隔离阀，不但执行事故后安全壳隔离的功能，还执行其他的安全功能。

3）根据设备执行的安全功能，判断每个安全功能对应的安全位置，例如安喷系统的安全壳隔离阀，执行安全壳喷淋的功能时处于开的位置，执行事故后安全壳隔离的功能时，则要求阀门处于关闭位置。

4）如果设备执行多个安全功能，且多个安全功能要求的安全位置不一致，则说明该机械设备不适用与故障安全设计，因为故障安全只能确保一个安全功能，无法同时确保多个安全位置。

5）对于某些电动设备，如果设备失效后达到的位置与预期要执行的安全功能要求的位置一致，即失效后自动就达到了安全位置，对于这一类设备也不需要再考虑额外的故障安全设计，例如电动阀门在失去电源的情况下，将保持在失电前的位置，如果该位置与阀门执行安全功能的位置一致，则阀门在失电的同时已经达到了安全位置，因此这一类设备也就不需要再考虑故障安全设计。以安注系统电动阀门为例，电厂功率运行期间，安注系统的阀门处于安注备用状态，阀门处于开的状态，在失电的情况下，阀门保持在开的状态，因此其失电后阀门的状态与预期要执行安全功能的状态一致，失效的同时已经达到了故障安全，因此这些阀门也不适用于故障安全设计。

6）如果设备执行安全功能的安全位置一致，如阀门仅要求开或关，则需要考虑采用故障安全设计，但同时需要考虑采用故障安全设计后是否会引入新的风险，尤其是设备误动作导致的风险，以化学和容积控制系统（RCV）下泄隔离阀为例，RCV 下泄隔离阀在失水事故（LOCA）下执行关闭的功能，安全位置为关，如果采用了故障安全设计，则在电厂正常运行期间，在某些扰动的影响下，阀门可能会产生误故障安全动作，即将阀门置于误关闭的位置，从而导致一回路丧失容积控制的功能，给电厂带来了新的安全风险，因此这一类设备也不适用于采用故障安全设计。

根据上述分析可以得出，在核电厂中，对于安全位置一致的设备，同时考虑电厂扰动带来的误动作情况下，如果对电厂的运行和安全都没有风险，则这一类设备需要考虑故障安全设计，故障安全在核电厂中的应用流程如图2所示。

图2 故障安全在核电厂中应用的流程

5 故障安全方法在核电厂中的应用

以安喷系统安全壳隔离阀、堆坑注水隔离阀、化容系统下泄隔离阀为例，这些设备的故障安全设计分析见表1，通过分析设备执行的安全功能和相关的安全位置，同时考虑故障安全的潜在风险，得出了这些阀门均不需要采用故障安全设计，同时也对设备冷却水公共用户隔离阀进行了分析。分析结果表明需要采用故障安全设计，与目前国内压水堆核电站的设计保持一致。

表1 核电厂典型设备的故障安全设计分析

7 结语

分析核电厂的故障安全原则，提出核电厂中支持系统失效是设备的主要失效模式。

通过对法规标准的解读，说明故障安全设计原则不是强制要求，但是在设计时对于安全相关系统和设备必须考虑是否适用于故障安全原则。

根据核电厂机械设备执行的功能、工况，提出了故障安全在核电厂中应用的流程和方法，即对于安全位置一致的设备，同时考虑电厂扰动带来的误动作的情况下，如果对电厂的运行和安全都没有风险，则这一类设备需要考虑故障安全设计。