基于风险指引的事件选择方法的应用研究

颜寒 杨磊

摘  要：本文研究了风险指引方法尤其是风险指引事件选择方法的发展历史与研究见解，介绍了其定义、技术原理、技术流程，包括概率安全分析模型修订、序列频率以及不确定性分析，纵深防御分析等技术要素并将其与现有的确定论方法进行了对比研究，将其尝试性应用于大型钠冷快堆，得到其技术特点与技术特征，对其应用提出了相应的建议。

关键词：风险指引  事件选择方法  概率安全分析  大型钠冷快堆

中图分类号：TM623                           文献标识码：A                   文章编号：1674-098X（2020）10（b）-0058-08

Abstract： This paper studies the development history and research insights of the risk informed method， especially the risk informed event selection method， and introduces its definition， technical principles， technical processes， including the revision of the probabilistic safety analysis model， sequence frequency and uncertainty analysis， defense-in-depth analysis， etc. The technical elements were compared and studied with the existing deterministic methods， and they were applied to large-scale sodium-cooled fast reactors tentatively to obtain their technical characteristics and technical features， and put forward corresponding suggestions for their application.

Key Words： Risk guidance; Event selection method; Probabilistic safety analysis; Large sodium cooled fast reactor

PSA的方法自在20个世纪70年代被创立以来，经历两个严重事故——三里岛、切尔诺贝利事故后，在业内逐渐被重视[1]。

1986年美国核管会发布了一个政策声明，该政策声明表示，核管会监管的目标为“两个千分之一”目标，该安全目标是一个完全基于风险的描述，即承认核设施的运行是存在风险的，核安全的目标是控制该风险，这个认识是PSA在核设施的设计以及运行中能够得到应用的基础。

之后，NRC一方面开放核电厂以风险评价作为电厂各类技术申请的基础，同时基于实际应用情况出版基于风险指引的导则、法规，包括[2-3]：

RG 1.174，一种使用概率风险评价方法进行风险指引的电厂许可基准技术规格变更的决策方法;

RG 1.175，一种使用概率风险评价方法进行风险指引的电厂特定在役检查的方法;

RG 1.176，美国核管会，电厂特定风险指引决策：质保分级;

RG 1.177，美国核管会，电厂特定风险指引决策：技术规格书;

RG 1.178，美国核管会，电厂特定风险指引决策：管道的在役检查;

我国基于概率安全分析的系统性安全要求最早来自于技术政策声明——《新建核电厂设计中几个重要安全问题的基础政策》。

该基础政策中的内容后续已经先后通过法规修订的形式加入HAF 102以及相关的HAD导则之中。该技术政策声明中关于PSA的要求主要有两个方面。

首先，提出了对于新建核电厂的概率安全目标，并认为该目标是总的安全目标的一种体现方式。同时，明确了政策鼓励的概率安全应用范围，如下：

上述风险指引的应用主要以在运核电厂为主，在设计上，风险指引的应用还处于辅助的位置。对于安全设计而言，有两个核心命题[4-5]：

选择哪些基本事件作为设计基准事件;

哪些物项被确保能够用于应对这些设计基准事件;

本文先是介绍了风险指引的定义以及其方法原理，后详细调研了基于风险指引的事件选择方法的研究进展，并将其尝试性用于大型钠冷快堆，得到其技术特点与技术特征，对其应用提出了建议。

1  风险指引事件选择方法

美国核管会（NRC）在1994年7月的《先进型核电厂法规的政策声明》中表达了“改善先进型核动力反应堆的许可证申请环境以尽可能减少管理过程中的復杂性和不确定性”的意图。并于1995年颁布PSA应用的政策声明，其目的是通过应用PSA技术来改进核安全监管，更有效地利用监管资源和减轻核电厂不必要的负担。在1998年颁布了一系列的风险指引型管理导则。1999年，NRC就开始反应堆安全法规（10CFR Part50）的更新工作，以反映风险指引和基于绩效的方法。

为了推动有关新法规体系的讨论，核工业界在2002年5月发表了“风险指引型的、基于绩效的反应堆法规体系”（NEI02-02）的白皮书。该白皮书描述了新法规体系的原理、基本准则和框架结构，同时也提出了一系列临时性的法规以供讨论。在制定有关新反应堆法规的白皮书的过程中，核工业界有一个专项任务是将最新的风险评价技术、反应堆运行经验及新的技术信息与现行的管理要求相结合。最终提议的法规定义了什么是必须达到的，而不是如何达到。

作为响应，在其NUREG-1860报告中，NRC提出了一种“风险指引的未来电厂设计基准框架”，框架研究大都两个主题：（1）怎样确定风险可接受准则，（2）怎样为新反应堆执照申请选择执照基准事件（Licensing Basis Events， LBEs）[6]。此处Licensing Basis Events （LBEs）用来代替Design Basis Events （DBEs），后者包括 Design Basis Accidents （DBAs）以及Anticipated operation event（AOO）。

NUREG-1860中风险可接受准则的代表形式是一条风险—后果曲线（F-C Curve）。这条曲线用频率值的大小以及他们相关的后果（剂量值的大小）描绘出预计运行事件或者非正常事件的可接受限度。如图1所示：

F-C曲线可以用在第四代核电站的设计阶段，基于完整的PRA，对比每一个发生频率较明显的事故序列（比如，大于1E-7/堆年），看他们的后果剂量是否在图中可接受范围之内。另外，这个F-C曲线也用在确定执照申请基准事件中[7]。

NRC在其TNF方法中给出了LBE选择的过程如图2所示，参考该图制定LBE选择的过程如下。

步驟一：修订PRA模型，仅反映认为安全重要的物项：

LBE总是与SSC的分类过程伴随，通过识别那些满足施加在LBE上的验收标准是必要的SSCs，可以定义了一组安全重要SSCs。这些的SSCs能够降低LBE的频率或限制其结果，或者同时具备以上两种情况。

传统的PRA开发中会考虑全部的具备预防或缓解功能的部件，即使这些部件并未按照安全级来设计，PRA中也可以现实的考虑其相关的功能。而在TNF方法中，设计人员先确定关键SSC的范围，然后将这个范围以外的SSC全部设定为失效。如果分析结果使得LBE不满足对应的验收准则，则应当扩展或者调整关键SSC的范围，这样形成一种PRA过程与LBE选择、分类与分析的迭代。没有被认为“关键”的SSC相关的不利故障以及人员动作依然被考虑。这个“SSC清单”-“LBE选择、分类”-“F-C曲线验收”的迭代过程直到全部的LBE满足验收准则为止。

步骤二：基于修订后的PRA模型，确定每个序列的点估计值;

删去全部点估计值小于1E-8以下的事故序列，这一步建立了的完整用于筛选LBE的事件序列清单。

步骤三：计算每个序列的确定性，给出中位值，95分位值，5%分位值等分析结果;

本步骤的目的是更为充分地考虑PRA分析的不确定性，这里的不确定性主要是由于设备可靠性数值的不确定性带来的。

步骤四：识别95%分位置信度大于1E-7以上的事故序列

这一步的具体作为是基于步骤三的结果，从步骤二获得序列中删除95%以上置信度频率不会大于1E-7以上的序列。

步骤五：将剩余的序列分类到事故类别中去。

在LBE筛选过程中，通过将类似的事故序列分组到一个事件类中来选择LBE。

类似的事故序列是指：在系统配置和/或事故现象方面具有类似性，并导致类似的源项。以LWRs为例，类似的事故序列可能是这样的事件：没有紧急停堆的预期暂态（ATWS）、具有类似设备响应（安注）的不同大小的各种破口事故 （LOCAs）、安全壳旁通、各种类型的瞬态（其中每种类型都表现出类似的设备响应）。被认为类似的事故序列应当由大致相同的SSCs用于事故预防和/或缓解。

分组过程的技术目标是：

要考虑到所有的95%百分位频率大于每年1E-7，这些序列都比如归入某个分类;

并在事件类的数量和分组过程中使用的稳健性程度之间取得合理的平衡。

分组过程的结果是，所有剩余PRA序列都被一个LBE（组）所包络。剂量更小，频率更低的事件可以被剂量后果、频率更高的事件所包络，包络的原则与结构是每组的代表事件，如果能够满足F-C曲线的需求，则被包络的事件也应当满足响应的要求。

这种分组方法势必产生一些比较低频率的事件，例如：一般认为，在美国的监管体系中，对于设计基准事故（DBA）考虑的截断值为1E-5/堆·年。但是该方法考虑到名义频率大约1E-8且95%分位置信度大于1E-7的频率。这一方面是为了避免PRA分析所固有包含的不确定性使得重要的频率在早期被筛选掉（例如，如果采用较大的样本，完全可能论证大LOCA事故频率低于1E-5），另一方面是为了增加设计的健壮性（robustness）。

步骤六：从事件类别中选择事故序列以代表其边界性的后果。

从事件类别中选择一个事件序列代表其极限的后果，选择的事故序列应对能够从事件行为和事故后果上代表这个事故分类。如果一个类别中的几个事件具备相似的后果，那么可以任意选择，如果没有清晰的边界事件，可以选择频率最低的事件，事件类频率的确定方式见步骤七。

步骤七：给定事件分类代表LBE的频率。

以最高事故序列的名义频率决定事件类的频率，相应分位为置信度频率依然以最高值决定。这可能导致95%分位置信度的频率以及名义频率不来自同一事故序列，但是这不产生实际影响。

步骤八：确保LBE满足相应的概率论与确定论准则

LBE必须满足F-C曲线和纵深防御要求，这是覆盖LBE频率范围的一个函数，如表1所述。如果不满足标准，则要么对事件类进行改进，要么对设计进行修改。

2  应用风险指引方法于某大型钠冷快堆的研究

本节的研究基础是某设计中的大型商用钠冷快堆核电厂，以及其相应的PSA模型，在此基础上开展工作。

首先，对于的题头事件进行改造与重新设定，题头仅描述前沿系统，辅助系统在“通用调整”中考虑，全部修订项目如表2所示。

利用修正过的PRA模型，剩余的序列作为备选的序列，这些序列的清单如下所述，在总计110个事故序列中，尚剩余53个。表3是其中部分序列：

按照NUREG-1860给出的步骤，应该通过95%置信度分位值进行进一步的筛查，但是由于剩余的序列并没有频率恰好位于1E-8到1E-7之前的，所以此步骤在本次的工作中可以省略，不删除任何剩余的序列。

之后进行分组，合计获得23组LBE，如表4。

我国的法规体系与美国有较大差异，因此参考CEFR以及示范快堆的经验，同样给出F-C曲线如表5和图3所示。

本小节讨论前述LBE是否能够满足相关的验收准则。

首先，我们可以初步判定，本节所述的23个LBE中11个与原本PIE名称相同的，仅包含始发事件本身的LBE应该能够满足相关的验收准则。理由是，根据PSA所采用的现实假设，这些事件瞬态热工分析的产生的事故后果必然是低于采取了卡棒准则，单一故障假设等边界条件的相关同名PIE的，而其频率则与原本的PIE相当，因此这11个事件满足F-C曲线的要求没有任何难度。

对于3个ATWS事故，其中一般ATWS序列频率在1E-5的量级，而反应性引入ATWS、部分二回路列丧失的ATWS均在1E-6的量级，如果按照我国法规，这两个事件均属于设计基准事故中的极限事故分类。不过如果按照NRC的分类方法，则只有一般ATWS会被留在DBA类别中，其余两个事件均会被移动到设计扩展工况分类。

对于钠冷快堆而言，ATWS事故的缓解可能有以下几种措施：

依靠各類副反应性反馈，降低反应堆功率，但是由于没有冷却剂丧失过程引入的负反应性反馈，这种效应相对压水堆较弱

利用DAS等后备的停堆系统时间略微延迟（相较于保护系统）的停堆;

利用非能动停堆装置实现停堆;

较长时间后操作员手动停堆;

在我国已有的大型钠冷快堆安全分析中，这些ATWS事故被认为属于超设计基准事故或设计扩展工况，最终主要使用DAS系统以及非能动停堆装置实现反应堆停堆。如果按照LBE相关的分析规则，那么以上系统均因为不属于安全级系统而不能使用。最终只能是较长时间后操作员手动停堆，这种情况下虽然最终反应堆能够停堆，但是势必会由于长时间的无保护工况对于包壳造成一定的损伤，但是应当不至于突破设计扩展工况（DEC）的验收准则。

对于剩余的8个“IE+第1余排系统失效”，其中主容器泄漏+第1余热排出系统失效被列入了设计扩展工况分类，运行部分燃料损伤。由于在事故序列中用于缓解主容器泄漏的保护容器包容，保护容器超压保护系统压力调节等题头均成功，因此一回路压力边界能够保持完整，事故后果最后为典型的丧失热阱熔堆。但是能够满足对应的DEC验收准则[8-10]。

剩余7个序列均被列入了极限或者稀有事故，按照LBE事故分析，不考虑非安全级物项事故缓解能力的原则，最终都会发生堆芯损伤并且超过对应LBE分类的验收准则。

3  结语

从本文的实践来看，风险指引的LBE选择利用的是一个非常保守的PSA模型，这个模型中直接假定非安全级物项不可用，与WASH-1400以来PSA分析中提倡的“现实假设”有较大的差异，尽管这种保守化的PSA模型并没有被用以评价总体风险。

这种假设下，非能动系统的优势被极大的放大，同时能动系统，尤其是需要应急柴油机电源以维持长期连续运行的能动系统的劣势被放大，除非是专门应对非常极限的事故如大LOCA（压水堆），主容器泄漏（钠冷快堆）所用的专门系统，否则很有可能在LBE选择的结果中要求在始发事件的基础上叠加能动系统的失效或者叠加应急柴油机组故障。考虑应急柴油机组的可靠性至多能够达到1E-3的量级，而NRC规定的设计基准事故频率上限为1E-5/堆·年，这也就意味着，对于全部1E-2/堆·年以上的事故（相当于我国法规体系中的AOO），都需要叠加全厂断电假设并计算满足原极限事故的验收准则，明显只有采取非能动安全电厂才能实现该指标。

大型钠冷快堆如果需要满足以上要求，必须由一套冗余的非能动安全级余热排出系统，也就是说，需要将第1停堆系统调整为依赖自然循环实现中间环路循环，或者以第2停堆系统替代第1停堆系统作为安全级余热排出系统，而将能动的第1停堆系统降为非安全级。

这配置方法国内主流设计思路是相冲突的，从设计实现的角度，要论证非能动的措施具备安全级事故缓解能力可能带来较多的系统验证问题，同时，非安全级的能动系统可靠性也比较难以保证，因为能动系统的可靠性比非能动系统更加依赖安全级供电以及频繁的定期试验。

同时，这套风险指引的LBE选择方法还带来一个额外的重要影响，那就是非安全级物项的安全缓解能力被弱化了，如DAS、第2余热排出系统，在LBE是否能够满足F-C曲线的验收准则的问题上，非安全级物项起到的作用非常小。这就意味着这座设计基准事件选择方法与过去二十年间流行的设置多套非安全级安全缓解措施，并在超设计基准事故期间寄希望与参与超设计基准故缓解的思路似乎背道而驰。

不过，在风险指引的框架下对于非安全级的既用于正常运行、且能够参与事故缓解的设备——如主循环泵，提高其可靠性依然是非常有效的提高电厂安全冗余的措施，这是因为风险指引的事件选择方法在构建保守的PSA模型时并不会调整始发事件发生的频率，这也符合“performance based”的理念——提高运行效率，降低非计划停机频率即有利于提高电厂的经济效益，还能够同时提高电厂的安全性。

参考文献

[1] 杨红义.中国实验快堆设计阶段内部事件一级概率安全评价[D].中国原子能科学研究院，2004.

[2] 郑丽馨.田湾核电站主冷却剂管道小破口失水事故概率安全分析[D].哈尔滨工程大学，2007.

[3] 叶水祥，曹光辉，郗海英，等.基于风险指引型技术的核电厂定期试验监督要求优化研究[J].核科学与工程，2019， 039（3）：423-429.

[4] 国家核安全局，核动力厂安全设计规定，HAF102-2016[S].2016

[5] 国家核安全局，核电厂设计总的安全原则，HAD102/01[S].1989

[6] U.S.NRC，Feasibility Study for a Risk-informed and Performance-Based Regulatory Structure for Future Plant Licensing，NUREG-1860 [R].NRC，2007

[7] 付陟玮，郑洁莹，钱鸿涛，等.F-C（频率后果）曲线在风险指引型监管中的应用研究[J].核安全，2018， 17（4）：10-14.

[8] 杨志义，种毅敏，张佳佳，等.关于核电厂设计扩展工况的初步探讨[J].核安全，2015， v.14;No.51（4）：67-72.

[9] 胡凌生，卢放，陶俊，等.华龙一号设计扩展工况（DEC）选取原则和确定方法[J].核科学与工程， 2019，39（2）：133-138.

[10] 郑华，魏淑虹.新建核电厂设计扩展工况中复杂事故序列的确定方法研究[J].核科学与工程，2018， 38（4）：673-678.