核电厂支持系统不可运行应对策略研究

田　苗，余德诚，李映林，丁小川

核电厂支持系统不可运行应对策略研究

田苗，余德诚，李映林，丁小川

（中国核电工程有限公司，北京 100084）

核电厂运行技术规格书规定了我国核安全法规要求的、电厂必须要严格遵守的运行限值和条件。其中的正常运行限值和条件（LCO）对一系列执行安全功能的系统（被支持系统）以及支持安全系统执行安全功能的系统（支持系统）进行了可运行要求并规定了可运行要求未得到满足时所需采取的措施。但对于完全是由于支持系统的不可运行导致的被支持系统的不可运行的情况，除了执行支持系统相关的LCO不可运行的措施外，针对被支持系统是否需要采取特定的措施还存在管理不明确、不完善、不系统的模糊地带，缺少明确、统一的规定。因此，在我国自主设计的第三代核电技术的运行技术规格书开发过程中，同步研究并开发了一套对支持系统不可运行时的应对策略，并作为执行运行技术规格书必不可少的配套文件使用，可指导核电厂安全、稳定运行，对提高核电厂核安全监管水平有积极的现实意义。

运行技术规格书；支持系统；被支持系统；可运行；不可运行；安全功能

核电厂运行技术规格书规定了核电机组正常运行期间为保障电厂工作人员和公众的安全必须严格遵守的最低的技术要求，涵盖了我国核安全法规（HAD103/01）[1]要求的核电厂必须满足的运行限值和条件，包括安全限值、安全系统整定值、正常运行限值和条件、监督要求以及偏离运行限值和条件时采取的行动，是确保核电机组安全运行的关键文件。

其中，正常运行限值和条件（通常也称“运行限制条件”，LCO作为核电厂运行技术规格书的主体内容，对核电机组安全运行相关重要系统和设备的状态进行了明确规定。在核电机组正常运行过程中，必须严格遵照LCO的要求，确保相关重要系统和设备状态正确，包括确保系统和设备处于可运行状态，能够随时运行以执行功能。

这些重要系统包括了用于核电厂设计基准事故下确保核电机组运行安全的安全系统，如安全注入系统、安全壳喷淋系统等；同时也包括了确保安全系统能够正确执行其功能的重要辅助支持性系统，如驱动仪表（专设安全设施驱动仪表、事故后监测仪表等）、电源（交流电源、直流电源、配电系统等）、冷源（设备冷却水系统等）等。

通常情况下，安全系统（被支持系统）的不可运行（无法处于可运行状态，不能随时运行）可由于其设备缺陷、故障导致，也可由于其支持系统不可运行导致。如冷源系统出现不可运行，被支持系统设备（泵）无法正常冷却，进而无法长期稳定运行以执行其功能，此时，也将认为被支持系统不可运行。

当前，国内核电厂运行技术规格书对被支持系统仅由于支持系统不可运行而不可运行的情况未进行规定[2,3]，由此出现了运行技术规格书执行的模糊地带，即当出现支持系统不可运行导致被支持系统不可运行情况时，完全凭借主观经验判断是否需要执行运行技术规格书中规定的被支持系统不可运行相关措施，从而导致出现了运行技术规格书执行的不确定性，对核电厂运行技术规格书用于确保核电机组安全运行的重要功能的实现造成了影响。

此外，经调研，美国核电厂运行技术规格书中，明确提及[4]：“当完全是由于一个支持系统的运行限制条件不满足而使得被支持系统的运行限制条件不能得到满足时，不要求进入被支持系统相关的状态和执行需采取的措施，仅要求执行支持系统运行限制条件中需采取的措施。”但在其运行技术规格书中缺少更为详细的指导要求。

基于此，在我国自主设计的第三代核电技术的运行技术规格书[5]开发过程中，同步研究并开发了一套对支持系统不可运行时的应对策略，明确支持系统不可运行对安全功能的影响，指导运行人员判断是否需要以及如何采取相应的纠正措施将电厂置于安全的状态，同时还给出了被支持系统的最长完成时间的计算方法。这一套应对策略作为执行运行技术规格书必不可少的配套文件使用，提高了运行技术规格书的执行效率，填补了当前核电厂管理的模糊地带。

1 总体要求

被支持系统的不可运行可由于其设备缺陷、故障导致，也可由于其支持系统不可运行导致。当被支持系统的不可运行由于其支持系统不可运行导致时，参考国内核电厂运行经验，并借鉴美国核电厂运行技术规格书相关要求，仅执行运行技术规格书中规定的支持系统不可运行相关措施是可行的；但是，在这种情况下，由于被支持系统（通常可能为安全系统）出现了不可运行，仍需要制定进一步的补偿措施，以确保核电机组运行安全。

由此，对核电厂支持系统出现不可运行时，主要需要考虑以下几个问题：

（1）明确LCO间支持与被支持关系，以便当某一支持系统出现不可运行时，能够迅速识别受影响的被支持系统；

（2）评估是否存在安全功能丧失：多个支持系统不可运行（或其他并发原因）若导致某个被支持系统安全功能丧失（LOSF），则须采取安全功能丧失相关措施以确保核电机组运行的安全，而不能仅执行支持系统不可运行的措施；只有当不存在安全功能丧失的情况，才允许仅执行支持系统不可运行的措施；

（3）确保被支持系统不会由于支持系统的不可运行而长期处于不可运行状态。

2 技术方案

2.1 LCO支持矩阵梳理

对运行技术规格书中涵盖的各LCO间支持、被支持的关系进行梳理，建立LCO支持矩阵，以便于指导进行应对策略制定。

支持—被支持系统主要关系网络包括如下类别：

（1）水箱—注入系统；

（2）闸门—安全壳系统；

（3）驱动仪表—被驱动设备；

（4）冷源—被冷却设备；

（5）应急柴油发电机组辅助支持系统—应急柴油发电机组—下游配电盘—下游负荷。

在上述工作的基础上，建立LCO支持矩阵，如表1所示。

表1 LCO支持矩阵

2.2 实施安全功能丧失评估

运行技术规格书中规定，假如构筑物、系统和设备（SSC）无法执行事故分析中所假设的安全功能，则认为存在安全功能丧失。通常情况下，可通过对某系统所执行安全功能的冗余系列分别进行分析以评估是否存在安全功能丧失。如果一个或多个冗余系列同时出现不可运行，则可能会出现LOSF。此时，可执行存在LOSF的SSC适用的状态和需采取的措施。

当某一支持系统不可运行且存在下述情况时，将存在安全功能丧失：

（1）不可运行支持系统所支持的系统的冗余系列出现不可运行。

（2）不可运行被支持系统所支持的系统的冗余系列出现不可运行。

（3）不可运行支持系统的冗余系列出现不可运行：

1）冗余系列由于其支持系统出现不可运行而不可运行；

2）冗余系列出现不可运行。

通过此种交叉检查，可以保证安全功能完全丧失时及时得到确认。

针对上述安全功能丧失的3种情况，下面给出其中一种情况的示例进行详细说明。如图1所示（注：图从左向右读，即：系统1是系统2到系统15的支持系统），如果系统2的A系不可运行，且系统1的B列同时出现不可运行，则系统2及被支持系统4、5、8、9、10、11将存在安全功能丧失。

图1 安全功能丧失示例

2.3 被支持系统最长完成时间

某个被支持系统仅由于其支持系统不可运行而不能执行其要求的功能时，根据运行技术规格书要求需要宣告被支持系统不可运行；同时，如果对被支持系统进行安全功能评估认为安全功能没有完全丧失时，不需进入被支持系统适用的状态和需采取的措施，即不需要遵守运行技术规格书中规定的被支持系统不可运行相关措施和完成时间。此时，被支持系统可能会由于支持系统的不可运行而长期处于不可运行状态。通过设定最长完成时间，可以避免被支持系统长期不可运行，从而提高机组运行的安全性。

下面给出了两种用于确定被支持系统最长完成时间的计算方法。其中，方法（1）适用于单一不可运行支持系统导致被支持系统不可运行的情况，方法（2）适用于多个不可运行支持系统导致同一被支持系统不可运行的情况。

（1）单一不可运行支持系统导致被支持系统不可运行

当单一不可运行支持系统导致被支持系统不可运行时，仅需执行支持系统需采取的措施要求，不需执行受影响被支持系统相应状态需采取的措施。

当单一不可运行支持系统导致被支持系统不可运行时，最长完成时间（MOST）根据不可运行的支持系统的措施的完成时间（CT）和被支持系统的措施的完成时间求和后计算MOST：

MOST=CT不可运行支持系统+CT被支持系统

（2）多个不可运行支持系统导致同一被支持系统不可运行

某些情况下，一个被支持系统的多个支持系统可能同时出现不可运行。此时，采用下列方法计算MOST：

1） 根据第一个出现不可运行的支持系统的措施的完成时间增加24小时延长时间再和被支持系统的措施的完成时间求和后计算MOST，即：

MOST=CT第一个不可运行支持系统+CT被支持系统+24小时

或者

2）根据后续出现不可运行的支持系统的措施的完成时间和被支持系统的措施的完成时间求和计算MOST，但从第一个支持系统出现不可运行时开始计时，即：

MOST=CT最新一个不可运行支持系统+CT被支持系统

在实际工程应用中，为保守起见，在计时合理的前提下，建议选取这两种计算方法的最小值。

2.4 实施流程

根据前文所述，对于支持系统不可运行的应对策略执行流程，如图2所示。步骤①至⑪详细描述了识别发生SSC不可运行后执行应对策略的流程。在菱形块所代表的步骤中，须判断相应描述是否能够满足，如果能够满足，按照“是”相关要求执行，如果不能满足，则按照“否”相关要求执行。在矩形块所代表的步骤中，按照箭头流程执行即可。其中步骤⑥和步骤⑦中的“级联”是一种保守的做法，指当支持系统不可运行，即宣告被支持系统不可运行，并执行被支持系统适用的状态和需采取的措施。

图2 应对策略执行流程

3 实施示例

本节将以具体示例对前述应对策略进一步展开说明。

（1）单一支持系统出现不可运行的情况

0时刻，发现设备冷却水系统A列出现不可运行现象，遵照运行技术规格书相应条款要求，须在72小时内恢复不可运行的A列设备冷却水系统至可运行状态，即CT设冷为72小时。

由于设备冷却水系统为泵、风机等各类设备提供冷却水，当其出现不可运行，将会直接导致下游用户（被支持系统）不可运行。同时，由表1可知，当设备冷却水系统出现不可运行时，安全注入系统、安全壳喷淋系统等被支持系统均会出现不可运行状态，即A列安全注入系统、A列安全壳喷淋系统等均会由于A列设备冷却水系统不可运行而不可运行。其中，以安全注入系统为例，如果一列安全注入系统不可运行，运行技术规格书中规定的完成时间为72小时，即CT安注为72小时。

遵照前述应对策略，在本例中，A 列安全注入系统（被支持系统）仅是由于A列设备冷却水系统（支持系统）不可运行而导致不可运行，并不存在其他不可运行情况，且安全注入安全功能未丧失：此时，B 列安全注入系统为可运行状态，两列安全注入系统未同时出现不可运行。

因此，在本例中，仅需执行运行技术规格书中规定的A列设备冷却水系统不可运行相应的需采取的措施，而无需执行A列安全注入系统不可运行相应的需采取的措施，同时，允许A列安全注入系统不可运行的最长时间（MOST）为：

MOST安注=CT设冷+CT安注=72小时+72小时= 144小时

即是，从0时刻开始计时，144小时内应恢复A列安全注入系统的可运行。

（2）多个支持系统出现不可运行的情况

在前例中，如果1时刻，发现A列交流电源配电系列出现不可运行现象。遵照运行技术规格书相应条款要求，须在8小时内恢复不可运行的A列交流电源配电系列至可运行状态，即CT电源为8小时。

同时，由表1可知，配电系统同样作为安全注入系统的支持系统。此时，A列安全注入系统（被支持系统）的不可运行由A列设备冷却水系统（支持系统）和A列交流电源配电系列（支持系统）不可运行导致。对于安全注入系统而言，允许A列安全注入系统不可运行的最长时间（MOST）为：

MOST=CT设冷+CT安注+24小时=72小时+72小时+24小时=168小时，或

MOST=CT电源+CT安注=8小时+72小时=80小时

此时，MOST建议选取为80小时，即从T0时刻开始计时，80小时内应恢复A列安全注入系统的可运行。

4 总结

本文对核电厂支持系统不可运行提出了一套完备的应对策略，首先通过梳理支持系统、被支持系统矩阵，明确了支持系统、被支持系统相互支持关系，其次通过实施安全功能丧失评估，确认安全功能是否完全丧失，最后根据安全功能是否丧失采取不同的措施，期间设定被支持系统的最长完成时间，避免被支持系统长时间不可运行。这一套应对策略作为执行运行技术规格书必不可少的配套文件使用，方法科学、高效，可指导核电厂安全、稳定运行，对提高核电厂核安全监管水平有积极的现实意义。

［1］ 核动力厂运行限值和条件及运行规程，HAD103/ 01［Z］．2004.

［2］ 福建福清核电厂一期工程运行技术规格书［R］．中国核电工程有限公司，2016.

［3］ 田湾核电站扩建工程5、6号机组运行技术规格书［R］. 中国核电工程有限公司，2018.

［4］ 压水堆核电厂标准运行技术规格书［R］．美国西屋公司，NUREG-1431，2012.

［5］ 华龙一号运行技术规格书［R］．中国核电工程有限公司，2020.

Study on Strategies for Inoperability of the Nuclear Power Plant Supporting System

TIAN Miao，YU Decheng，LI Yinglin，DING Xiaochuan

（China Nuclear Power Engineering Co.，LTD，Beijing 100084，China）

The operation technical specifications of nuclear power plant specifies the operational limits and conditions required by China’s nuclear safety regulations and which must be strictly observed by nuclear power plants. Limiting Conditions for Operation (LCO) included in the operational limits and conditions requires the operability of a series of systems performing safety functions (known as the supported system) and the systems supporting other systems to perform safety functions (known as the supporting system), and specifies the actions to be taken when the operability requirements are not met. However, when a supported system LCO is not met solely due to a supporting system LCO not being met, except for the required actions of the supporting system related LCO to be taken, there is a lack of clear and unified regulations on whether the supported system needs to take specific actions and there are still ambiguous fields with undefined, incomplete and unsystematic management. Therefore, in the development process of the operation technical specifications for China’s independently designed third-generation nuclear power technology, a set of response strategies for the inoperability of NPP supporting systems are researched and developed simultaneously, and used as an indispensable supporting document for operation technical specifications, which can guide the safe and stable operation of nuclear power plants, and have positive practical significance for improving the level of NPP nuclear safety supervision.

Operation technical specification；Supporting system；Supported system；Operable/ Operability；Inoperable/Inoperability；Safety function

TL48

A

0258-0918（2022）01-0100-06

2021-01-14

田 苗（1985—），女，满族，河北承德人，高级工程师，硕士研究生，现主要从事核电厂运行与调试相关设计机关研究