核電廠控制系統(tǒng)軟件共因故障應(yīng)對(duì)及評(píng)價(jià)

余 毅，張 敬，孫興見(jiàn)

（生態(tài)環(huán)境部華北核與輻射安全監(jiān)督站，北京 100082）

近年來(lái)，數(shù)字化儀控系統(tǒng)在我國(guó)核電廠中得到廣泛應(yīng)用［1］。這些數(shù)字化儀控系統(tǒng)將核電廠各種控制功能集中于通用的計(jì)算機(jī)系統(tǒng)平臺(tái)，并主要以軟件指令的形式來(lái)實(shí)現(xiàn)。軟件帶來(lái)的潛在核安全問(wèn)題越來(lái)越受到關(guān)注。

2016年，國(guó)家核安全局修訂發(fā)布了新版《核動(dòng)力廠設(shè)計(jì)安全規(guī)定》［2］（HAF 102—2016），該《規(guī)定》首次從法規(guī)層面明確了必須考慮由軟件引起的共因故障。

1 核電廠數(shù)字化儀控系統(tǒng)縱深防御設(shè)計(jì)審評(píng)要求

1.1 我國(guó)核安全審評(píng)要求

核電廠儀控系統(tǒng)為核電廠在所有正常、異常和事故工況下的可靠運(yùn)行提供了各種控制和保護(hù)手段及監(jiān)控信息，同時(shí)其系統(tǒng)結(jié)構(gòu)設(shè)計(jì)還應(yīng)滿足核安全審評(píng)相關(guān)要求。

HAF 102—2016要求設(shè)計(jì)必須體現(xiàn)縱深防御原則，相關(guān)的儀控導(dǎo)則IAEA SSG 39［3］要求儀控系統(tǒng)建立自身的縱深防御體系。結(jié)合核安全審評(píng)的內(nèi)容和關(guān)注方面［4，5］，核電廠數(shù)字化儀控系統(tǒng)應(yīng)劃分為控制系統(tǒng)、反應(yīng)堆緊急停堆系統(tǒng)、專設(shè)安全設(shè)施驅(qū)動(dòng)系統(tǒng)、手動(dòng)控制和顯示系統(tǒng)。這些系統(tǒng)為核電廠縱深防御各層次的工藝系統(tǒng)提供了相應(yīng)的監(jiān)測(cè)和控制手段，并且被設(shè)置成多樣化的，以保障在反應(yīng)堆緊急停堆系統(tǒng)及部分專設(shè)安全設(shè)施驅(qū)動(dòng)系統(tǒng)發(fā)生共因故障情況下，反應(yīng)堆自動(dòng)保護(hù)功能的執(zhí)行，且不受控制系統(tǒng)不安全動(dòng)作的影響。儀控系統(tǒng)結(jié)構(gòu)要求如圖1所示，其中ATWS，為未能緊急停堆預(yù)期瞬態(tài)系統(tǒng)（anticipat?ed transients without trip system,簡(jiǎn)稱ATWS）。

圖1 核電廠數(shù)字化儀控系統(tǒng)結(jié)構(gòu)要求Fig.1 Structural requirements for digital instrumentation and control（DI&C）systems of nuclear power plant（NPP）

同時(shí)，為了確保相關(guān)縱深防御和多樣性設(shè)計(jì)的有效性，核電廠還需要在初步安全分析階段提出縱深防御和多樣性的要求，并在詳細(xì)設(shè)計(jì)中掌握擬采用的數(shù)字化設(shè)備的安全特性，在最終安全分析階段對(duì)所有的數(shù)字化儀控系統(tǒng)設(shè)備縱深防御和多樣性設(shè)計(jì)進(jìn)行分析、評(píng)價(jià)（de?fense-in-depth and diversity assessment,簡(jiǎn)稱D3評(píng)價(jià)）。

1.2 美國(guó)核管會(huì)新版NUREG 0800 BTP 7-19主要觀點(diǎn)

美國(guó)核管會(huì)組織對(duì)核電廠儀控系統(tǒng)軟件共因故障可能導(dǎo)致的潛在安全風(fēng)險(xiǎn)進(jìn)行了長(zhǎng)期研究，并形成了一套核電廠數(shù)字化儀控系統(tǒng)縱深防御和多樣性設(shè)計(jì)審評(píng)的方法和要求，相關(guān)文件及主要內(nèi)容見(jiàn)表1。

表1 美國(guó)核管會(huì)核電廠數(shù)字化儀控系統(tǒng)縱深防御和多樣性相關(guān)監(jiān)管文件Table 1 Regulatory documents related to defense-in-depth and diversity（D3）of DI&C systems of NPP of the U.S.Nuclear Regulatory Commission

2021年，美國(guó)核管會(huì)正式發(fā)布了NUREG 0800 BTP 7-19第8版［6］，納入了SECY-18-0090［7］中基于數(shù)字化儀控系統(tǒng)安全重要性分級(jí)評(píng)價(jià)的要求，提出了相應(yīng)的安全重要性分級(jí)原則，并進(jìn)一步明確了需要進(jìn)行D3評(píng)價(jià)的數(shù)字化儀控系統(tǒng)設(shè)備的范圍，以及不需要進(jìn)行D3評(píng)價(jià)的情況及其替代評(píng)價(jià)方法。

2 核電廠數(shù)字化儀控系統(tǒng)縱深防御設(shè)計(jì)關(guān)注的問(wèn)題

2.1 “華龍一號(hào)”關(guān)注問(wèn)題

以“華龍一號(hào)”的設(shè)計(jì)為例［8，9］，核電廠數(shù)字化儀控系統(tǒng)按照提供的功能，一般可以分為保護(hù)和安全監(jiān)測(cè)系統(tǒng)、核電廠控制系統(tǒng)、嚴(yán)重事故儀控系統(tǒng)和主控室系統(tǒng)等。其中保護(hù)和安全監(jiān)測(cè)系統(tǒng)執(zhí)行安全要求相關(guān)功能，如緊急停堆和專設(shè)安全設(shè)施驅(qū)動(dòng)等，屬于安全級(jí)設(shè)備；核電廠控制系統(tǒng)執(zhí)行正常運(yùn)行相關(guān)功能，如反應(yīng)堆功率調(diào)節(jié)、穩(wěn)壓器壓力控制、蒸汽發(fā)生器水位控制和蒸汽排放控制等，屬于非安全級(jí)設(shè)備。

根據(jù)“華龍一號(hào)”數(shù)字化儀控系統(tǒng)設(shè)計(jì)方案［8］，其縱深防御和多樣性各層次見(jiàn)表2。

表2 “華龍一號(hào)”儀控系統(tǒng)縱深防御和多樣性各層次Table 2 Echelons of defense of the DI&C systems of the Hualong One

從多樣化儀控系統(tǒng)的設(shè)置來(lái)看，“華龍一號(hào)”數(shù)字化儀控系統(tǒng)設(shè)計(jì)方案主要考慮了安全級(jí)儀控系統(tǒng)軟件共因故障的情況，例如通過(guò)設(shè)置多樣化保護(hù)系統(tǒng)和緊急操作盤等，來(lái)應(yīng)對(duì)可能的預(yù)期運(yùn)行事件或假想事故與反應(yīng)堆保護(hù)系統(tǒng)軟件共因故障同時(shí)發(fā)生所帶來(lái)的影響。

對(duì)于核電廠控制系統(tǒng)等安全影響重要性較低儀控系統(tǒng)的軟件共因故障，由于相關(guān)法規(guī)要求較為籠統(tǒng)，缺少相關(guān)的設(shè)計(jì)準(zhǔn)則和接受準(zhǔn)則，“華龍一號(hào)”數(shù)字化儀控系統(tǒng)設(shè)計(jì)方案中未體現(xiàn)出具體針對(duì)性措施，而是將其作為后續(xù)需要關(guān)注的問(wèn)題［8］。

2.2 相關(guān)運(yùn)行事件分析

從對(duì)核電廠相關(guān)運(yùn)行事件的分析來(lái)看［1,10］，經(jīng)過(guò)相對(duì)嚴(yán)格的驗(yàn)證和確認(rèn)后的數(shù)字化儀控系統(tǒng)，包括安全級(jí)儀控系統(tǒng)設(shè)備，在核電現(xiàn)場(chǎng)調(diào)試運(yùn)行中仍暴露了設(shè)計(jì)不周和軟件程序缺陷等問(wèn)題。對(duì)于非安全級(jí)數(shù)字化儀控系統(tǒng)，相關(guān)的絕大部分事件雖然沒(méi)有對(duì)安全功能產(chǎn)生直接影響，但部分事件引入了不必要的瞬態(tài)，不利于機(jī)組安全運(yùn)行，個(gè)別事件中甚至出現(xiàn)了燃料組件被拉彎的非預(yù)期情況。

3 核電廠控制系統(tǒng)軟件共因故障的應(yīng)對(duì)及評(píng)價(jià)

筆者根據(jù)HAF 102—2016的總體要求，借鑒美國(guó)核管會(huì)BTP 7-19中的主要觀點(diǎn)，對(duì)核電廠控制系統(tǒng)軟件共因故障應(yīng)對(duì)策略進(jìn)行了分析，并提出了相應(yīng)的評(píng)價(jià)方法和準(zhǔn)則。

3.1 應(yīng)對(duì)策略

3.1.1 安全目標(biāo)分析

根據(jù)核安全審評(píng)相關(guān)要求，我們應(yīng)對(duì)安全分析報(bào)告中各類設(shè)計(jì)工況疊加反應(yīng)堆保護(hù)系統(tǒng)軟件共因故障失效進(jìn)行D3評(píng)價(jià)。安全目標(biāo)為廠址環(huán)境劑量釋放不超過(guò)設(shè)計(jì)要求的10%，且反應(yīng)堆冷卻劑壓力邊界和安全殼的完整性不受破壞。

BTP 7-19中對(duì)核電廠控制系統(tǒng)等安全影響重要性較低儀控系統(tǒng)軟件共因故障的安全目標(biāo)為：相關(guān)故障不會(huì)對(duì)安全功能產(chǎn)生不利影響，且不會(huì)將電廠置于無(wú)法合理緩解的工況下。如果滿足上述要求，則無(wú)需進(jìn)行D3評(píng)價(jià)。

3.1.2 安全分級(jí)的應(yīng)用

HAF 102—2016要求“必須識(shí)別所有安全重要物項(xiàng)，并根據(jù)其功能和安全重要性對(duì)其進(jìn)行分級(jí)”，這對(duì)核電廠儀控系統(tǒng)軟件共因故障的應(yīng)對(duì)及評(píng)價(jià)也是適用的，但現(xiàn)有的分級(jí)可能并不能完全適用。

例如：參考“華龍一號(hào)”的設(shè)計(jì)，核電廠儀控系統(tǒng)設(shè)備被分為安全級(jí)（1E）、非安全級(jí)（NC）和有特殊要求的非安全級(jí)（NC+），同為安全級(jí)的緊急停堆系統(tǒng)和控制室空調(diào)系統(tǒng)，但對(duì)安全影響的重要性差別較大；定義為非安全級(jí)的核電廠控制系統(tǒng)，在部分核電廠運(yùn)行事件中也可能會(huì)對(duì)安全運(yùn)行造成影響，在個(gè)別案例中甚至導(dǎo)致了非預(yù)期的情況；有特殊要求的非安全級(jí)則大部分是抗震等級(jí)要求，軟件共因故障并不適用。

因此，鑒于儀控系統(tǒng)設(shè)備對(duì)安全影響的重要程度不同，有必要在原有的安全級(jí)和非安全級(jí)基礎(chǔ)上作進(jìn)一步劃分。

3.1.3 評(píng)價(jià)方法和準(zhǔn)則的選擇

根據(jù)分級(jí)分類管理的理念，我們應(yīng)根據(jù)對(duì)安全影響的重要程度確定評(píng)價(jià)方法和準(zhǔn)則。安全影響重要性較低的儀控系統(tǒng)設(shè)備的評(píng)價(jià)方法和準(zhǔn)則的確定，應(yīng)考慮更多選擇，包括在縱深防御概念的應(yīng)用、采用定性評(píng)價(jià)或是定量評(píng)價(jià)以及失效后果的評(píng)價(jià)等方面。

3.1.4 評(píng)價(jià)流程建議

根據(jù)上述應(yīng)對(duì)策略，安全重要性較低的儀控系統(tǒng)軟件共因故障評(píng)價(jià)主要步驟及建議流程如圖2所示。

圖2 核電廠安全重要性較低的儀控系統(tǒng)軟件共因故障評(píng)價(jià)流程Fig.2 Evaluation process of the common-cause failure（CCF）caused by software of the lower safety significance DI&C in NPP

3.2 安全分類

核電廠數(shù)字化儀控系統(tǒng)的安全分類，在安全級(jí)和非安全級(jí)基礎(chǔ)上，參考BTP 7-19對(duì)儀控系統(tǒng)縱深防御和核安全影響重要程度的要求，劃分為四類，并對(duì)應(yīng)不同的軟件共因故障評(píng)價(jià)方式，見(jiàn)表3。

表3 軟件共因故障評(píng)價(jià)安全分類Table 3 Safety classification of the evaluation of the CCF caused by software

3.2.1 對(duì)安全有重要影響

A1類屬于安全級(jí)儀控系統(tǒng)，且至少滿足下面三個(gè)條件之一：

（1）從觸發(fā)到完成相關(guān)控制功能，將電廠參數(shù)保持在設(shè)計(jì)基準(zhǔn)要求的可接受范圍內(nèi)，或者使核電廠達(dá)到初始安全停堆狀態(tài)后并保持安全狀態(tài)。

（2）如果沒(méi)有其他自動(dòng)系統(tǒng)提供安全功能，或沒(méi)有預(yù)先計(jì)劃的手動(dòng)操作已被驗(yàn)證提供安全功能，則其故障可能直接導(dǎo)致事故條件，可能產(chǎn)生不可接受的后果（例如超過(guò)設(shè)計(jì)基準(zhǔn)規(guī)定的劑量）。

（3）在安全分析報(bào)告中，其他被認(rèn)為對(duì)安全有重要影響的功能。

對(duì)安全有重要影響的儀控系統(tǒng)設(shè)備，必須對(duì)其縱深防御設(shè)計(jì)進(jìn)行D3評(píng)價(jià)。

3.2.2 安全影響重要性較低

A2類屬于安全級(jí)儀控系統(tǒng)，在實(shí)現(xiàn)或保障電廠核安全方面提供輔助或間接功能。

B1類不屬于安全級(jí)儀控系統(tǒng)，但至少滿足下面兩個(gè)條件之一：

（1）直接影響反應(yīng)堆的反應(yīng)性或功率水平，或影響安全屏障（燃料包殼、反應(yīng)堆壓力容器或安全殼）的完整性。

（2）由于將多個(gè)控制功能集成到一個(gè)系統(tǒng)中，其故障可能會(huì)對(duì)電廠安全造成不可接受的后果。

對(duì)安全影響重要性較低的A2類和B1類儀控系統(tǒng)設(shè)備，可采用定性評(píng)價(jià)的方式來(lái)替代D3評(píng)價(jià)中的定量分析，并且可以用失效后果評(píng)價(jià)來(lái)替代D3評(píng)價(jià)的驗(yàn)收準(zhǔn)則。

3.2.3 安全影響重要性極低

B2類不屬于安全級(jí)儀控系統(tǒng)，且至少滿足下面兩個(gè)條件之一：

（1）對(duì)反應(yīng)性或反應(yīng)堆功率水平?jīng)]有直接影響。

（2）其故障不會(huì)對(duì)電廠安全造成影響，或其故障可以被其他系統(tǒng)檢測(cè)和合理緩解。

對(duì)安全影響重要性極低的儀控系統(tǒng)設(shè)備的縱深防御設(shè)計(jì)及評(píng)價(jià)沒(méi)有要求。

3.3 定性評(píng)價(jià)

參考BTP 7-19中相關(guān)要求，安全影響重要性較低數(shù)字化儀控系統(tǒng)設(shè)備的定性評(píng)價(jià)需要考慮三方面因素：設(shè)計(jì)屬性和特征、設(shè)計(jì)過(guò)程的質(zhì)量和運(yùn)行經(jīng)驗(yàn)，以證明其發(fā)生共因故障可能性足夠低，即低于核電廠安全分析中其他需要考慮的假設(shè)始發(fā)事件的發(fā)生概率。

（1）設(shè)計(jì)屬性

設(shè)計(jì)屬性可以防止或限制故障的發(fā)生。設(shè)計(jì)屬性主要指儀控系統(tǒng)內(nèi)置功能，如內(nèi)部冗余設(shè)計(jì)、故障檢測(cè)和監(jiān)視及自診斷功能等。同時(shí)，也可以考慮儀控系統(tǒng)自身之外的設(shè)計(jì)，例如：閥門或泵轉(zhuǎn)速控制中使用的機(jī)械鎖止裝置。

多樣性也是設(shè)計(jì)屬性的一個(gè)方面，核電廠可以使用該屬性來(lái)證明：數(shù)字化儀控系統(tǒng)已經(jīng)受到多樣化手段保護(hù)，不會(huì)因潛在的軟件共因失效而喪失設(shè)計(jì)功能。

（2）設(shè)計(jì)過(guò)程質(zhì)量

設(shè)計(jì)過(guò)程包括軟件開發(fā)、硬件和軟件集成過(guò)程、系統(tǒng)設(shè)計(jì)以及驗(yàn)證和確認(rèn)過(guò)程。設(shè)計(jì)過(guò)程質(zhì)量標(biāo)準(zhǔn)區(qū)別于質(zhì)量保證大綱或程序。質(zhì)量標(biāo)準(zhǔn)是指描述設(shè)計(jì)中規(guī)定要達(dá)到的技術(shù)標(biāo)準(zhǔn)，并且應(yīng)是經(jīng)監(jiān)管部門和行業(yè)都認(rèn)可的導(dǎo)則標(biāo)準(zhǔn)文件。例如：《核動(dòng)力廠基于計(jì)算機(jī)的安全重要系統(tǒng)軟件》（HAD 102/16）［11］、美國(guó)核管會(huì)導(dǎo)則《核電廠安全系統(tǒng)中使用的數(shù)字計(jì)算機(jī)軟件開發(fā)軟件生命周期過(guò)程》（RG 1.173）［12］等。

（3）運(yùn)行經(jīng)驗(yàn)

相關(guān)操作經(jīng)驗(yàn)也可以用于證明和評(píng)價(jià)擬使用的數(shù)字化儀控系統(tǒng)設(shè)備具有足夠的可靠性。評(píng)價(jià)時(shí)應(yīng)注意實(shí)際所使用的數(shù)字化儀控系統(tǒng)，與所評(píng)價(jià)的儀控系統(tǒng)設(shè)備在具體的硬件和軟件之間的差異，確保所評(píng)價(jià)系統(tǒng)設(shè)備的軟件架構(gòu)與實(shí)際使用系統(tǒng)設(shè)備的架構(gòu)基本相似。

所評(píng)價(jià)的儀控系統(tǒng)設(shè)備的設(shè)計(jì)條件和運(yùn)行模式也需要與擬實(shí)際使用數(shù)字儀控系統(tǒng)設(shè)備的設(shè)計(jì)條件和運(yùn)行模式基本相似，包括環(huán)境條件、連續(xù)工作時(shí)間要求等。同時(shí)，在作為其他系統(tǒng)設(shè)備參考時(shí)，還應(yīng)了解設(shè)計(jì)中存在哪些緩解軟件共因故障的設(shè)計(jì)特征，以及其運(yùn)行經(jīng)驗(yàn)是否適用。

3.4 失效影響分析

失效影響分析包括失效對(duì)儀控系統(tǒng)自身的影響和對(duì)核安全的潛在影響兩個(gè)層面，前者需進(jìn)一步證明自身發(fā)生概率低，后者則需證明對(duì)核安全功能的影響或者后果可接受。

3.4.1 對(duì)儀控系統(tǒng)自身的影響

失效影響分析需要從定性評(píng)價(jià)三個(gè)方面因素，來(lái)驗(yàn)證被評(píng)價(jià)的儀控系統(tǒng)設(shè)備是否滿足軟件共因故障發(fā)生概率足夠低的要求，相關(guān)準(zhǔn)則如下：

（1）具有降低共因故障風(fēng)險(xiǎn)的設(shè)計(jì)屬性和特征，以降低共因故障的可能性。

（2）設(shè)計(jì)制造過(guò)程質(zhì)量降低了共因故障的可能性。

（3）相關(guān)運(yùn)行經(jīng)驗(yàn)證明：能夠在設(shè)計(jì)條件下達(dá)到較高的可靠性。

（4）不會(huì)導(dǎo)致非預(yù)期的情況。

3.4.2 對(duì)核安全的潛在影響

對(duì)核安全的潛在影響分析，應(yīng)結(jié)合具體的儀控系統(tǒng)及執(zhí)行的功能來(lái)進(jìn)行。以核電廠控制系統(tǒng)為例，其軟件共因故障可能后果分析主要步驟如下。

（1）選取并確定安全目標(biāo)。例如：燃料包殼完整性，儀控系統(tǒng)設(shè)置有針對(duì)DNBR的保護(hù)信號(hào)，來(lái)保障燃料包殼完整性。

（2）失效影響路徑分析。核電廠控制系統(tǒng)涉及反應(yīng)堆功率調(diào)節(jié)、穩(wěn)壓器壓力控制、二回路溫度和流量等多系統(tǒng)參數(shù)的控制，對(duì)DNBR和燃料包殼完整性安全目標(biāo)的影響路徑1如圖3所示，相關(guān)參數(shù)的變化包括二回路溫度降低、二回路流量增加和反應(yīng)堆功率提升。

圖3 核電廠控制系統(tǒng)對(duì)燃料包殼完整性的影響路徑1Fig.3 Influence path of NPP control system on fuel cladding integrity 1

對(duì)DNBR和燃料包殼完整性安全目標(biāo)的影響路徑2如圖4所示，相關(guān)參數(shù)的變化包括二回路溫度升高、二回路流量降低和穩(wěn)壓器壓力降低。

圖4 核電廠控制系統(tǒng)對(duì)燃料包殼完整性的影響路徑2Fig.4 Influence path of NPP control system on fuel cladding integrity 2

（3）分析可能的最壞后果。結(jié)合辨別的核電廠控制系統(tǒng)軟件共因故障弱點(diǎn)，選擇相應(yīng)的失效組合作為輸入，根據(jù)影響路徑綜合考慮相關(guān)變化參數(shù)，分析評(píng)價(jià)對(duì)選定安全目標(biāo)可能的最壞后果，確保不會(huì)對(duì)安全功能產(chǎn)生不利影響或?qū)㈦姀S置于無(wú)法合理緩解的條件下。

核安全潛在影響的失效影響分析相關(guān)的準(zhǔn)則如下：

（1）失效影響分析反映出的對(duì)安全影響重要性程度與分類一致。

（2）沒(méi)有連接到更高安全分類的系統(tǒng)設(shè)備。

（3）失效影響分析已經(jīng)充分考慮了軟件共因故障導(dǎo)致的誤動(dòng)作。

（4）不會(huì)對(duì)安全功能產(chǎn)生不利影響，且不會(huì)將電廠置于無(wú)法合理緩解的工況條件下。

4 結(jié)論

本文對(duì)如何考慮核電廠控制系統(tǒng)等安全影響重要性較低儀控系統(tǒng)軟件引起的共因故障，從安全目標(biāo)、安全分級(jí)和評(píng)價(jià)方法等方面進(jìn)行了分析，并借鑒BTP 7-19提出了相應(yīng)的方法和準(zhǔn)則，對(duì)核電廠數(shù)字化儀控系統(tǒng)自身縱深防御的構(gòu)建以及相關(guān)設(shè)計(jì)和審評(píng)具有一定的參考價(jià)值。