厂用水系统（Service Water System,SWS）作为核电厂将电厂热量载至最终热阱的重要系统，虽然自身不承担安全相关功能，但它通过设备冷却水系统为核岛的相关设备提供冷源以实现核电厂在正常运行工况和事故工况下的热量载出功能，同时还直接为常规岛的重要设备提供冷源，因此评价SWS在各种运行模式及需求条件下的可靠性与安全性对核电厂的运行及事故缓解具有重要意义。

概率安全分析（Probabilistic Safety Analysis,PSA）是核电厂进行安全分析的通用方法^[1]，它结合可靠性评价技术（如故障树、事件树方法）和概率风险评价技术对复杂系统中各种可能发生的事件及其进程进行全面考虑，并从事件的发生概率与事故后果进行综合分析^[2]。

本文将以目标核电厂SWS为分析对象，分别从事故缓解支持手段和核电厂始发事件贡献因素两个角度评价厂用水系统的可运行性与可靠性，并给出定量化评价结果，具体内容包括：建立故障树模型，定量分析系统的薄弱环节并对系统结构的设计方案提供支撑信息；根据系统正常运行模式和相关的维修试验规则，采用蒙特卡罗方法进行可靠性建模^[3,4,5,6,7]，计算以丧失厂用水作为始发事件的发生频率，并识别与分析影响系统可运行性指标的关键因素。

厂用水系统（SWS）为设备冷却水系统（Component Cooling System，CCS）的换热器提供冷却水源，主要支持与CCS的纵深防御相关的功能（如对余热排出系统的换热器的冷却），以及CCS的其他功能（如对停堆、热备用、启动和正常运行所需的各个设备的冷却），因而其功能主要通过对CCS的冷却得以体现。

SWS包括两列部件，每列各包括一个100%补水能力的给水泵、自动反冲洗过滤器、100%冷却功能的冷却塔单元，以及相关管道、阀门、控制装置与仪表，且每列分别向一台CCS热交换器提供冷却功能。SWS在两列厂用水的过滤器上游与CCS换热器下游所分别设有交叉连接管道，使得在只需1台CCS换热器工作时，可自由选择厂用水泵和冷却塔单元完成冷却功能。每个冷却塔单元设有一组位于单元顶部的螺旋桨式风扇组。简化流程见图1。

图   1  厂用水系统简化工作流程图

Figure  1.  Workflow of service water system

SWS机力冷却塔的补水功能由原生水系统（Raw Water System）通过海水预处理系统（TPS）来完成，也即RWS实现海水的取排功能，TPS则对RWS供应的海水原水进行处理后向冷却机力塔提供海水清水。SWS系统机力冷却塔的简化补水工作流程见图2。

图   2  厂用水系统冷却塔补水工作流程

Figure  2.  Workflow of water supply for the cooling tower of SWS

系统正常运行工况下，若要求1台CCS换热器工作，则关闭备用换热器上游的隔离阀V014A或V014B，并开启旁路阀门，以维持备用换热器的最小流量。

停堆冷却阶段，需两列的SWS与CCS换热器分别独立运行，此时需关闭隔离阀V036或V060，以及隔离阀V083或V061。

冷却塔在喷淋头隔离阀前设有旁路管道及隔离阀V038A和V038B，它开启后可以使系统在冷却塔被隔离的情况下运行。旁路的使用主要是为了防止外界温度过冷导致冷却塔结冰的情况。

寒冷天气下，需开启旁路阀V038A/B，关闭喷淋头电动隔离阀V037A/B，以防空冷塔设备结冰；同时，必须开启通常情况下不投入运行的空冷塔阀门V090A/B，以保证空冷塔的回流管线有小流量回流，有助于防止位于厂区空地的回流管线被冻结。不妨假设，阀门V090A/B全年保持开启状态。

SWS的定期维修要求主要考虑针对整列的系统预防性维修，即同时对A列的泵、换热器以及冷却塔进行预防性维修。根据目前设计，系统的预防性维修的周期为18个月，每次预防性维修的时长约为17天。

本文不考虑系统自身物理参数（如流量）的评价，重点关注与系统可运行性及可靠性相关的内容，并根据SWS非安全相关的设计准则，确定了如下的5个评价指标：

指标1：正常运行工况下，以年（8 760 h）为基础评估SWS的年度可靠性；在寒冷天气条件下，以2个月（1 440 h）为基础评估其在寒冷季节下的可靠性。

指标2：冷停堆阶段，以96 h（基于系统运行工况要求）为基础评估SWS在冷停堆开始阶段和冷停堆完成阶段的任务可靠性。

指标3：以72 h（先进堆型72 h不干预）作为任务时间窗口，评价在可能的事故情况下，SWS作为支持系统的任务可靠性。

指标4：正常运行工况下，以年（8 760 h）为基础，评价以丧失厂用水作为始发事件的年发生频率（次/年）。

指标5：评价SWS的年不可用 小时数，是否满足设计准则中规定的SWS不用性目标不超过1.5 h/年。

定量化分析所需的数据主要包括设备基础失效数据、维修不可用数据以及共因失效数据。本文参考的通用数据库以中国核电厂设备可靠性数据报告（2016版）^[8]为主，辅以美国非能动先进轻水堆用户要求（URD）文件中的可靠性数据库、美国商用核电厂设备和始发事件平均性能（NUREG/CR-6928）。

设备基础失效数据主要参考《中国核电厂设备可靠性数据报告》（2016版）。对于缺乏个别设备失效模式数据的情况，酌情选择URD文件和NUREG/CR-6928文件中的相关数据加以补充。

试验、维修不可用度数据一般需参考诸如定期实验监督大纲、系统的预防性维修大纲、维修规程/程序等文件。由于本文所考察的核电站没有明确的定期试验监督要求及预防性维修大纲，因此以URD文件和NUREG/CR-6928文件为主要参考。

共因失效在可靠性分析模型中设定的参数同样采用通用数据进行模化。除冷却塔风扇外，本文仅需要考虑两个设备的共因，主要参考URD文件。

本文从厂用水系统（SWS）自身可靠性的角度出发，采用故障树方法评价其在全年运行及事故工况下作为缓解功能的可靠性指标^[9]。

根据前面的功能描述及运行要求，本文采用以下不同的配置方式进行包络分析：（1）正常运行工况包括启动、满功率、非满功率（50%、75%）等，需要SWS的1台给水泵、1台空冷塔和1台设冷水换热器工作；（2）停堆阶段包括冷停堆（4~20 h、20 h后）、换料工况等，需要SWS的2台给水泵、2台空冷塔和2台设冷水换热器分为两列独立运行，且工作时间分为停堆起始阶段（停堆后4 h）、停堆结束阶段（停堆后96 h）；（3）寒冷天气的运行工况除了要隔离掉两台空冷塔将冷却水直接排入冷却水集水池外，系统的运行配置与前两种情况相同。由此可建立4棵故障树对上述情况进行模化，其对应的顶事件为：

1）正常运行工况（非寒冷天气）的SWS失效。其成功准则为两列中一列成功运行即可；通过机力冷却塔作为热阱载出系统热量。任务时间为8 760 h。此顶事件还可用于72 h任务时间下事故缓解功能的失效概率评价。

2）停堆阶段（非寒冷天气）的SWS失效。其成功准则为两列均成功运行；通过机力冷却塔作为热阱载出系统热量；任务时间为96 h。

3）正常运行工况（寒冷天气）的SWS失效。其成功准则为两列中一列成功运行即可；开启旁路阀V038A/B，关闭喷淋头电动隔离阀V037A/B，通过冷却塔集水池载出系统热量。任务时间为1 440 h。同样，此顶事件还可用于72 h任务时间下事故缓解功能的失效概率评价。

4）停堆阶段（寒冷天气）的SWS失效。其成功准则为两列均成功运行；开启旁路阀V038A/B，关闭喷淋头电动隔离阀V037A/B，通过冷却塔集水池载出系统热量。任务时间为96 h。

针对厂用水系统故障树模型，本文作以下假设：

1）冷却塔集水池、厂用水泵吸水池及管道等非能动设备失效概率极低，在模型中不进行模化。

2）根据工程经验及分析惯例，支管的管径小于主管道管径1/3的可认为其破裂、外漏等失效模式不会影响主管道的功能。

3）因条件所限，模型中暂不详细模化电力支持系统对厂用水系统失效的影响逻辑，考虑到核电厂的电源设计大体上类似，在研究中参考核电厂常用类似电源母线的失效数据作为输入进行模化，在条件具备后可对模型进行调整和完善。

4）厂用水系统设备失效后任务切换时间较长，分析中不考虑人因失误。

5）根据系统设计要求，两列给水泵、空冷塔和CCS换热器均不可进行同时维修，在故障树中采用互斥事件的方式进行模化。

6）对系统中设备的共因失效采用多希腊字母（MGL）模型进行模化。

7）对RWS的模化，仅考虑3台泵（3取2）和1条取水管线，且不考虑取水管线上手动阀门的失效。

8）假设厂址寒冷期为2个月，因此故障树SWS3的任务时间为1 440 h；并且在评价系统事故工况下作为缓解措施支持手段时，按照72 h不干预的情况进行考虑。

模系统故障树的建模及定量化分析采用业内通用的风险评价软件Risk Spectrum PSA进行，并得到如下的定量化结果。

对应于4棵SWS故障树顶事件的失效率的均值及不确定性分析结果如表1所示。

根据定量化结果的最小割集（MCS）分析，可得到如下结论：对这4棵故障树顶事件的发生有最大贡献的事件分别为海水预处理系统电动阀V1004X不能保持开、厂用水系统两列电动泵MP01A/MP001B的运行失效、厂用水系统泵出口电动阀V002A/B共因不能保持开、以及厂用水系统两列电动泵MP01A或MP001B的运行失效等。

本文采用FV重要度（Fussell-Vesely）和致险价值（RAW）这两种重要度进行分析。第i个基本事件的F-V重要度定义为包含该基本事件的最小割集之并的概率占顶事件发生概率的份额，即

RAW重要度定义为

通常F-V重要度大于5.00E-03或RAW重要度大于2.0，则反映出相关事件具有较高的重要度。下表以故障树SWS1为例分别给出了重要度分析的主要结果。

由重要度分析结果可知，其结论与定量化结果基本一致。

敏感性分析用于评价系统设计中的相关因素发生变化后对评价指标的影响程度，从而确定系统评估中的敏感因素。主要思想为将分析中原有参数（如不可用度，频率，所用模型的参数）统一乘以某个敏感性分析因子（如10）后重新计算顶事件发生的概率QU，将原有参数统一除以同一个因子后重新计算顶事件发生的概率QL，从而定义敏感度

敏感性分析的结果见表4。

正常运行工况在非寒冷天气条件下，海水预处理系统作为厂用水冷却塔的补水水源，对系统的故障贡献较大。根据系统设计，在丧失海水预处理系统提供的正常补水源的情况下，还可以通过原生水系统的二次消防作为备用水源。模型中暂未考虑这种备用措施，因而本文得到的厂用水系统因冷却塔丧失补水而导致系统失效的概率具有保守性。此外，原生水系统和海水预处理系统不仅为厂用水系统提供冷却，还为循环冷却水系统等提供补充水。在这两个系统失效的情况下，厂用水系统也将随系统逐步进入停堆工况的运作，而根据核电厂的系统设计，其低水位下水量仍可保证24 h的运行，因此本评价结果是保守的。

蒙特卡罗（Monte Carlo）方法的基本思想是构造一个概率分布使其某一统计量恰好为所求问题的解，然后通过产生满足这个概率分布的随机数进行抽样，将得到的统计特征值作为所求问题的近似解。本文所考虑的厂用水系统是可修系统，可利用蒙特卡罗模拟方法可以对其进行可靠性分析。各部件的失效时间概率分布已由参考数据库给出，而具体的抽样方法采取直接蒙特卡罗方法。

针对丧失厂用水系统始发事件的蒙特卡罗建模与分析，进行以下说明及假设：

1）根据系统设计，在功率工况下由1列运行，定期对备用列进行预防性维修，维修周期为18个月，维修时间为17天，维修成功率为1。

2）保持某运行列常运行（以A列为例），仅在运行列A列维修（定期维修、纠正性维修）不可用时切换到备用列B列，并进入常运行状态；待下次B列维修时再切换到A列；如此轮换运行。

3）日常运行中两列不交叉运行，维修期间整列切换。若运行列（A列）某部件（如泵）运行故障，需要切换到备用列（B列）相同单元及部件运行；不必考虑同时将A列其他单元及部件（如换热器、冷却塔等）也切换到B列，此时两列设备可以组合运行至预防性维修周期。

4）备用部件失效包括启动失效和运行失效。

5）系统不可用状态包括：(1)运行列某单元或部件发生运行失效，以及备用列该单元或部件启动失效；(2)定期维修某单元或部件时，备用列该单元或部件启动失效。

6）对厂用水系统始发事件的模拟时间为6年，包括4个周期的预防性维修。

采用二回路蒙特卡罗抽样分析方法，对厂用水系统的可用性进行评价。具体步骤如下：

1）设置系统的初始状态为正常功率工况运行状态。

2）设置初始时间t0=0，任务时间T=6年，预防性维修时间节点Tkp，k=1,2,3,4，即T1p=1.5年，T2p=3年，T3p=4.5年，T4p=6年，预防性维修时间∆Tp=17天。

3）设置时间步长dt=1 h，将任务时间分隔为Na=T/dt个时间窗口，并赋值每个窗口Cqti=0，ti=t1,t2,⋯,tNa。

4）抽样系统的不可用状态：

4.1）根据部件失效率的历史数据，抽样各个部件的失效时间。

4.2）在部件的失效时间节点，抽样备用单元或部件的启动失效：若启动失效发生，保留该部件失效时间。否则，筛除该部件失效时间。

4.3）升序排列保留的部件失效时间，由此得到系统的最小状态转移时间t=tj。

4.4）检查tj是否落在下一次预防性维修时间Tkp之前。

若是，抽样纠正性维修时间∆t，并检查∆t是否落在下一次预防性维修时间Tkp之前：若是，系统在tj,tj+∆t发生失效，赋值每个窗口Cqti=1，ti=tj,tj+1,⋯,tj+∆t；若否，系统在tj,Tkp发生失效，赋值每个窗口Cqti=1，ti=tj,tj+1,⋯,Tkp。

若否，在下一次预防性维修时间Tkp之前，系统未发生失效。

5）在预防性维修时间ti=Tkp时，检修运行列，并切换备用列为常运行列。抽样备用列的启动失效：

若启动失效发生，系统在Tkp,Tkp+∆Tp发生失效，赋值每个窗口Cqti=1，ti=Tkp,Tkp+1,⋯,Tkp+∆Tp。

若启动失效未发生，系统正常运行。

6）重复步骤4)~5)至任务时间T=6年，并计数在第m次模拟中系统在任务时间内的不可用时间：

7）重复步骤1)~6)Nb=1e4次，计算系统在每个时间窗口ti的平均可用度Ati以及系统的年平均不可用时间Q˜：

根据图3所示的模拟结果，厂用水系统随时间变化的平均可用度介于0.998 5到1.0之间。在某一预防性维修周期内，系统的平均可用度呈下降趋势。经过周期维修之后，系统的可用度恢复到最佳状态。

图  3  厂用水系统的平均可用度

Figure 3.  Average availability of service water system

厂用水系统的年平均不可用时间Q˜为3.4 h，高于系统设计所要求的年平均不可用时间上限（1.5 h）。通过敏感度分析，可得到系统年平均不可用时间随防性维修周期变化的关系。由图4可知，当预防性维修周期大于10个月时，Q˜值将超过年平均不可用时间的设计标准，因此为保证系统安全稳定运行，预防性维修周期应该小于10个月。

图  4  系统年平均不可用度与预防性维修周期的关系

Figure 4.  Relationship between the annual average unavailability of service water system and the preventive maintenance cycle

图5给出了始发事件发生频率随预防性维修周期变化的关系。当维修周期为18个月时，始发事件发生频率约为1.9E-3/年，与美国始发事件通用数据库NUREG/CR-5750^[10]中给出的完全丧失厂用水系统始发事件的发生频率9.7E-4/年基本一致。当预防性维修周期大于3个月时，始发事件的发生频率将维持在2.0E-3/年的水平，而超过2年后则趋于稳定。

图  5  始发事件发生频率与预防性维修周期的关系

Figure 5.  Relationship between frequency of the initiating event and preventive maintenance cycle

这里仅以电动隔离阀为例进行阐述。假定系统的预防性维修周期为18个月，为保证系统的年平均不可用时间Q˜处于可接受水平，即不超过1.5 h；假设同一系统中同类阀门由同一厂家生产。通过调整目标部件的失效率，同时保持其他条件不变（假定其他部件的失效率不变），进行敏感性分析。

图6给出了蒙特卡罗模拟的结果，也即系统的年平均不可用时间Q˜随电动隔离阀V094、V002以及V037运行失效率变化的关系。当这个失效率大于7E-8/ h时，Q˜值将1.5 h。因此，为保证安全、可靠的厂用水系统运行环境，电动隔离阀的设计失效率应低于7E-8/ h。

图  6  系统年平均不可用度与电动隔离阀运行失效率的关系

Figure 6.  Relationship between the annual average unavailability of service water syste and the operating failure rate of the electric isolation valve

图7则给出了始发事件发生频率随电动隔离阀V094、V002以及V037运行失效率变化的关系。当失效率处于1E-9/ h至1E-6/ h的范围时，始发事件的发生频率将均低于2.0E-3/年。因此，较低的部件/子系统的运行失效率能够有效地控制系统在预防性维修周期之内出现失效的情况。

图  7  始发事件发生频率与电动隔离阀运行失效率的关系

Figure 7.  Relationship between frequency of the initiating event and failure rate of electric isolation valve

而对于手动阀、逆止阀、电动给水泵、过滤器和设冷水换热器这5类设备而言，它们的失效率即使低于1E-9/ h，系统的年平均不可用时间仍将超过1.5 h。因此，通过降低设备失效率来减少系统年平均不可用时间的效果并不明显。

本文对于核电厂厂用水系统作为事故缓解措施进行了可靠性分析，在故障树建模中考虑了正常运行工况与停堆工况在寒冷与非寒冷天气条件下的四种情况，得到了厂用水系统在不同任务时间下的不可靠度。对于目标厂址所主要关注的非寒冷天气条件下正常运行工况的年不可靠度为1.47E-01，72 h的事故缓解过程不可靠度为4.10E-04；停堆工况在96 h任务时间内的不可靠度为6.45E-03。

对于厂用水系统作为始发事件的可运行性分析，本文得到以丧失厂用水作为始发事件的发生频率约为2.0E-03/年，与美国的通用数据NUREG/CR-5750基本一致，这也进一步验证了通过蒙特卡罗方法估算始发事件频率的正确性与有效性。此外，蒙特卡罗模拟结果表明，相比于降低设备的失效率，缩短系统的定期维修周期对于降低系统的年平均不可用时间更为有效，也更具有可操作性。