GB13285-91-核电厂安全重要系统和部件的实体防护.doc

核电厂安全重要系统和部件的实体防护GB 13285-91发布时间:1991-11-11主题内容与适用范围本标准规定了核电厂安全重要系统和部件的实体防护准则，并为设计者就如何防止这类系统和部件受到危害提供指导。本标准对要求防护的系统和可能遭受的危害作了阐述，并给出了在什么条件下不需要防护的准则。本标准适用于轻水慢化和冷却的反应堆(LWR)或石墨气冷堆(HTGR)。本标准的一些原则也适用于其它堆型。本标准包括对安全重要系统和部件产生的各种危害的判别，也包括防止这类设备遭受危害的合适措施。鉴于本标准的目的侧重于提供实体防护的准则，因此设计者必须通过使用其它更详细的标准来实现本标准的要求。2术语2.1安全停堆状态 safe shutdown condition这是反应堆的一种状态。在这种状态下，反应堆处于次临界并能够继续维持这种次临界。此时，堆芯保持在一个可冷却的几何布置形状并且以等于或大于冷却衰变热所需的流量带出衰变热，保证堆芯得到足够的连续冷却。2.2安全停堆地震 safe shutdown earthquake (SSE)它是在分析核电厂所在区域和厂区的地质和地震条件，以及分析当地地表下物质特性的基础上所确定的、可能发生的最大地震。安全停堆地震通常取历史上发生过的最大地震，再加上一个安全裕量。当发生这种地震时，安全重要的构筑物、系统和部件仍须保证履行其功能。2.3安全重要部件 component important to safety安全重要系统内为执行系统安全功能所需要的部件。2.4安全重要系统 system important to safety具有下列功能的系统称为安全重要系统：a. 有防止事件发生或减轻事件后果的能力；b. 有使电厂达到安全停堆状态并保持这种状态的能力；c. 有将厂区外辐射剂量限制在可接受限度内的能力。属于这类系统的例子包括为完成以下功能所需要的系统：反应堆停堆(或保持反应堆在停堆状态)、冷却堆芯、限制堆芯破坏、冷却另一安全系统、事故后冷却安全壳、控制安全壳可燃物浓度或在事故中包容、控制或减少放射性物质释放等。安全重要系统仅仅包括某一系统中旨在完成上列某一功能的那些组成部分，或者仅仅包括出了故障就可能会妨碍完成上列某一功能的那些组成部分。2.5单一故障 single faiture使某个部件不能执行其预定安全功能的随机故障。由某个单一随机事件引起的所有继发性故障，均视为该故障的组成部分。所有的流体系统和电气系统都应设计成不致发生这样的假定单一故障，即任何一个能动部件的单一故障或被动部件的单一故障，都不会导致系统丧失其履行安全功能的能力。2.6反应堆保护 reactor protection由专门设计的系统所执行的下述功能：a. 能自动启动适当系统(包括反应性控制系统)，以保证在发生预计运行事件时，规定的可接受的燃料设计限值不会被超过；b. 探测事故工况并启动安全重要系统和部件。2.7防护 protection对于某种特定事件或危害，为了限制其后果在可接受的限度内，在电厂设备的以下特性，诸如距离、方位、屏障、密闭设施、约束或加强等方面所进行的专门设计。2.8飞射物 missile具有动能并已离开其设计位置的物体。2.9功能冗余部件或系统 functionally redundant component or system重复另一部件或系统的主要功能达到如下程序的一个部件或系统，即这两个部件或系统中的任何一个，不管另一部件或系统处于运行状态或故障状态，这一部件或系统仍可以执行所要求的功能。这些部件或系统可以是实体上相同的(冗余)，也可以是实体上不相同的(多样)。2.10管道甩动 pipe whip管道断裂后由于管内流休的喷射反作用力所发生的管道空间运动。2.11化学侵蚀 chemical attack化学侵蚀系指象腐蚀或有毒化学流体或易燃化学流体所造成的那一类化学作用。2.12加强 harden为增强对不利环境条件的防御能力所采取的措施。2.13降压事故 depressurization accident气冷堆一次冷却剂的流失速率达到该堆假设的、流量限制器限定的最大可信速率时而引起的与降压有关的事件。2.14抗震1类结构 seismic category 1 structure在安全停堆地震期间及以后仍能执行其功能的结构。2.15可接受的损坏 acceptable damage如果对于某类事件的防护已满足设计安全要求，则认为由这种事件(或几种事件的组合)造成的损坏是可以接受的。2.16破坏概率上限 upper probability limit for damage用于设计考虑的概率阈值。如果某一事件的概率等于或小于破坏概率上限，则不必考虑它的后果。2.17余热 residual heat停堆后反应堆内残存的总热量，包括剩余释热和显热。2.18失水事故(冷却剂丧失事故) loss of coolant accident (LOCA)反应堆一次冷却剂流失率超过补给水系统的补给能力的事故。2.19事件 event在核电厂设计中要考虑的某种自然现象或某种事故。一个事件可能有与其(包括其继发事件)相关的若干种危害。2.20危害 hazard在对安全重要系统或部件采取防护时所必须考虑的某种事件的特定后果。3防护设计方法概述图1是保证电厂的设计满足本标准防护准则的参考流程图。第4章给出用于这些系统和部件的防护准则。设计者首先要判别那些必须要考虑防护的安全重要系统和部件。这种判别应当包括与其他系统的运行接口以及该系统、部件的冗余设施和多样性设施。应当清楚地定义系统的边界、该系统和部件与另一非安全重要系统和部件的直接或间接关系。 图1 本标准应用指南在第4章中，根据功能讨论各系统和部件。可以用余热排出系统来说明为何需要防护以及如何完成这种防护，并在下列三种范围内讨论防护准则：a. 反应堆冷却剂压力边界；b. 反应堆安全壳；c. 安全重要系统。要注意：本标准不规定哪些系统或部件是安全重要的或什么情况下需要设置冗余设施或多样性设施的准则。为了列出新设计的电厂的安全重要系统和部件，设计者必须参考有关标准和本标准第4章的防护准则。一旦那些安全重要系统和部件以及它们的冗余性和多样性的要求确定下来，设计者就必须确定一定需要加防护的各种危害。本标准第5章列出并讨论了某些这样的危害。在对各种危害的鉴别中，设计者除了必须考虑某系统本身某个部分发生的事件(例如系统中一条管道断裂)外，还必须考虑该系统的外部事件(如火灾、地震、洪水等)。设计者应当用本标准作指南，研究一种进行详细“故障模式和后果分析”的程序。根据设计得的选择，这种程序可以包括图表、方阵等等的应用。这程序要求对各种假想事件进行系统的分析，并将分析的结果用于确定所论及的事件对安全重要系统有什么影响。然后设计者要估算每一种可能的危害对列出的安全重要系统和部件的影响，并确定其损坏程度是否可以接受。这种估算可能需要应用其它的更为详细的标准。第六章在完成这种估算之后，为设计得列出了可资选择的方案，并作出是否需要防护的结论。第七章对设计者已确认要加防护的安全重要系统和部件规定了可以应用的各种防护方法。第八章给出了有关防护方法的进一步的指南。估算方法应当具有这样的形式，它允许根据需要使分析不断更新，并且能为满足各种防护要求提供设计依据的记录。附录B(参考件)提供了应用举例。4防护准则4.1总则为了使某一事件产生的危害不对安全重要系统和部件产生不可接受的损坏，必须提供防护。4.2安全重要系统举例安全重要系统包括(但不限于)具有下列功能的系统：a. 堆芯应急冷却；b. 余热排出；c. 安全壳隔离、排热和易燃气体控制；d. 安全壳内空气净化；e. 应急供电；f. 反应堆保护；g. 安全重要部件的辅助支持设施(如冷却)h. 保证事故后控制室的可居留性。4.3可能要求防护的部件为了有效地执行4.2条列出的各种功能，执行安全功能的系统(通常称为“安全系统”)、为保证这些系统运行所必需的辅助支持系统以及为了触发或利用这些系统所需要的有关保护系统和执行机构全都必须协同工作。为了实现所需的安全功能，对使各种系统成功运转所必需的所有机械部件、仪表和控制部件以及电气部件都必须提供防护。在事故期间或事故后控制期间，为了使得操作人员能采取重要手动操作去引入或保持所要求安全功能所需的监督设备也必须同样地加以防护。除了对仪表进行防护外，应将仪表设计成能在事故和事故后保持足够的精度，以便操作人员对于事故作出正确判断。4.4关于特定系统和部件的防护准则4.4.1反应堆冷却剂压力边界必须给反应堆冷却剂压力边界提供防护，以达到：a. 不会由于反应堆冷却剂压力边界以外的某一系统、构筑物或部件的故障或者冷却剂压力边界外的其它事件引起轻水堆失水事故或高温气冷堆降压事故；b. 本身不是失水事故或降压事故的反应堆冷却剂压力边界断裂，不会导致失水事故或降压事故(例如不会发生一条压力边界管道故障导致另一条压力边界管道故障，以致组合的总破口导致失水事故)；c. 反应堆冷却剂压力边界管道断裂不会使安全重要系统或部件(包括其支持或约束件)的功能降到小于保护堆芯以抗御设计基准失水事故或降压事故和维持安全停堆状态所需的最低限度。如果需要，必须考虑单一故障与厂外电源丧失的并发事故。4.4.2反应堆安全壳对于任何事件，必须保持反应堆安全壳的功能(即不超过安全壳的设计泄漏率)，除非能够证明厂区外总剂量在可接受的限度内。事件发生时用于维持反应堆安全壳功能所必需的系统，必须满足4.4.3条的系统防护准则。4.4.3安全重要系统4.4.3.1功能冗余系统对于任一特定事件，可能需要运行某些安全重要系统以执行下列功能：a. 减轻特定事件的后果；b. 使反应堆达到并维持在安全停堆状态；c. 限制某一特定事件产生的厂区外剂量在可接受的限度内。对于 特定事件所需要工作的那些安全重要系统而言，为防止该事件或减轻该事件的后果，必须就该事件对这些系统提供防护，以便在需要系统发挥作用的期间保持其功能。如果需要，必须考虑单一故障和厂外电源丧失的并发事故。作为解释上述情况的一个例子，假定A和B是冗余安全重要系统，并且假设其中一系统有一单个能动故障。对于需要启动这种系统功能的某一事件，必须防止由于这一事件使A和B都受到危害(见8.1.1条图3和图4)。这是因为两系统中的一个系统(A或B)单一能动故障要求余下的系统去减轻该事件的后果。对于某一特定事件不必动作的那些安全重要系统，不必为此事件的危害对它们提供防护，除非这些系统故障反过来导致对该事件要求动作的系统发生故障。4.4.3.2非冗余安全重要部件一个非冗余但又是安全重要的部件必须得到防护，以免该部件可能受到使其丧失所需功能的那些事件的影响。4.4.3.3含有放射性物质的系统如果该系统上的事件的后果可能导致厂外剂量超出可接受限值，必须为贮存放射性物质的设备和放射性废物系统内贮存放射性物质的设备提供防护。4.4.3.4多堆电厂各机组之间共用的系统和部件共同的系统必须满足本标准第4章的要求。此外：a. 一个机组上的事件不许导致共用安全重要系统的能力低于为减轻该机组的这一事件后果所需要的能力、或低于为限制这一事件造成的厂区外辐射剂量在可接受的限值内以及使各机组达到安全停堆和保持在安全停堆状态所需要的能力；b. 共用系统内的事件决不允许妨碍各机组安全停堆。5电厂的各种危害本章判别核电厂内部或外部可能存在的某些危害。必须按第4章的要求考虑防止电厂的系统和部件遭受这些危害。对核电厂造成这些危害的某些事件发生在核电厂的外部(例如地震造成的振动、溃坝造成的洪水、龙卷风造成的杂物填塞)。凡外部事件可能发生的地方，必须对安全重要系统和部件提供防护，避免其受到由此引起的危害的影响，对处于电厂主厂房外的安全重要系统和部件也必须同样提供防护。5.1需鉴别的各种危害在防护设计时必须要考虑的各种事件产生的一些危害是：a. 飞射物；b. 压力、压差；c. 温度；d. 管道甩动；e. 流体喷射；f. 火灾；g. 辐射；h. 蒸汽和湿汽；i. 化学侵蚀；j. 水淹；k. 杂物堵塞。表1列出了某些危害和可能造成这些危害的事件的实例。 表1要考虑的各种危害的实例 5.2对于危害的总的考虑在确定部件防护要求时，必须对危害给出下列总的考虑：a. 危害的来源、规模和持续时间；b. 危害的具体方位、被防护部件的具体布置及在该区域内构筑物的具体形状；c. 传播危害到另一区域的可能性，或者该危害引发另一事件的可能性；d. 借助保护系统或操作人员动作或者上述两者结合对危害的阻止；e. 危害可能引起的二次效应，例如由于飞射物撞击造成的散落，由于火灾控制设备起动造成的水淹，由于流体系统故障或失灵造成的水淹、其它系统的自动起动，或使得需要通行的地区变得不能接近。5.3各种危害的论述5.3.1飞射物能够产生飞射物的能源包括(但不限于)：a. 流体能；b. 机械动能；c. 机械变形能；d. 化学能；e. 重力势能；f. 自然现象能量；g. 运输工具能量；h. 电能。5.3.2压力、压差和温度管道断裂、爆炸和安全阀释放是在密闭设施空间内增加压力和温度、在密闭设施的壁或板两侧上增加压差的事件例子。压力增加到足以使壁或板发生损坏就可能使得部件丧失功能。比起压力在部件本身上的影响来，上述压力的非直接影响通常是设计上要考虑的更为重要的因素。如果部件(例如大贮罐、通风设备或隔膜阀操作机构)没有设计成能承受外压作用，外压增加就可能使部件直接损坏。温度过高有使部件丧失功能的可能。在高温下可能出故障的实例是：轴承、电缆、电动机绕组、阀门执行机构和结构支撑件。在计算事故温度时可以考虑这些区域的自然热阱。某些气态灭火系统(如二氧化碳)所产生的温度骤降可能对某种部件(例如蓄电池壳)产生热冲击。管道系统破裂可能在部件上产生压力瞬变、压差或喷射撞击，使该部件产生不可接受的损坏。此外，高能管道破裂还能产生不可接受的温度效应。5.3.3火灾火灾是核电厂安全重要系统的部件可运行性的潜在危害，是控制室可居留性的潜在危害。由于温度升高、烟雾和缺氧，可能产生一种有害的环境。火灾也可能导致释放有害的化学物质，可能产生一种不可接近的区域，它还可以扩展成象爆炸之类的其它危害或使构筑物的支撑失效。消防管道破裂后果(即水淹)或消防系统误动作的后果也应考虑是一种危害。5.3.4辐射设计者必须把某些事件造成的辐射可能性看成电厂内的一种危害。一些部件在执行其功能的期间可能要求防护使其免受事故产生的辐射影响。对于安装在安全壳内的安全重要系统，设计者必须考虑失水事故后或降压事故后的辐射不平。对于在安全壳外的安全重要系统，必须考虑失水事故后或降压事故后这1些系统附近的辐射水平。要考虑管道系统内长期放射性流体循环的影响；还要考虑大量放射性物质的事故释放，若不加防护就会对控制室可居留性产生有害的影响。设计者在确定系统性能时必须考虑事故辐射和最大正常累积辐射两者的结合。5.3.5蒸气和湿汽那些如表1所列的事件可能在安全重要的机械和电气系统及部件上产生温度、压力和湿气影响。蒸汽和湿气的不利影响包括操作人员不可通行、凝结效应、对电绝缘和热绝缘的影响、降低能见度、对活性碳过滤器和通风系统的影响及加速腐蚀。5.3.6化学侵蚀化学侵蚀可能造成设备损坏或者妨碍电厂人员去进行必要的手动操作而危害电厂安全重要部件的可运行性。如果任化学侵蚀蔓延，它可以产生火灾、爆炸或过量腐蚀。从气体爆炸或从气瓶或现场气罐、邻近工业设施或商用运输工具产生或释放的化学气体都可能有危害，这种气体可能爆炸、有毒、易燃、多烟或兼而有之。在凡属可能出现这种情况的地方，电厂工作人员可能需要防护，以免受到这些危害的影响。5.3.7水淹水淹作为一种危害，可能是由于流体系统部件损坏而导致液体(主要是水)无控制地释放，或由于降雨、海啸和大水体上的飓风等自然现象而造成。水淹的危害程度，以及由此对防护提出的要求取决于：a. 液体量；b. 液体进入和排出的速率；c. 液体进入和排出的方式；d. 其它系统的响应；e. 所论及区域的具体布置。涉及的水量取决于水源的大小，如果有自动或手动隔离动作的话，还取决于这类动作的后果。一般把闭合式设备冷却水系统或水箱认为是“有限”水源；而把为厂用水系统供水的海洋、河流或由于自然现象出现的大范围的洪水认为是“无限”水源。自动或手动隔离动作可以是关闭流入点上游的隔离阀或者关闭水泵，从而除掉了导致水淹的动力。流入和排出的速率取决于流体流入和排出口(例如管径、门洞、排泄孔等)的尺寸以及导致水淹的动力(例如加压罐的压力、泵的扬程和水静压头)的大小。应注意液体流入的方式。如果液体的流入，仅仅增加液位，例如通过敞开的门洞流入，那么只考虑浸泡的危害；如果水是由于管道破裂而以喷射或蒸汽的方式进入，那么就应考虑将受影响区弄湿以及发生水淹的危害。其它系统和(或)部件(如地坑排水泵)的响应也会对水淹危害的程度有影响。如果流入的流量小于地坑排水泵和排泄设备的流量，并且能够证实在事件发生的状态下，地坑排水泵能够发挥作用，那么就排除水淹的可能。作为一种危害，水淹能够产生许多可能导致安全重要系统和部件丧失功能的不利后果。这些后果包括(但不限于)：;a. 由于水静压头使墙壁、地板和设备承受过高荷载；b. 由于水淹产生过高的湿度；c. 丧失流体总量和净正吸入压头；d. 电气故障；e. 腐蚀。5.3.8杂物堵塞碎块堵塞被看成一种危害，它能由某一事件产生，它可能堵塞集水坑或堵塞为了减轻该事件后果而必需通向设备的通道。例如，管道断裂和喷射撞击可能使保温层材料大量散落造成堵塞而成为危害。6对于防护必要性的估计首先设计者必须尽力消除或排除有关的危害，其次就是要把事件的概率降到可接受的低水平。6.1不需要防护的准则对于第3章中所确定的每种危害，设计者必须得出如下结论之一：6.1.1由于危害将不妨碍系统执行其安全功能，或者采用不会由于这一危害而损坏的其它手段来完成该安全功能，因而不需防护。例如，如果一台泵能潜水工作，那么就不必考虑水淹的危害。6.1.2由于危害能被消除或减少到可接受程度，因而不需防护。例如火灾危害可以用替换可燃材料或者把易燃材料搬走的方法而消除，在密闭设施内过高压力可以借助于通气孔而降到可接受的水平。6.1.3由于对某一特定事件，并不要求系统动作，因而不必对保持该系统功能上的冗余性作防护。6.1.4对于厂区各机组的任何事件(或几种事件的适当组合)，其危害发生与其不可接受后果的组合概率以每年计算等于或小于10-7，则不需要防护。某些事件或几种事件(和它们有关的危害)的组合，即使预计它们的概率可能少于10-7(以每年计算)，只要这些事件在历史上发生过，就要求作为电厂安全设计的设计基准事件来估算。10-7的合理性是以历史条件为依据的。本标准中列出的这一数值和概率方法仅作为一个指南，并在用到准则6.1.4时对实体防护提供一个系统的方法。如果要使用这种方法，设计者必须估算电厂的每一潜在事件(或各事件的组合)，并证实各事件发生和使安全重要系统损坏的组合概率非常低，或者对安全重要系统的损坏是可接受的。对于设计工况(严重事故)的事件，其不可接受的损坏后果是导致使公众受到超出辐射防护允许的辐射伤害。组合概率要考虑以下各点：a. 所有独立事件(或几种事件的组合)的发生概率；b. 电厂的所有独立运行工况的发生概率；c. 一旦受到损坏，导致公众遭受超出辐射防护规定限值的辐射伤害的概率。对于设计工况的各事件，即超出辐射防护限值是不可接受的那些事件，对每个厂址每年计算的破坏概率上限是10-7(将来还可能规定其它的破坏概率上限数值)。设计者必须根据特定的核电厂就这些事件的后果的破坏概率上限数值小于规定值作出判断，并且必须为这些数值提供证明。其他的设计要求，象假设的与失水事故或降压事故同时发生的单一故障、与厂外电源断电同时发生的单一故障，一定要满足的那些设计要求，必须符合其他相应标准中给出的要求。6.1.5如果不能得出6.1.16.1.4的一种结论，并且潜在的损坏是不可接受的，则设计者必须使用本标准第7章和第8章的方法去提供防护，使其损坏降到可接受水平。6.2概率估算附录A(参考件)汇总了概率估算的方法。然而，在许多情况下概率定量估算无必要或不实际。当危害是可接受的或者用实际设计方法使得危害可以接受，则就不必作概率估算。对于其它情况，或者可靠性数据还不能足以说明给出的概率是非常低，或者计算方法还不够完善，在这种情况下，概率估算方法可以用保守的和适当的工程判断来补充。在要求作这种工程判断的时候，一个相关工业收集数据的计划或者其它可应用的技术基础要确立起来，这些数据和技术将使所作出的判断在一个合理的时间范围内可信。7防护方法把防护准则用于电厂设计的最佳时间，是在对安全重要系统和部件以及那些可能给安全重要系统和部件产生危害的系统进行布置的最初阶段。较早地认识到可能给安全重要系统产生的各种危害，会给设计者提供一个机会去及时考虑系统的设计，因而可以使对经济造成的影响和可能的对建造的拖延减至最少。在电厂设计的最初阶段对冗余安全重要系统进行布置，使这些冗余系统不在同一区域是一个节省的做法。例如各冗余安全重要系统可以安排在各密闭设施、不同的隔间和管廊内，或者在不同的厂房标高上。和使用专门经费去满足防护准则的其它防护技术相比，在实施冗余安全系统防护时，使用电厂基本设施的作法是可取的。在电厂设计中较早地应用防护准则，可以最有效地使用不同的防护方法。设计者应当认识到某些防护措施可防止多种危害。例如隔间可用来防止发生在隔间处的飞射物、水淹、湿气和加热等。在某些情况下，应用空间间隔来防飞射物、喷射、撞击、可能的水淹以及由于着火发出的辐射热。优先选择作为安全重要冗余系统的防护方法，是安排这类系统或这类系统的有关部分通过不同的管廊或密闭设施，即使它们不会彼此危害各自的功能，也要这样作。通常，防护是否适当的问题取决于两个基本概念。首先，必须要考虑危害的破坏特性；其次，必须估计被防护部件的易损坏性。要列出各种可能的危害的组合和必需要给以防护的部件的清单是不可能的。这时在评价是否已给安全重要系统提供了充足防护时，负责设计的工程师的经验和判断将起决定作用。设计者可以利用下列方法实现防护。设计者的责任在于确定这些方法中的哪些是最现实和有效的：a. 距离；b. 方位；c. 屏障；d. 密闭设施；e. 约束；f. 加强。具体要使用的方法将取决于所考虑的电厂内的实际特点和潜在的危害。除了象屏障或密闭设施这类“被动”措施外，应当考虑防止某些危害的“主动”措施。例如，为了使“被动”隔离设计合理，主动救火设施、环境控制设施(如通风入口的新风阀)、积水排出装置等等是必要的或者是理想的。7.1距离距离是危害与被防护系统和部件之间在垂直方向和水平方向上的空间间隔。在可能的危害与安全重要系统和部件之间隔开适当的距离是一种有效的防护方法。凡是仅用距离来隔开危害的地方，设计者必须论证对于所涉及的危害，其所隔开的距离是足够的。对于影响面大的那些危害(即高能流体管道断裂或水淹)，用其他某种防护方法也许更合适和可行。7.2方位方位防护就是改变潜在危害方向或者把安全重要系统安排在这种危害的影响区外。这种方法与距离防护关系密切，因此要求设计者作出类似的论证。7.3屏障和密闭设施屏障是在安全重要系统和部件与可能的危害之间插入的非能动的实体装置或构筑物，以防止损坏或将损坏限制在可接受的水平。密闭设施是包围一个设备的可识别的外壳或构筑物。用于防护安全重要系统的屏障类似于其它防护措施(如隔间)，所不同的是屏障往往仅用于抑制危害。屏障和密闭设施能够用于防水淹、管道甩动、喷射撞击、飞射物等等，如果设计得体，能够用于减少环境的影响。屏障和密闭设施可以用于隔离危害源，也可以用来防护系统或部件。设计者还应当认识到，某些安装的设备物项本身能够提供适当的防护屏障，其条件是要根据合适的设计基准进行论证。凡要用屏障或密闭设施提供防护的地方，屏障或密闭设施必须设计成能经受任何可能的危害(象外部管道甩动、流体喷射力或压差)的极限影响。此外，必须注意设计的细节以防止屏障设计降级或由于象通风或压力释放孔或门洞这类物项使屏障功能失效。如果由于可能发生的地震危害，或者如果屏障因地震失效可能使安全重要系统产生不可接受的损坏，那么屏障和密闭设施还必须按抗震1类结构准则进行设计。7.4约束约束是一种能对安全重要系统加以防护的附加措施。本标准所用“约束”一词系指一种器械或一套器械，它们的功能是当一设备或一管道发生概率相当低的重大故障时，将它们的运动限制在安全限度内。这类事件的典型例子是管道断裂。对于这种事件，可以将约束件设计成减少对相邻的安全重要设备的管道甩击或者喷射撞击；另外可以将其设计成限制从断口两端泄放全流量的一部分，以减轻事故后果。由于约束仅在故障工况后才起作用，可以把它合理地设计成“一次性使用”。例如可以允许管道甩动限制器变形到塑性范围。与支撑不同，在正常或异常运行工况期间，约束都不妨碍运动。然而只要在设计中对于器械的每种功能单独地或相互关联地作了充分的估算，并在相应的部件设计技术要求中对双重功能已做了适当规定，就允许器械具有约束和支撑双重功能。在这种情况下，器械中与支撑相关的那些部件必须按支撑件的要求作设计，而与约束功能有关的部件就不必按支撑件的要求设计。7.5加强加强是通过使受防护部件的易损坏性降低到可接受的水平来提供防护，例如增加厚度和(或)使用更坚固的材料。加强是一种可取的防护方法；在某些情况下，它是唯一现实的防护方法，无论是为了降低可能产生的危害或者为了使被防护部件的损坏降低到可接受限度内，可能要更改部件的材料设计。设计者必须证明这种更改和由此而得到的防护是合理的。8防护方法的实施8.1基本概念8.1.1功能冗余系统某些安全系统作为保证电厂安全的一部分，在电厂遭受危害时，它们必须维持系统功能(见4.4.3.1条)。图2、图3和图4从概念上描述了与这些系统有关的三种逻辑状态。图中A和B是冗余安全重要系统的部件，H是危害。 图2仅适