第七章 概率安全评价与风险管理

1、第七章 概率安全评价与风险管理 Probabilistic Safety Assessment Risk Management 高等反应堆安全学 安 全 可 靠 Safety- IMPORTANT RISK- IMPORTANT 风 险 安全管理的理念 风险作为一个衡量安全的特征量 术 语 安全 怎样的安全才是安全 概率 发生某个事件的频度 风险 概率后果 单位：每年死亡人数（集 团风险）、年均死亡人数 （个人风险） 可靠性 评价 失效 PSA 概率安全评价概率安全评价 Probabilistic Safety Assessment PRA 概率风险分析概率风险分析 Probabilistic

2、 Risk Analysis Risk-informed风险引导风险引导 CDF 堆芯损伤频率堆芯损伤频率 Core Damage Frequency LERF大的早期释放频率大的早期释放频率 Large Early Release Frequency Safe Operating Envelope 安全运行保护层 风险的定义 事件）（后果单位时间事件单位时间）（后果风险/C)/(/R P 人数社会风险个人风险 2 . 10939: : : 11 推荐正因子，考虑风险可接受性的修 种失效模式造成的后果由于发生 频率种失效模式的事故发生发生 NUREG ic ip pcRpcR i i M i

3、ii M i ii 线性叠加 考虑人 们的心 理影响 概率后果 目 录 PSA基本理念 核电站安全分析方法 PSA的构成 PSA的基本方法 核电站概率安全评价的实施程序 核电站概率安全评价的步骤 安全运行保护层 Risk informed Living PSA PSA Methodology sGoal - estimate risk, based on plant design and operating practices sTechniques: Event trees describe accident sequences Fault trees describe plant cons

4、truction Statistical data predicts system or equipment failure Human reliability analysis predicts operator errors Computer solutions refine the model PSA Methodology PSA Structure sLevel 1 - core damage sLevel 2 - containment failure and radionuclide release (after core damage) sLevel 3 - consequen

5、ces such as early fatalities, latent cancers (after core damage and containment failure or bypass) sMost PSAs are Level 1 and Level 2 PSA Results sDescribes how core damage can occur (Qualitative) sDescribes probability of core damage (Quantitative) sResults from Level 1 analysis (core damage freque

6、ncy - CDF) sResults from Level 2 analysis (large early release frequency - LERF) PSA Results sResults let us rank events, equipment failures, or operator errors based on the contribution to core damage sImportance analyses provide method for ranking PSA Applications sRisk management - identifies and

7、 helps manage plant configurations for testing or maintenance that produce high risk. sOperator training - identifies important accident sequences and operator contributions to the sequences sRanking applications - MOV programs （Motor Operated Valve Programs）, graded QA, resource prioritization PSA

8、Applications sTechnical specifications changes (evaluates effect of change) sChanges to plant design and operation (modifications or procedure changes) sPredictive or preventive maintenance programs (identify equipment based on risk) sPlant security plan (helps focus security plan on most risk signi

9、ficant features) 技术规格 设计和运行 预期或预防 性维护 电厂安全计划 核电站安全分析方法 基本理念 基于纵深防御的原则设计系统 假想事故 最大可信事故与设计基准 安全性反应在安全设施能对付设计 基准事故 分析模型 机理性模型和程序 成熟且被广泛接受 经验与保守 安全系统只发生单一故障 分析的对象有人为假定的因素 不分析操作员干预的作用 注意点：无法确定 事故的概率 安全系统是否失去功能 操作员干预 基本理念 概率风险理论 评价核电站 随机事故 安全性反应在事故的数学期望值 分析模型 逻辑推理模型和概率论 系统的安全分析技术 真实、非保守 找出可信的事故序列 评价事故发生的频

10、度 评价事故的后果 注意点 数据不确定性大 结果的不确定性大 不是完全的安全对策 正确性取决于进行PSA分析的数据 来源 很难确定人的失误和人为事件 风险评价方法 纵深防御 利用可以得到的数据， 采用概率论方法进行 安全评价 以特定的危险目标为 终点（三个） 对于概率论的风险进 行评价 Probabilistic Safety Assessment Probabilistic Risk Assessment 概率安全、风险评价的意义 工程安全评价技术 数据的来源 对样机不断进行 试验、差错、改进、再 试验 长时间的经验积累 缓慢、危险、昂贵 作为以下工作的论据 核电站严重事故分析与管 理 设计

11、、管理的安全性指导 定期安全检查（PSR） 下一代核电站设计导则的 编写 概率论安全目标 70年代初开始PAR，用于 航空与航天 75年首次用于轻水堆安全 分析，WASH-1400报告 考虑各种可能的事故假象 情景 发现设计缺陷 共因失效概率 各种可能的失效模式 各种不利的系统间的相互 作用 核电站的多重防御与PSA的关系 为设计与运行管理安全的 基本保障 当出现某种问题或事故 （初因事件、以及为防止 事件扩大采取的安全措施、 运行规程等）时有多重的 措施进行保障 考虑当这些措施一个 个失效直到发生严重 事故的情况，建立各 过程的模型，评价发 生各个失效过程的频 度、以及判断频度时 的不确定性

12、 PSA的构成 （0级PSA 安全设备的可靠性分析） 第一级PSA分析 估算堆芯损坏频度 第二级PSA 堆芯和安全壳内损坏的物 理过程和放射性迁移过程 （源项分析） containment failure and radionuclide release 第三级PSA 放射性在环境中的扩散及 后果影响consequences such as early fatalities, latent cancers 一级PSA 二级PSA 三级PSA 安全壳 堆芯 场外 对核电厂的全面认识过程 第一级PSA分析 找出导致堆芯损坏的事故概 率 分析安全系统的工作性能和 可靠性 事故序列概率定量计算 对运行

13、系统和安全系统进行 可靠性分析 采用事件树和故障树技术 帮助分析设计中的弱点 指出防止堆芯损坏的途径 堆芯 损坏 第二级PSA分析 研究堆芯熔化过程和放 射性物质在安全壳内的 释放 分析堆芯熔化行为和放 射核素在安全壳内的释 放和迁移 研究安全壳在严重事故 工况下的响应 估计放射性向环境的释 放 安全壳 反应堆压力容器 安全壳直接 加热 堆芯 熔融 的进 展 裂变产物 微粒的行 为 氢气爆炸 熔融物/冷却剂 相互作用 水蒸气爆炸 堆芯 熔融物与混凝 土相互作用 第三级PSA分析 核电厂以往不同距离 上不同时间的放射性 核素浓度 产生的辐射剂量和对 公众的影响 重大后果的概率分布 放射性微粒扩散

14、迁移 场外 PSA的基本方法 确定造成事故的事件 序列 确定导致事故的初因 事件 找出可能导致事故的 组合 确定每组的发生频度 估计其后果 真实的 非保守的 可靠性分析方法 分析模型 逻辑模型 搜寻事件组合 确定组合事件的发生频率 机理模型 事故的演化和后果 不定性分析 数据的不定性 模型的不定性 可靠性分析 设备的可靠性 系统的可靠性 人因可靠性 分析方法 事件树Event trees 故障树Fault trees 功能分析 人因可靠性分析Human reliability analysis 可靠性数据 失效概率 可靠性数据库 事故序列分析 失效概率 两种类型的失效概率 设备在运行过程中失效

15、的概率 待命设备在要求启动时处于故障状态而不能 投入的概率 运行中的失效概率： 如果失效是随机的： p（t）t 失效率 启动失效概率： q 设备功能失效的总概率： q十t 浴盆曲线 可靠性数据库 7.5典型部件的失效率数据 事件树分析方法 目的 确定初因事件 确定事故序列 初因事件同事故序列用树 的图象来形象表示 分析方法 系统功能的双稳态描述法 安全功能成功 安全功能失败 不能反应部分失效、中 间状态等安全保护（保 守） 事件序列的双稳态描述法 堆芯融化 堆芯不融化 不考虑部分融化（保守） 事件树组成 主干：初因事件 分支：安全功能的成功和 失效 分支的端点：结果，电厂 的状态 顶事件（To

16、p Event） ： 功能失效事件 约化事件树 消去对结果影响不大的事 件 初因事件 数量多，一般粗分为两类 LOCA 瞬变 瞬变功能事件树例 事件树组成 如有N个安全功能, 则有分支数：2n 失水事故事件树 成功 失败 失败 失败 成功 成功 成功 成功 失败 成功 成功 失败 失败 失败 主干 初因事件安全功能 1 安全功能 2 事故序列 后果 分支 分支 端点 安全功能 3 序列1 序列2 序列3 序列4 2n n个安全功能 失水事故事件树 成功 失败 失败 失败 成功 成功 成功 成功 失败 成功 成功 失败 失败 失败 主干 管道破裂H 停堆X安注Y 余热排出Z 分支 分支 端点 序

17、列代码 约化事件树 小破口H 停堆X安注Y 余热排出Z 端点 序列概率 H f X p1 X p y p1 y p Z p Z p1 Z p1 Z p HZYXH fpppf111 ZHZYXH pfpppf11 YHZYXH pfpppf11 ZYHZYXH ppfpppf1 XHp f 停堆失效必然导致堆芯过热， 其它安全系统的贡献对失效 概率的影响不大 初因事件 大破口 中破口 小破口 小小破口 初因事件分类 反应性控制 堆芯排热 主系统排热 主系统水装量和压力控制 维持要害支持系统 发电和输变电 EPRI建议，以上6类中的 可以作为PSA的初因事 件共有50多个，11组 内部事件 外部

18、事件 PSA瞬变初因事件分组（ EPRI建议） 代 码初因事件特征 T1反应堆停堆 T2丧失主给水 T3丧失冷凝器真空度 T4失去厂外电源后孤岛运行失败 T5安全壳内主给水管线断裂 T6安全壳外主给水管线断裂 T7安全壳内主蒸气管线断裂 T8安全壳外主蒸气管线断裂 T9安注系统意外启动 T10丧失热阱 T11部分失去控制动力源 序号 序列描述 T 1 TB2 堆 保 护 系 统 实 现 停 堆 2 TB2 R1 3 TB2 R1 Q2 4 TB2 R1 B3 5 TB2 R1 B3 X T 6 TB2 R1 YT 7 TB2 R1 YT Q 2 8 TB2 R1 YT B 3 排出系统 9 T

19、B2 R1 YT B 3 TB2 R1 YT X T 1 0 TB2 R1 H2 1 1 TB1 1 2 TB1 Q2 1 3 TB1 R2 1 4 TB1 R2Q2 1 5 TB1 R2B2 1 6 TB1 R2B3 XT 1 7 TB1 YT 1 8 TB1 YT Q2 1 9 TB1 YT B3 2 0 TB1 YT B3 X T 2 1 TB1 H2 2 2 TQ1 2 3 TK1 2 4 瞬变初期（06小时内）由蒸发器载出衰变热 瞬变后期（624小时内）由蒸发器载出衰变热 由余热排出系统载出衰变热 以补泄模式（Feed-Bleed）载出衰变热 主系统压力边界完整 换料系统早期（2小时

20、）排空 补泄模式成功后换用RHR冷却堆芯 恢复利用蒸发器冷却 恢复主系统完整性 (如各种小破口) 维持长期补泄模式 初因事件,T1T10之一 功能分析 目的 确立系统要求（成功准则） 系统直接有着怎样的相依 性 各种系统的组合方式（冗 余原则和多样性的效果讨 论） 系统的划分 一线系统（Front line System） 直接履行安全功能的系统 保障系统（Support System） 支持安全系统完成功能的系 统 系统的组合方案 例 一线系统 辅助给水系统 高压安注系统 低压安注系统 余热排出系统 化容系统 安全壳喷淋系统 保障系统 电力供应系统 泵运转动力（6.6kVAC） 操作动力（2

21、20VAC） 控制动力（125V/48VDC） 冷却水系统 设备冷却水 基本生水 海水泵站 环境控制系统 涉及一些系统所处厂房的通 风空调系统 控制保护信号系统 相 互 依 存 大破口失水事故后堆芯冷却的系统组合 （瑞典某机组） 应急堆芯冷却余热排出 方式1：方式1： 三台中任一台低压安注泵三台中任一台低压泵 三台中任二台安注箱三台中任一台设备冷却水泵 四台中任一台安全壳喷淋泵六台中任一台海水泵 三台中任一台低压系统冷却器 方式2：方式2： 三台中任二台低压安注泵三台中任一台低压泵 三台中任一台安注箱三台中任一台设备冷却水泵 四台中任一台安全壳喷淋泵六台中任一台海水泵 四台中任二台安全喷淋泵及

22、冷却器 故障树分析 目的 确定导致功能失效（事件 树顶事件）的各种原因的 组合可能 部件故障 操作错误 外部事件 分析方法 演绎法 从效果追述到原因 定性分析 定量分析 故障树组成 顶事件 中间事件 底事件、基本事件 可以量化（失效概率） 的事件 与、非、或 故障树的等级 功能故障树 系统故障树 部件故障树 故障树例 电动泵启动故障树 应急冷却注入系统的故障 树 事件树 失效模式 极限故障 失去动力源 泄漏 意外操作 底事件顶事件 功能故障树 其顶事件代表某一安全功能的失效 底事件止于系统的失效 功能故障树是故障树和事件树分析的联接点 顶事件 底事件 失效概率 OR AND AND 四取二系统

23、 功能故障树 四取二系统功能故障树 7.6 OR AND AND AND D 故障树分析方法 定性分析方法 寻找基本事件或基本事件 组合 识别失效模式 找出故障树的最小割集 内容和布置 规范化处理 简化和模块化处理 故障树算法对故障树处 理 由布尔代数规则简化吸 收求得最小格局 运算方法 事件状态：成功、失败 采用布尔代数运算 定量分析方法 确定底事件的失效概率 算出顶事件发生概率的点 估计值和区间估计值，以 确定系数的可靠性 确定每个最小割集的发生 概率，以便改进设计，提 供系统的可靠性 重要度分析：确定底事件 发生对顶事件发生的重要 程度，以便合理设计和正 确选用部件或元件的可靠 性等级，

24、识别设计上的薄 弱环节 最 小 割 集 割集 故障树底事件的一个子集合， 当该子集的所有底事件发生， 必然会发生顶事件 最小割集 底事件数量不能再减少的割 集 底事件数：最小割集阶数 阶数越小的最小割集最重要 不同割集中重复出现的底事 件最重要 故障树将由有限数量的最小 割集组成 全部最小割集反应系统的全 部失效模式 最小割集的计算方法 上行法 底事件开始，由下往 上将顶事件展开成底 事件的积之和，经吸 收得到最小割集 下行法(例) 顶事件开始，由上往 下将顶事件展开成底 事件的积之和，经吸 收得到最小割集 最小割集故障树 OR OROROR ANDAND 顶事件 底事件 布尔显示割集 最小割

25、集 子集编号各底事件的状态变量，: : , 11 ix xCCxtop ij n ij iji r i i r i n ij ij OR展开项 AND每项的元素集 输入置换输出 运算方法 故障树组成 DCBA PPPP BAP PDCP P A P B P C P D P 顶事件 底事件 失效概率 建树方向（从上向下） 事件树 AND AND OR 电动泵启动故障树 与 或 基 本 事 件 转 入 结果事件 或 转 入 转 入 失效模式 应急冷却注入系统的故障树 人因可靠性分析 人差错的方式 日常试验维修过程中 造成系统或设备误动 异常事件过程中造成 系统误动或未能采取 响应行动 盲动性错误：

26、不该动 的误动 疏忽性错误：该动的 未动 操作人员与规程的关系 规程性错误（违章） 手动干预方式错误 手动干预时机错误 仪表的误标定 设备的误定值 限值外的运行 知识性错误 事态发展出乎意料 没有合适的规程 未受到专门的训练 数据库来源 试验维修过程中记录人差 错 事故序列分析 要求给出结果 重要事故序列及其重 要的最小割集 所有事故序列的归类 事故序列的点估计和 区间估计 堆芯严重损坏频率 事故序列中系统、割 集和部件重要度 灵敏度分析 事故序列中的相关性处理 共同初始事件，引起多个 前沿系统或支持系统失效 共享部件失效引起多个系 统失效 系统间的相关性，包括共 享支持系统、支持系统相 互依

27、赖性、前沿系统中的 支持系统与其它支持系统 等 由于区别早期失效和晚期 失效的要求引起的相关性 人因相关性 核电站概率安全评价的实施程序 实施程序 收集原始数据 电厂设计、厂址、运行的信息 一般性数据和电厂具体数据 关于PSA方法的文件报告 系统分析（第一级PSA） 形成事件树 确定初因事件 建立每个初因事件的事件树 系统建模 可靠性分析（故障树等） 考虑系统试验、维修、人为差 错、共模失效、系统的相互作 用 人因可靠性和规程研究 人因事故达43%以上 包括维修、试验、规程差错 建立部件数据库 现有的通用数据 电厂运行所积累的特有数据 事件序列定量分析 确定事件发生概率 安全壳分析（第二级PS

28、A） 物理过程分析 堆芯融化过程 压力容器失效 安全壳行为 放射性核素的释放和输运分析 放射性核素在环境中的迁移和后 果评价（第三级PSA） 输运和扩散分析 给出各种放射性后果 早期死亡 晚期癌症死亡 财产损失 核 电 站 P S A 的 步 骤 确定内部初因 事件 堆芯融化事故 系列的分类 堆芯融化的频 度 堆芯损伤事故 分析 源项分析 环境中的裂变产物迁移、 公众被照射量的分析 确定外部初因 事件 安全壳破损事 故系列的分类 各安全系统的 可靠性分析 各现象、事件的 发生概率探讨 安全壳破损频 率 一级PSA 二级PSA 三级PSA 减轻核电站事故的手段（1) 设计基准内 事故 严重事故

29、机器故障、人的失误、外部冲击（地震或飞溅物） 利用事故缓解 系统减轻事故 正常运行 发生异常 瞬态事件 利用事故预防系 统减轻异常瞬态 后果 发生事 故 超设计基 准 事故缓解系 统功能丧失 事故预防系 统功能丧失 堆芯损 伤 通过AM减轻事故 压力容器 破损 安全壳 破损 设计基准事故 严重事故 超设计基 准 通过AM减轻事故 通过AM减轻事故 公众的 风险 ：事故管理对策 （Accident Management） 减轻核电站事故的手段（2) 震度 堆芯损伤概率 各震度的发生频度 地震引起的堆芯 损伤的频度 （点推定） 然后、评价不确定性 外部事件：地震PSA步骤 核电站PSA的结果 （包

30、括内部事件和外部事件） FP早期大量放出 健康影响 平均值 中间值 健康影响的 安全目标 堆芯损伤 安全壳破损 Level Level 1.5 Level Level 发生频度（对数尺） 风险指引技术 Risk-Informed Technology 定义 风险指引技术是指将风险分析的结果与管理规范的其它因素 （如：确定论分析、工程及专家判断、安全裕量等）综合考 虑，使电站根据对核安全和辐射防护的重要程度来考虑设计 和运行问题的方法和技术 应用 风险指引型设计（Risk-Informed Design） 风险指引型维修（Risk-Informed Maintenance） 风险指引型在役检查（

31、Risk-Informed In-Service Inspection） 风险指引型试验（Risk-Informed Testing） 风险指引型管理规范（Risk-Informed Regulation） 风险引导（ Risk-informed ）技术 风险引导型的安全管理 风险引导的安全管理方式范围 安全的理念 监管方式（监督、审查） 业绩支持 PSA技术的应用 风险引导的安全管理方式的手段 将确定论、概率论及工程判断、运行经验融为一体，对于决 策的做出更据科学性 风险指引的安全管理风险指引的安全管理 应用风险指引的 管理导则： RG 1.174 RG 1.175 RG 1.176 RG

32、1.177 RG 1.178 PSA 技术的支持： 一级 PSA 二级 PSA 三级 PSA 外部事件 火灾 水灾 不确定性 监测系统： 业绩指标 实时风险监测 基于确定论的安全管理方法的特点 通过纵深防御、安全系统的冗余、多样 性、安全裕量等措施来保证安全及保护 公众 这是一套遵守规则的监管方式 监督不能集中在重要的安全主题上 一些监督活动是多余的、低效率的、不 即时、缺乏预见性 监管单位和业主过分负担 SAFETY-IMPORTANT 风险引导（Risk-informed）的管理 风险作为一个衡量安全的特征量 采用风险的理念，将管制机构和执照持 有者能将有限资源集中在对电厂安全运 行具有极

33、大影响的性能方面 避免主观决策和判断 RISK-IMPORTANT NRC基于risk-informed决策方法的 管理导则 RG1.174“在变更执照申领基准（LB）时， 应用PSA进行风险指引的决策方法” RG1.175“电站在役试验活动中的风险指 引的决策方法” RG1.176“电站质量保证分级活动中的风 险指引的决策方法” RG1.177“电站修改技术规范活动中的风 险指引的决策方法” RG1.178“电站在役检查活动中的风险指 引的决策方法” NRC的有关PSA在核活动中应用 的最终政策申明 USNRC “Use of Probabilistic Assessment Methods

34、 in Nuclear Activities: Final Policy Statement” （ 1995年 ） 应将PSA技术在所有管理事务中的应用程度提 高到以PSA方法与数据作为管理支持的程度 将该技术作为确定论方法的补充，支持传统的 纵深防御理论，减少一些不必要的保守规定 鼓励更多地运用该分析技术来提高安全决策水 平及提高管理成效 风险引导应用领域 风险引导的监督检查 风险引导的评审 风险为指标的业绩评价 技术规范的变更 在役定期试验的变更 在役检查的变更 QA大纲的变更：SSC 的重新划分 在线维修的加强，维修规则的应用 风险监视器 风险引导的监管 风险引导的监督管理 采用“风险引

35、导、基于绩效”的监管框架 Risk-imformed, Performance-based Improtance Determination Performance-based PSA 7个安全基石 18个运行性能指标 NRC 在2000年采用了新的Performance based电厂业绩衡量 标准，代替以住的Compliance based系统式评估方法 Baseline Inspection 基础监督检查 风险引导的反应堆监督过程 安全基石 基本监督检查结果 重要度阈值 行动矩阵 重要度阈值 性能指标结果 法规响应 SDP SDP 电厂业绩指标 公众的健康和安全公众的健康和安全 （商用核

36、电站）（商用核电站） 反应堆安全辐射安全保卫设施 初因事件缓解系统屏障完整应急准备公众职业实体保护 最高目标 战略目标 7个基准 18 项 指 标 性能指标 基本监督检查程序 Baseline Inspection Program 电厂最低要求的监督，不考虑电厂性能 指标 应包括三个基本方面 电厂性能指示未包括的领域或者未覆盖基石 的部分 性能监视指标的验证 业主的问题鉴别和解决程序 基本监督检查的内容例 性能监视指标的验证 设施的基本监督检查 火灾防护 维护和监督 可操作性的评价 区域的基本监督检查 团队监督 问题的识别和解决 (PI&R) 应急计划 操作员培训 保安 放射性控制 使用风险信

37、息 监督检查过程基于双重系统 采用实际数据的性能指标（PIs） 重点审查 用风险信息确定PIs 用风险信息建立采用与安全重要度相对应的法规响应 行动的阈值 通过风险信息，将审查程序集中到安全重要的议题上 重要度决策过程 Significance Determination Process (SDP) 用于评价在审查结果的安全重要度，并作出合 理的法规响应决定 评价监督结果的风险值（颜色） 在等价的基础上为监督点和PIS提供评价的方 法论 建立了所有基石的SDP 对满功率、停堆、安全壳完整性、火灾等的 SDP都是基于PSA模型 关于性能指标和监督检查结果的重要度 Green 非常低风险重要度 基

38、本监督检查 性能处于符合有关基石目标 的预期性能范围内 White 低中等风险重要度 附加监督检查(95001) 性能处于许可证持有者公称 性能预期范围之外，但仍可 符合相关基石目标 Yellow 大风险重要度 附加 监督检查(95002) 仍可符合相关基石目标，但 安全裕度稍有下降 Red 高风险重要度 附加监 督检查(95003) 该性能指标所测量的领域中， 安全裕度有重大下降 D DCDF 10-6 10-6 D DCDF 10-5 10-5 D DCDF 10-4 Green White Yellow Red 阀值根据由彩色编码系统指示的安全裕度来指出风险 NRC应对计划或“措施矩阵” 电站性能评估 （以安全重要性递增排列） NRC应对措施 .性能指示器和基石检验结果，全部绿色 完全符合基石目标 检验员和工作人员常规配合工作 基线检验程序 年度评估公开会议 .不同基石内不