核电厂风险监测器系统开发

核电厂风险监测器系统开发高巍;张琴芳【摘要】介绍了风险监测器的概念和功能,根据其功能需求开发了基于浏览器/服务器架构的风险监测器系统.结合某核电厂风险监测器模型对本系统进行了应用.结果表明,本文开发的风险监测器系统能较好地完成系统功能,正确反映核电厂状态并为核电厂人员制定运行决策提供支持.％Theconceptofriskmonitoraswellasitsexpectedfunctionwasintroducedinthepaper.Basedontherequirementofriskmonitor,ariskmonitorsystemuponthebrowser/serverstructurewasdeveloped.Severalpracticalapplicationsweremadetothesystembasedononespecificriskmonitormodel.Theresultshowsthatthisriskmonitorsystemisabletosuccessfullyimplementalltherequiredfunctionsandiscompetentforcorrectlyreflectingthenuclearpowerplantrisk,andcansupportthenuclearpowerplantstaffsfortheirdecision-making.【期刊名称】《原子能科学技术》年(卷),期】2012(046)011【总页数】6页(P1362-1367)【关键词】风险监测器;概率安全分析;程序开发【作者】高巍;张琴芳【作者单位】上海核工程研究设计院,上海200233;上海核工程研究设计院,上海200233【正文语种】中文【中图分类】TL364风险监测器是概率安全分析（PSA）在核电厂的一项具体应用，能根据核电厂配置实时计算核电厂风险，给出运行意见，使核电厂决策人员更好地进行安全管理。IAEA将风险监测器定义为用来获得特定核电厂配置风险的分析工具。在任意时刻，风险监测器均能反映核电厂的实际配置，如是否有设备处于停役维修或测试状态。风险监测器模型的建立基于LivingPSA模型，且保持与LivingPSA相同的更新频率。核电厂人员使用风险监测器支持运行决策［1］。核电厂设备状态通常由运行人员手动输入到系统中，但随着风险监测器技术的发展，目前已有少数系统实现了核电厂配置的自动录入。在确保计算精度的前提下，风险监测器的计算时间一般应保持在5min以内［2］。自1988年首个风险监测器系统在英国投入使用［2］后，这项技术经过20多年发展，在各国核电厂得到广泛应用。风险监测器可指出当前核电厂配置下，应优先恢复和避免后撤的设备；可用于优化核电厂维修计划，避免出现风险峰值，为核电厂运行提供更多的灵活性，允许更多的在线维修，从而缩短换料时间和运行成本。本文根据风险监测器系统的概念和功能，开发基于浏览器/服务器架构（Browser/Server,B/S）的风险监测器系统，并结合核电厂风险监测器模型对本系统进行应用。1系统介绍不同于专业PSA分析软件，风险监测器的用户是核电厂人员，因此它的设计应满足核电厂运行和制定维修计划人员的思维模式和操作习惯，设备、系统等编号也应与核电厂一致。风险监测器还应提供定量化信息，如堆芯损伤频率（CDF）、大量放射性早期释放频率/大量放射性释放频率（LERF/LRF）、允许后撤时间/配置时间（AOT/CT）等，且结合风险指引型技术规格书（RI-TS）、纵深防御等原则提供定性信息，表1列出了纵深防御状态的判断方法［2］。RI-TS为核电厂运行提供规范，当核电厂配置达到RI-TS限制工况时，系统将给出需采取预防和缓解的措施。为了给核电厂管理人员提供更多决策依据，风险监测器还应提供风险曲线查询功能，以体现核电厂的运行历史；允许计算虚拟核电厂配置，预防风险峰值。表1纵深防御状态判断方法Table1Judgementmethodfordefence-in-depthstatus需采取的措施不可接受冗余性/多样性低于最低标准；纵深防御不可用设法立即降低核电厂风险；若处于功率运行状态，状态判断方法则考虑采取停堆降级冗余性/多样性满足最低标准；纵深防御降级立即进行设备维修并严格限制维修时间，同时采取缓解措施（如增配移动式柴油发电机）微弱降级冗余性/多样性高于最低标准1个级别迅速进行设备维修，并控制维修时间正常冗余性/多样性高于最低标准1个级别以上核电厂处于正常运行区域，不需对设备维修做特殊限制1．1系统流程结合上述风险监测器系统要求，本文将风险监测器划分为用户输入、数据处理、结果输出3个模块，流程如图1所示。图1风险监测器流程图Fig.1Riskmonitorflowchart输入模块将用于接收用户输入的数据并传输给处理模块进行计算；处理模块根据用户输入对模型数据库进行数据处理，并求解最小割集和定量化分析；输出模块将处理模块计算生成的原始结果经一定格式转换输出到用户界面，用于显示核电厂状态风险、运行建议等信息。系统架构本文开发的风险监测器基于B/S架构。B/S架构由Web服务器和客户端浏览器构成，将表现层、逻辑层、数据层分为3个独立单元。用户通过浏览器向服务器发出请求，逻辑层接收用户请求执行相应的扩展应用程序，与数据库进行联接，将数据处理结果送回客户端浏览器。本工作开发的风险监测器采用B/S3层架构。在安全性方面，系统除尽量避免代码出现漏洞外，还对PHP进行安全设置，如禁用GLOBAL全局变量和魔法引用、开启安全模式等；在Aphache服务器上进行了防DDoS攻击设置，避免大量恶意的并发请求导致服务器崩溃；数据库进行定期备份，防止服务器崩溃等其他原因导致的数据丢失或破坏。1．3数据库设计不同于专业PSA分析软件，风险监测器除模型数据库外，还需建立其他逻辑结构以满足系统的功能需求。本工作设计了以下数据表：1）映射数据表，反映设备与基本事件、系列与设备、系统与系列、环境因子与受影响的始发事件之间映射关系的数据表；2）核电厂状态数据表，用于存储和显示核电厂状态；3）风险结果数据表，显示当前核电厂配置风险值并绘制风险曲线；4）维修计划数据表，用于存储和显示维修计划；5）维修计划风险结果数据表，记录截断值、核电厂配置和对应的核电厂风险，用于快速计算维修计划；6）系统/系列状态数据表，存储和显示系统和系列的状态；7）技术规格书状态/工况数据表，用于记录状态/工况表达式的数据结构，便于判断核电厂当前状态，并给出运行建议；8）运行历史记录数据表，查看运行历史与操作日志等；9）用户数据表，用于管理用户权限；10）其他数据表，用于系统设置等其他功能。1．4页面设计本文利用DIV＋CSS技术进行风险监测器页面设计，并结合AJAX、Flash等技术，使系统界面更加美观，用户操作更加便捷。根据风险监测器的系统流程和功能需求，本文设计了以下页面：1）用户登陆页面；2）用户注册页面；3）核电厂状态页面，显示当前配置下的核电厂基本状态，页面简洁且操作简便，为运行、管理人员提供决策信息；4）核电厂配置页面，用户可通过多种方式对核电厂进行配置，并可计算CDF、LRF和AOT等风险信息；5）核电厂详细信息页面，显示当前核电厂配置信息、风险信息、重要度、风险曲线、系列状态、始发事件贡献分布、运行历史等，让用户全面了解核电厂状态，并生成报告，有助于核电厂人员制定运行决策；6）维修计划页面，以甘特图（Gantt）显示和编辑维修计划和系统状态，用户可直接操作图表，载入和保存维修计划，提高用户体验和工作效率，可单独计算并查看某一时间段风险值和重要度；7）系统设置页面，修改系统的页面显示风格、风险阈值、接受准则、计算特性和映射关系等；8）管理员界面，管理用户权限。1．5系统功能通过上述系统规划和设计，本工作开发了基于B/S架构的风险监测器系统，实现以下功能。1）核电厂配置输入和计算（图2）。核电厂人员可同时输入多个系统、系列和设备状态，也可根据已制定好的维修计划输入核电厂配置，在核电厂严格采用计划性维修的情况下，避免核电厂状态输入错误或其他误操作；此功能还能根据核电厂人员输入的核电厂配置指出计划外以及未按计划后撤的设备（若存在），提示用户进行必要的配置检查。核电厂人员还可根据核电厂特定环境选择环境因子，这些因子将影响某些始发事件频率；可进行系统的运行/备用系列切换操作，这类投运模式的切换将影响对应设备的失效模式。图2核电厂配置输入和计算Fig.2Nuclearpowerplantconfigurationinputandcalculation图3核电厂状态输出Fig.3Nuclearpowerplantstatus2）核电厂状态输出（图3）。此功能将核电厂配置计算结果以图表形式显示到用户的浏览器端，这些信息包括CDF、LRF、AOT、FV重要度、RAW重要度、设备恢复后风险值、始发事件贡献分布、风险曲线、累积风险曲线等，当核电厂风险超过给定限值时，系统会发出警示信息。此功能可详细显示核电厂当前配置状态及对应的TS要求，为核电厂人员提供运行决策参考。用户可将上述全部信息以PDF或MSWORD格式输出。3） 制定维修计划（图4）。用户可直接制定维修计划，也可通过外部文件导入已完成的维修计划，系统将以甘特图形式直观显示维修计划并允许用户在图上进行编辑，系统将计算和显示维修计划风险曲线和重要度，并在超出限值的情况下给出警示信息。用户可通过另1张甘特图查看指定的系统和系列状态，便于维修计划的制定和优化。系统提供维修计划保存功能，可避免计划制定人员的重复工作。用户可将维修计划以PDF或MSWORD格式输出。4） 系统设置（图5）。普通用户可设置系统显示风格，添加或减少需显示的信息等，满足不同用户需求；权限较高的用户可修改风险阈值、接受准则和计算特性等。用户还可创建和修改环境因子与始发事件映射关系、系统与系列映射关系。另外，考虑到特定核电厂可能会进行RI-TS的申请，需更改原有技术规格书（TS）要求，系统提供了TS的输入和编辑功能，可将RI－TS的要求以一定格式输入到系统中，并可随时进行编辑。上述功能增强了风险监测器系统功能，减少了系统安装过程中的配置工作，降低了针对特定核电厂的系统开发和维护成本。图4制定维修计划Fig.4Designmaintenanceschedule图5系统设置Fig.5Systemconfiguration图6用户管理Fig.6Usermanagement5）用户管理（图6）。为保障数据安全，防止非法操作和数据破坏，系统提供了详细的权限管理。管理员可通过此功能设置用户权限，进行详细的用户管理。2系统应用本工作选择某核电厂风险监测器模型对系统进行应用，并给出各类功能界面和应用结果。风险监测器模型由该核电厂的PSA模型经转换得到。转换过程包括多个方面：增加始发事件与缓解措施的故障树分枝，平衡运行／备用系列并增加对应故障树分枝，删除维修事件，重新模化共因失效，建立设备与基本事件、系列与设备、系统与系列、环境因素与始发事件的映射数据库等。通过将风险监测器模型与PSA模型进行最小割集和定量化结果对比，验证了前者的准确性，能将其用于核电厂的风险监测。风险监测器计算时采用的截断值为1.0x10-11,能保证计算精度和时间，表2列出风险监测器系统的风险阈值定义。风险阈值将核电厂风险分为4个区域，并以不同颜色给出警示信息。目前风险阈值的定义无统一标准，需根据特定核电厂制定，本工作暂取以下阈值。系统允许用户针对不同核电厂自定义风险阈值。表2核电厂风险阈值定义Table2Definitionofnuclearpowerplantrisklimits注：Rbase为核电厂基准风险，2.11x10-7a-1颜色风险阈值绿色Rbase~10Rbase以上黄色10Rbase~50Rbase橙色50Rbase~500Rbase红色500Rbase核电厂配置输入假设当前核电厂配置为1台设冷水泵、1列主给水隔离阀维修，另有1台安注箱失效，运行人员可进行相应的核电厂配置。用户还可进行环境因子的设置、运行／备用列的切换等其他操作。为保证同一时刻核电厂状态的唯一性，系统不允许两个或两个以上用户同时修改核电厂配置。核电厂风险状态输出根据上述核电厂配置计算后可得到核电厂风险状态。核电厂风险状态界面中给出了核电厂基本风险信息和运行建议，核电厂运行人员可根据这些信息制定运行决策。根据上述核电厂配置计算后得到的核电厂安全指数为7.86。安全指数可由核电厂风险折算得到，为：其中，Rcurrent为核电厂当前风险。根据式(1)可得到Rcurrent二5.64x10-6a-1,在10Rbase~50Rbase区间内，因此CDF柱状图以黄色警示运行人员应采取措施避免核电厂长时间运行在此区域。运行人员可根据“运行建议”表格采取必要措施，也可根据设备恢复后风险确定首先需恢复的设备。若使A列安注箱(ACATK001)恢复运行，核电厂风险将回到绿色区域，并接近基准风险，因此，运行人员应首先设法恢复此设备，这—结果与TS/RI-TS的规定是一致的。若恢复设冷水A列泵(CCAPM01A)或主给水A列隔离阀(FWAAV250)，几乎不会降低核电厂风险。运行人员可将核电厂状态和风险信息输出为PDF或MSWORD格式的报告并打印。系统还可显示其他核电厂详细风险信息，如CDF/LRF曲线和累积风险曲线、始发事件贡献分布、运行操作历史等，便于核电厂人员进一步制定运行决策。制定维修计划用户可在此页面中制定核电厂维修计划并计算风险曲线和重要度。表3列出假设核电厂维修计划，通过“添加后撤设备”功能，可将上述计划反映到风险监测器上表3核电厂维修计划Table3Maintenancescheduleofnuclearpowerplant维修设备后撤时间恢复时间设冷水A列泵2010-02-2010:10:002010-07-1010:10:00主给水A列泵2010-04-1010:00:002010-08-1010:00:00柴油机A列泵2010-07-2016:00:002010-12-2016:00:00柴油机B列泵2010-12-1012:00:002011-01-1012:00:00维修计划界面中给出了维修计划、系统状态和风险曲线。用户可直接操作“维修计划”图表来修改维修计划，系统状态图将根据对应的维修计划显示系统和系列的状态，红色表示不可用、黄色和橙色为降级状态。对于系统状态的判断，假设系统需完成安全功能最少需要的可用系列个数为N，判断方法列于表4[2]。表4系统状态判断方法Table4Judgmentmethodforsystemstatus可用系列数状态颜色小于N不可接受红色等于N高风险级别橙色等于N+1中等风险级别黄色大于N+1低风险级别绿色对于系列状态，本文将其划分为3种：1）当系列中某设备失效导致其不可用时，系列状态为不可接受，以红色表示；2）当系列中某设备失效导致其可靠性降低（但仍可用）时，以橙色表示；3）其他情况则表示系列的可靠性未受影响，以绿色表示。以主给水系统（FWS）为例，其完成安全功能最少需要的可用系列个数为1（即N二1）。在2010-04-1010:00:00至2010-08-1010:00:00期间，由于主给水A列泵失效，导致主给水A列不可用（FWA在此期间为红色），因此其可用列数量为2，根据表4的判断方法，属中等风险级别，以黄色表示。优化后的维修计划界面中的风险曲线显示了整个维修计划阶段的风险状态，包括CDF和LRF曲线。从CDF曲线中可看出，在2010-12-1012:00:00至2010-12-2016:00:00时间段出现了风险峰值，在制定计划过程中是应尽量避免的，因此，需防止柴油机A、B两列泵同时维修。为了消除风险峰值，将柴油机A列泵的维修完成时间提前到