计预防措施和缓解安全功能。 5.1.4分级的下一步是确定所有安全重要物项的安全等级。一般采用确定论方法，再适当辅以概率安 全分析和工程判断，以事先进行适当的风险均衡，即压水堆核电广设计中后果非常严重的事件应该具有 非常低的发生频率。整体的含义见图2。 5.1.5图2表明设计预防措施的实施主要为了减少事故发生的频率，而缓解安全功能的实施旨在使得 后果处于与其发生频率相适应的可接受水平。对于多数的始发事件，综合运用设计预防措施和缓解安 全功能以实现降低事故发生的频率并使其后果严重程度可接受且可合理达到的尽量低。然而，对于少 数始发事件，其后果非常轻，实施限制其后果的功能是不必要的，因此也不需任何缓解措施。设计预防 整体可靠性，而可靠性是由该物项的安全分级来控制的。

图1安全分级过程的流程图

GB/T17569—2021高不可接受设计预防措施缓解安全功能低可接受低中高事故后果严重程度图2频率与事故后果严重程度的对应关系5.2识别安全功能5.2.1此处的“安全功能”包括基本安全功能和任何预期用来确保完成基本安全功能的缓解安全功能。5.2.2需分类的安全功能是指在核电厂不同状态（包括所有正常运行模式）下需要实现基本安全功能的功能。这些安全功能主要是指在安全分析中可信的功能，包括在纵深防御全部五个层次中实现的功能，即预防、监测、控制和缓解等安全功能。5.2.3尽管对核电厂每一个状态来说，需要实现的主要安全功能是相同的，但还应分别确定核电厂每个状态下需要进行分类的功能。早期设计阶段可能用到的功能列表见表1。对于压水堆技术，以“反应性控制”功能为例，该功能的进一步细化见表2。5.2.4确定的功能列表可能由其他纠正核电厂正常运行偏差的功能进行补充，例如设计用来降低紧急停堆的频率或专设安全设施启动频率的功能（包括设计上用来保持核电厂主要参数处于正常运行范围内的功能），这些功能通常在安全分析中不予考虑。5.2.5由于监测对安全的重要性，应对用于在事故期间向核电厂工作人员和场外应急响应组织提供系列足够且可靠数据的监测功能进行分类，应包括应急响应计划中的监测和通信功能。5.2.6在安全分析中采信的防止由多个独立故障升级为严重事故或缓解严重事故后果的功能包含在与设计扩展工况相关的功能中。表1用于早期设计阶段的功能列表实例基本安全功能不同电厂状态下进行分类的功能R1维持堆芯临界控制R2停堆和维持堆芯次临界反应性控制R3防止不可控正反应性引人堆芯R4维持在RCS外但在场内储存的燃料充分次临界H1维持RCS用于堆芯冷却的水装量充足热量导出H2从堆芯将热量导出至反应堆冷却剂H3从反应堆冷却剂将热量传递至最终热阱6

电气标准规范范本表1用于早期设计阶段的功能列表实例（续）

表2用于详细设计的功能清单实例

GB/T 175692021

表2用于详细设计的功能清单实例（续）

5.3确定缓解安全功能分类

5.3.1.1分类的考虑要素

缓解安全功能应根据其安全重要性分为有限的几类，采用的分类方法应根据以下三个要素进行： 要素1：该功能失效的后果； 要素2：需要该功能响应的假设始发事件的频率： 要素3：该功能使核电厂达到可控状态或安全状态的贡献的重要性

5.3.1.2要素1.该功能失效的后果

关于要素1，基于功能失效所导致的最严重事故后果，可将事故后果严重程度划分为（高、中、低） 个水平，定义如下： 当功能失效后的最严重后果达到下列任一条件时，其后果严重程度应定义为“高” ·直接导致放射性物质释放超过监管机构所能接受的DBA的限值； ·引起关键物理参数的变化超过DBA验收准则； 当功能失效后的最严重后果达到下列任一条件时，其后果严重程度应定义为“中”： ·导致放射性物质释放超过AOO限值； ·引起关键物理参数变化超过AOO的设计限值； 一如果功能失效的最严重后果如下所列时，其后果严重程度应定义为“低”： ·导致工作人员的剂量超过管理限值 当满足多个定义时，应采用较高的级别。后果的评估基于遇到挑战时该功能不响应的假设， 对于AOO，为了避免“过度分类”，后果的评价应基于所有的其他独立功能在适当时间内正确执行 的假设，前提是相关系统不受始发事件的影响。 对于功能分类的目的，可采用核监管机构建立的不同剂量限值来划分放射性后果的严重性 严重性也可根据是否满足设计验收准则来分类。可用的设计验收准则包括： 物理参数方面的设计验收准则（例如：RCS压力、燃料包壳温度、临界）； 屏障完整性方面的设计验收准则（例如：偏离泡核沸腾比作为防止燃料包壳失效的解耦准则）； 事故的不恶化的设计验收准则（例如：不会使AOO恶化为DBA，不会使没有堆芯熔化的设计 扩展工况恶化为严重事故）

表3给出了用于描述后果严重性的放射性限值和设计验收准则的实例

表3不同电厂状态接受限值实例

5.3.1.3要素2：需要该功能响应的假设始发事件的频率

要素2反映了需要该功能响应的频率。该频率应依据各自的假设始发事件的发生频率进行初步 评估 在分类过程的早期，若假设始发事件发生的频率无法获得，可使用电厂状态分类。表4给出了电厂 状态和假设始发事件发生频率或现象的示意关系

电厂状态及假设始发事件发生的参考频率或现

3.该功能使核电厂达到可控状态或安全状态的贡

GB/T 175692021

DBA缓解中的可控状态和安全状态的特性

AOO和DBA缓解中可控状态和安全状态的特性

5.3.2缓解安全功能分类

本文件推荐的缓解安全功能分类基于以下三个安全类别。 a FC1：AOO或DBA发生后，该功能需将核电厂带到可控状态，其失效导致的事故后果严重程 度为“高”。 b） FC2：该安全分类有两种可能性： 1）AOO或DBA发生后，该功能需将核电厂带到可控状态，其失效导致的事故后果严重程 度为“中”； 2） 该功能使核电厂达到并长期维持安全状态，其失效导致的事故后果严重程度为“高”。 C FC3：该分类有六种可能性： 1） AOO或DBA发生后，需执行该功能，其失效导致的事故后果严重程度为“低”； 该功能使核电厂达到并长期维持安全状态，其失效导致的事故后果严重程度为“中”或“低” 该功能设计为减轻DEC的后果，其失效导致的事故后果严重程度为“高”3"； 该功能设计为减少在偏离正常运行工况下紧急停堆发生的频率和专设安全设施启动的频 率，包括那些使主要参数保持在核电厂正常运行范围内的功能； 5） 该功能为核电厂工作人员和厂外应急提供必要的监测，在事故（DBA或DEC)发生后提供 充足的、可靠的核电厂信息，包括作为应急响应计划一部分的监测和通信手段（定义为纵 深防御的第五层），除非已将该功能划分为更高的安全等级； 6）该功能用于限制内部/外部灾害影响。 表6概括了上述的分类。 非FC1、FC2和FC3的功能为NC功能。 当某个缓解安全功能被考虑为一个以上功能类别（例如，因为在一个以上假设始发事件中需要该功 ）时.应将其归为最高类别

事件分析中采信的缓解安全功能与安全分类之间

附录A给出了缓解安全功能示例

5.4确定设计预防措放

在分级过程中要考虑设计预防措施，以确保安全重要物项的设计、制造、建造、安装、调试、运行、试 、检查和维护能够满足相应的质量要求，从而实现其预定功能。 设计预防措施应包含下列各项， 因物项的高质量，而认为其失效可能性已被“实际消除”"。为此，在设计中，核电厂不要求通 过安全系统来减轻这类物项失效的后果。例如反应堆压力容器或蒸汽发生器的壳体。这类设 计特性很容易被识别，因为其失效将导致“高”严重水平的后果。 采用高质量的设计，以降低事故发生的频率。例如主回路管道、主蒸汽和主给水管道，其失效 将导致DBA发生 用来防止工作人员和公众在正常运行状态遭受辐射危害的“非能动设计特性”。例如屏蔽、土 木结构和管道 一用来保护安全重要部件免受内部和外部灾害破坏的“非能动设计特性”。例如用于达到该目的 的部件之间的混凝土墙， 防止在没有其他独立失效发生的情况下，假设始发事件发展成更严重的序列的设计特性。例 如防甩击装置和固定点。 表7给出了缓解安全功能和设计预防措施之间的区别，通过与被认为参与某一缓解安全功能的物 页进行比较，可以了解哪些构筑物或部件需要被识别为“设计预防措施”。

表7缓解安全功能和设计预防措施之间的区别

如果事件的发生在物理上是不可能的，或者事件以高的可信度认为是极不可能出现的，则该事件发生的可 被认为“实际消除”

GB/T 175692021

系统改 HVAC等系统的运行。这些系统应按照“功能方法”来确定其安全分级

表8缓解安全功能和设计预防措施实例

作为设计预防措施的物项应按5.5.3规定的方法进行分级

一个系统或一件复杂设备可能是由执行不同具体功能的若十单元（部分）所组成，而不同的单元（部 分）可能等级不同，所以在实施分级时应确定能够赋予单一等级的最小单元，以该最小单元作为分级的 对象。本文件涉及的分级对象包括： 机械部件，比如容器、阀门、泵、管道、热交换器、风机、风管、各种机械附件等； 燃料组件及其相关组件； 电气部件，比如电动机、驱动器、电源装置、开关装置、电缆、电气贯穿件以及仪控系统和部件： 构筑物，比如厂房、安全壳、屏蔽构筑物、贮存池等，

5.5.2按缓解安全功能进行的分级

一旦完成缓解安全功能的分类，就应对执行分类功能的所有物项进行识别和分级。对物项的识 级有两个步骤，先是系统分级，然后是部件分级

5.5.2.2 系统分级

一旦对安全功能进行了分类，并考虑到表6的结果，就应确定完成每个安全功能所需的系统，包 沿系统设备提供支持的系统。 应根据其执行的缓解安全功能的类别确定其所需系统的安全分级，具体类别见表9。

表9执行缓解安全功能的系统安全分级

5.5.2.3部件分级

5.5.2.3.1部件分级的考虑要素

为了确定部件的安全级别，应根据如下4个要素进行分级： a 该物项要执行的安全功能； 未能执行其安全功能的后果； C 需要该物项执行某一安全功能的频率； d）假设始发事件后需要该物项执行某一安全功能的时刻

5.5.2.3.2根据要素a)和c)确定初始分级

GB/T 175692021

5.5.2.3.3根据要素b）和d)调整安全分级

图3执行缓解安全功能的物项的初始安全分级

必要时可根据要素b)和d)，对初始划分的安全级别进行修正。 要素b)反映了部件不能执行相应的安全功能的后果。如果能证明某物项的失效不会危害到缓解 安全功能的实现，则该物项可被适当降级。例如，要素b）可用于调整连接到主要部件上的小管道的安 全分级。要素b）不能用于对满足单一故障准则要求的穴余物项进行降级。 对于要素d)，考虑到在一个假定始发事件后，执行相关功能有一定的时间延迟，物项可划分为更低 的安全级别，但需论证预期的可靠性。可能用到的论证如： 对物项进行修理或维护的时间； 一 在需要执行要求的安全功能的时间窗口内使用替代的物项来完成该功能的可能性。 图4对调整初始分级的过程进行了总结

图4对初始安全分级的调整过程

如果某一物项执行不同类别的若干个功能，应按照其执行的功能的最高类别确定其安全级别（例 如：需要最保守的工程设计规则的那一类） 最终的安全级别的确定应综合考虑上述要素和其他相关要素（例如：工程判断）

某一物项执行不同类别的若干个功能，应按照其执行的功能的最高类别确定其安全级别（例 最保守的工程设计规则的那一类）。 的安全级别的确定应综合考虑上述要素和其他相关要素（例如：工程判断）

GB/T 175692021

图5物项的分级（功能分类完成后）

5.5.3按设计预防措施进行的分级

5.5.3.2灾害防护物项的分级

5.6物项分级的完整性和正确性

安全级别的适当性应通过确定论安全分析加以验证， 程判断5的支持。 物项在减少核电厂总体风险方面的贡献是划分安全级别的重要因素。确定论方法和概率论方法分 沂结果的一致性将验证安全分级的正确性。一般而言，安全分级的概率论分析结果应与确定论分析结 果一致，如果存在差异，应开展进一步的评价，提供适当的判断来确定最终的安全级别

5.7物项分级的一般性要求

5.7.1各类物项的安全等级划分及代号

提供工程判断的专家组包括来自核电厂运行机构的知识丰富的人员，以及在概率安全评价、安全分析、核动力 厂运行、设计与系统工程等方面具有熟练技能的人员， HAF102的安全重要物项包括安全系统（对应本标准的安全级物项）、安全有关系统（对应本标准的安全有关级 物项）和用于设计扩展工况的安全设施。本文件将用于设计扩展工况的安全设施包含在安全级物项和安全有 关级物项的划分中，不再专门列出此级物项

GB/T 175692021

核电厂不同类别物项安全等级的划分见表10

表10不同类别物项的安全等级

附录B提供了本文件安全等级与现行民用核安全设备监督管理制度中的物项安全级别的对应 关系。

附录B提供了本文件安全等级与现行民用核安全设备监督管理制度中的物项安全级别的对应 关系。

7.2执行多个安全功能的物项以及复杂设备的空

5.7.2. 1一般要求

如果单一物项承担两种或两种以上的安全功能，则应依据其最重要的安全功能确定安全等级。 对于复杂设备，其承担不同安全功能的各个部分可能需要赋予不同的安全等级。当笼统地说 设备是某个安全等级时，是指该设备中承担最重要安全功能部分的安全等级。

5.7.2.2不同安全等级间的接口

主支承件的安全等级应与被支承物项的安全等级

5.7.4物项安全分级样例

的物项安 全分级样例。但是，针对不同的核电厂设计方案，物项分级应参照5.5的方法确定，其结果可与附录 中的结果不一致

电厂的物划分为抗震工类、抗震工 核抗晨尖 用于控制或缓解设计扩展工况月 充物和部件，应进行适当的抗震设计。

抗震工、Ⅱ类以外的物项为非核抗震类。 非核抗震类物项可以按适用的常规设施抗震规范设计

7.1工程设计规则的总体要求

工程设计规则为国家或国际上相关的规范、标准和被证明的工程经验。工程设计规则应被合理地 应用于物项的设计以达到相应的设计要求。 物项的安全分级一旦建立，就应确定和应用相应的工程设计规则。工程设计规则的选择应使得核 电厂设计满足发生频率高的事件对公众产生很少或无不利后果，同时极端事件（具有潜在严重后果）的 发生频率极低（见图2）。 应根据物项的功能性、可靠性和鲁棒性来选择工程设计规则。 a）功能性是指物项执行其所要求功能的能力。 b）可靠性是指物项以和安全分析相符的足够低的失效概率执行其所要求的功能、 C 鲁棒性是指确保运行负荷或假设始发事件引起的负荷不会对物项执行其功能造成不利影响的 能力。 应对上述特性进行界定，并宜考虑不确定性

分类的要求参考HAD102/02一2019的规定，本文件引

GB/T 175692021

针对已安全分级的物项，应制定一套完整的工程设计规则，以确保物项的设计、制造、建造、安装、调 式、运行、试验、检查和维修都符合适当的质量标准。为达到以上目标，设计规则应确定适当水平的功能 性、可靠性和鲁棒性。设计规则还应根据监管机构对安全级物项制定的附加要求来制定。 应合理区分应用于系统的设计要求和应用于单个构筑物和部件的设计要求： 应用于系统的设计要求包括单一故障准则、几余之间的独立性、多样性、可试验性等： 一应用于单个构筑物和部件的设计要求包括环境和抗震鉴定、制造质量保证程序等；它们通常通 过明确适用的规范或标准来规定。 执照持有者或申请者应提供和证明安全分级与工程设计和制造规则之间的一致性，包括应用于每 个物项的规范或标准。 一旦明确了系统和部件的工程设计要求，则应验证系统执行其功能的可靠性与安全分析中假设的 可靠性是一致的。

系统设计要求用于确保安全重要系统在所有预期运行工况下均有适宜的功能能力和可靠性，系统 典型设计要求见表11，内容包括： 单一故障准则； 实体隔离和电气隔离； 应急供电； 定期试验； 环境鉴定； 内外部灾害防护（包括抗震）

型设计要求见表11，内容包括： 单一故障准则； 实体隔离和电气隔离； 应急供电； 定期试验； 环境鉴定； 内外部灾害防护（包括抗震）

表11系统典型设计要求

7.3构筑物和设备规范要求

应对核电厂物项进行质量保证分级，并根据所取得的等级实施相应的质量保证要求。 物项的质量保证分级应主要依据物项的安全等级和抗震类别，但由于多种因素的影响（如制造工艺 的复杂性、成熟性、采购经验、标准化程度等），质量保证等级与安全等级、抗震类别并不完全相互对应 需要时，物项相关的服务和活动的质量保证等级可根据实际情况进行调整。 本文件推荐的核电厂安全重要物项的质量保证分为三个等级，即： a）S物项的质量保证：QA1和QA2； b）NC(S)物项的质量保证：QA3。 QA1、QA2、QA3物项应执行HAF003及合同等采购文件的要求。 8.2～8.4推荐了采用三个质量保证等级时每个等级适用的物项范围，实施质量保证分级的具体方 法可参考HAF·J0045

GB/T 175692021

附录A （资料性） 缓解安全功能示例 表A1给出缓解安全功能示例。表A.1中的示例仅供参考，不同核电厂因物项设计功能不同，可 能并不完全适用

附录A （资料性） 缓解安全功能示例

表A.1给出缓解安全功能示例。表A.1中的示例仅供参考，不同核电厂因物项设计功能不同工程技术， 年不完全适用

表A.1缓解安全功能示例

元民用核安全设备监督管理制度中物项安全级别

本附录给出了本文件与我国现行民用核安全设备监督管理制度中的物项安全级别对应关系，

最终的安全等级为其屏障分级和缓解安全功能分级中的 IEEE323中规定的1E级

GB/T 175692021

C.1承压机械部件的安全分级

路桥工程表格附录C （资料性） 物项安全分级样例