NB／Z 20249-2013  概率安全评价在核电厂安全重要仪表和控制功能分类中的应用指南

NB/7202492013

最终安全状态safeshutdown 堆芯处于次临界，堆芯余热可持续导出（例如：由余热排出系统排出堆芯热量），放射性释放值在 设计基准事件事件相对应的限制以内。

最终安全状态safeshutdown 堆芯处于次临界，堆芯余热可持续导出（例如：由余热排出系统排出堆芯热量），放射性 设计基准事件事件相对应的限制以内。

监理标准规范范本下列缩略语适用于本文件。 AOO：预计运行事件（AnticipatedOperationOccurrences） ATWS：未能紧急停堆的预期瞬态(AnticipatedTransientwithoutScram) BDBA：超设计基准事故(BeyoudDesignBasisAccident) CCF：共因故障(CommonCauseFailure) CDF：堆芯损坏频率(CoreDamageFrequency) DBA：设计基准事故(DesignBasisAccidents) DBE：设计基准事件(DesignBasisEvents) FSE：功能以及执行功能的相关系统和设备（Functionsandtheassociatedsystemsandequipm HMI：人机界面（HumanMachineInterface） I&C：仪表与控制（InstrumentationAndControl） IAEA：国际原子能机构（InternationalAtomicEnergyAgency） LERF：大量放射性早期释放频率(LargeEarlyReleaseFrequency) NO：正常运行(Normaloperation) PIE：假设始发事件(PostulatedIniatingEvent) PSA：概率安全评价（ProbabilisticSafetyAssessment） SFC：单一故障准则(SingleFailureCriterion)

PSA技术可用于识别核电厂潜在的风险，进行有效地决策并对资源进行集中利用。 PSA技术可用于改进核电厂仪控系统功能，并为在役核电厂定期安全审评提供支持。 基于确定论的分类方法见GB/T15474一2010第4章，基于PSA技术的分类方法可用于确定论分类方法 的补充。 可在核电厂仪控系统设计阶段使用PSA技术对在确定论基础上的仪控功能分类进行补充，并在实际 应用中不断完善有关的可靠性数据。 基于确定论和基于PSA的核电厂设计应反复迭代以得出较为合理的设计方案，最终在确定核电厂安 全重要功能的基础上确定仪控功能分类。

6.1.1安全导则HAD102/14已依据功能的安全重要性将核电安全重要I&C系统分为“安全系统”利 “安全有关系统”。按照GB/T15474中的规定，核电厂安全重要I&C功能分成A类、B类和C类三类， 对比HAD102/14，属于安全系统范围内的功能属于A类或B类，安全有关系统范围内的功能属于B类 或类。 6.1.2A类功能是指对于达到或维持核电厂安全以防止DBE导致不可接受的后果起主要作用的功能。 当瞬态初始阶段不能采取其他替代动作时，即使隐惠能够被测探，这个作用也是必须的。这些功能使瞬

NB/Z202492013

态过渡到受控的稳定状态，使得反应堆处于次临界状态，保证排出热量并且使放射性物质释放受到限制 如果为达到受控状态提供了特定手动操作，那么需要考虑下列因素，诸如穴余的、经确认的信息源的可 用性、足够的时间供操纵员对替代信息进行评估，以及是否仅仅手动操作就能够减轻事故后果以维持电 厂安全等。 A类功能还包括其故障如果没有其他A类功能缓解可能直接导致事故工况的那些功能。由于A类功能 要求高可靠性，应限制其功能度和复杂程度。 6.1.3B类功能是指对于达到或维持核电厂安全起补充A类功能的作用，尤其是在达到受控状态后运 行所需要的功能，以防止DBE导致不可接受的后果或者缓解DBE的后果。B类功能的实施可以避免启动 A类功能。B类功能在减轻DBE的后果上可以补充或改善A类功能的执行，这样电厂或设备损坏或者放 射性释放可以避免或者减至最少。 B类也包括其故障可能引起DBE或者恶化DBE的那些功能。由于A类功能可以最终防止或减轻DBE的后 果，因此B类功能的安全要求不必达到A类功能的高度。如果需要，充许B类功能在对一个需求动作的探 测方法上或其后续动作上的功能度高于A类功能。 6.1.4C类功能是指对于达到或维持核电厂安全起辅助或间接作用的功能，包括那些有一定安全重要 性但不属于A类或B类的功能。C类功能可以是应对整个DBA的一部分（但不直接参与缓解事故的后 果），或者是BDBA所必需的功能。

7PSA技术在核电厂仪控功能分类中的应用

7.1方法 1：基于响应时间和反应堆状态的分

7.1. 1.1分类步腺

基于响应时间和反应堆状态的分类方法可用于核电厂设计阶段的仪控功能分类，该分类应在GB/T 15474分类方法基础上展开。 该方法主要分为4个部分，主要步骤如图1所示

7.1.1.2基于GB/T15474的功能分类

图1基于响应时间和反应堆状态的分类方法的主要步骤

7.1.1.2.1为提高功能分类的精确性，在基于确定论的功能分类原则与方法的基础上，可以采用概率 论方法对其结果进行调整。 核电厂状态按照事故发生的频率及后果分为4类： a）正常运行； b）预计运行事件； c)设计基准事故：

.1.1.2.1为提高功能分类的精确性，在基于确定论的功能分类原则与方法的基础上，可以采 轮方法对其结果进行调整。

NB/Z202492013

d）超设计基准事故。 若任意一类工况中的某一事件发生的后果超过了最大允许释放等级或辐射剂量，被认为是不能接受 ， 则应配置相关的预防和（或）缓解措施，并按照GB/T15474规定为这些功能分类。 GB/T15474给出了安全重要I&C功能类别的划分准则，分类以反应堆可控状态与最终安全状态之间 行功能的差异为原则。如果某一系统实施多个功能，其功能类别应取其最重要功能的相应类别。 1.1.2.2满足下列任何一条准则的安全重要仪控功能应划分为A类： a）为达到受控状态、防止DBE导致不可接受后果或缓解其后果所要求的功能： b）没有设置其他A类缓解功能，其失效或误动作会导致不可接受后果的功能： c）为达到受控状态所必须的规定手动操作提供信息和控制能力所要求的功能。 1.1.2.3满足下列任何一条准则且没有划为A类的安全重要仪控功能应划分为B类： a）达到DBE受控状态之后所要求的功能，为防止DBE导致不可接受后果或缓解其后果： b） 为达到受控状态之后所必须的规定手动操作提供信息或控制能力所要求的功能，以防止DBE 导致不可接受后果或者缓解其后果； c） 在正常运行期间其失效需要启动A类功能以防止事故出现的功能； 为显著降低安全分析中确定的DBE发生频度所要求的功能： e 将主要工艺变量维持在安全分析假定的限制内的电厂过程控制功能，其失效可能直接导致A 类功能的运行。 注：根据目前国际上核电厂设计情况，部分此类功能可划分为C类。 1.1.2.4满足下列任何一条准则且没有划为A类或B类的安全重要仪控功能应划分为C类： 将主要工艺变量维持在安全分析假定的限制内的电厂过程控制功能，其失效不会直接导致A 类功能运行： b) 在核电厂设计基准范围内，防止或减轻放射性少量释放或燃料性能轻微劣化的功能； c) 为控制室操纵员连续监视执行A类或B类功能的系统可用性提供信息的功能； d) 为控制概率安全目标（包括降低DBE预期频率）所必须的功能； 安全分析中要求减少A类功能需求的功能： 为保证实施A类和B类功能（尤其是失效引起PIE的那些功能）的系统的可靠性进行试验并记 录这些系统状态（适合运行、正在运行、失效或不可运行）所必须的功能； g) 核电厂发生设计基准内的灾害（例如火灾、水淹）后进行监视并采取缓解动作的功能； h) 伴随或导致核电厂放射性释放或辐射危害的事件期间或之后，警告现场人员或者确保人员安全 的功能； i 自然灾害（例如地震、飓风）后具监视并采取缓解动作的功能； 为BDBA情况下达到并维持安全状态的事故管理决策提供协助的功能； 减轻严重事故后果的功能； 1）提供核电厂出入控制的功能。

a) 将主要工艺变量维持在安全分析假定的限制内的电厂过程控制功能，其失效不会直接导致A 类功能运行： b) 在核电厂设计基准范围内，防止或减轻放射性少量释放或燃料性能轻微劣化的功能； c 为控制室操纵员连续监视执行A类或B类功能的系统可用性提供信息的功能； d) 为控制概率安全目标（包括降低DBE预期频率）所必须的功能； e） 安全分析中要求减少A类功能需求的功能； 为保证实施A类和B类功能（尤其是失效引起PIE的那些功能）的系统的可靠性进行试验并记 录这些系统状态（适合运行、正在运行、失效或不可运行）所必须的功能； 8 核电厂发生设计基准内的灾害（例如火灾、水淹）后进行监视并采取缓解动作的功能； h) 伴随或导致核电厂放射性释放或辐射危害的事件期间或之后，警告现场人员或者确保人员安全 的功能； i） 自然灾害（例如地震、飓风）后具监视并采取缓解动作的功能； 为BDBA情况下达到并维持安全状态的事故管理决策提供协助的功能； k) 减轻严重事故后果的功能； 1）提供核电厂出入控制的功能。

7.1.1.3基于一级PSA 的重要事故序列筛选

核电厂设计阶段可进行一级PSA分析，其结果可用于补充或支持仪控功能分类。 首先，应基于事故后果确定不同类型的反应堆当前概率安全准则。新建压水堆核电厂，导致堆芯损 坏环的单个事故序列的概率目标通常低于10"/年。在考灾害、不确定性以及所有反应堆状态的情况下， 堆芯损坏的整体概率目标值低于10/堆年。 其次，应进行一级PSA分析确定对CDF有重要贡献的事故序列。 可利用一级PSA判别对堆芯损坏频率（CDF）有重要贡献的多重故障叠加的情况，这些情况中最少应 包括两个独立始发事件（后续研究），始发事件的后果（包括仪控设备故障）应通过确定论方法处理。

NB/Z202492013

压水堆核电厂，如果始发事件后果在所对应的安全目标值10"/年中的贡献率可以忽略，则此始发事件可 不包括在事故序列分析之内。 最后，给出压水堆核电厂一级PSA部分典型的复合事故序列： a) ATWS; b) 蒸汽发生器给水完全丧失； c) 小破口丧失冷却剂事故和中压安注丧失； d 小破口丧失冷却剂事故和低压安注丧失； e 全厂失电： f) 冷却系统完全丧失

7.1.1.4功能分类的优化或调整

PSA技术不应单独用于降低现有功能类别的等级。 如果非安全类别的功能可将核电厂发生事故的频率降至可接受水平，则应考虑提升该功能的类别 如果该功能本身为类别A或B，则保持不变。 如果新增的功能可降低核电厂发生事故的频率至可接受水平，则需要考虑将该功能置为类别A、B 或C，如果其提供的功能满足5.3.1.2中A类功能的划分准则的要求，则考虑定义该功能的类别为A。 能够缓解事故发生频率的功能的可靠性在PSA分析中宜予以说明，同时应判别该功能的误动是否会 触发导致堆芯损坏风险增加的事故序列。 仪控系统的功能分配应注意：仪控设备故障不会触发多种故障模式，同时不会导致用于缓解该故障 模式的相关功能失效。 功能类别的选择应有利于说明相关的可靠性指标是否达到规定要求。 对于根据类别C开发的软件，很难证明由信号采集（包括传感器）、逻辑处理和表决设备构成模块 的需求失效概率小于10"，因此宜将这部分功能分配至类别A。如果该功能是为了缓解另一个类别为A的 功能，则两个功能之间应进行独立性设计，方法之一是将这两个功能分配到独立的两个类别A的系统之 中。 如果只遵循类别C开发的仪控相关软件（包括信号采集、逻辑处理、信号表决等模块）宜通过一定 的分析方法给出相应的可靠性数据并需要证明其需求动作的失效概率低于10

7.1.1.5不同类别功能的最低技术要求

仪控功能的最低技术要求一般由所选功能的类别决定，此外也与相关设备或系统的等级有关。表1 列出了不同功能层次的最低要求。

表1不同功能屋次的最低要求

除上述要求之外，其它一些独立性要求是： 类别较低的功能不会损害类别较高功能的实现。 仪控设备故障不会导致纵深防御的破坏。 CCF不能导致用来处理这些共因故障的相关功能的损坏。 表2列出设备的其它要求：

7.1.2定期安全评审对功能分类的影响

在核电厂寿期内，执行一级PSA作为核电厂定期安全评审的一部分。 PSA应利用一些运行经验反馈进行调整，如可靠性数据更新，故障机理和事故序列假设调整，以及 些PIE频率的更新等。 核电厂整个寿期内在运行经验反馈的基础上可利用PSA对核电厂原有设计方案进行改进，并为风险 决策提供如下支持： a） 为升级的某些子系统提供必要的证据支持： b) 识别需要更好维护程序的设备； 识别重大的多重故障的可能性 d) 为运行经验提供反馈以提高类似电厂所使用数据的准确性。 需要通过PSA论证整体CDF维持在初始目标值10/堆年以下。 PSA可用于复查核电厂设备维修间隔时间、现有功能的分类是否合理、添加新的功能或改造电厂的 某些薄弱环节。如需加大合格设备的维护间隔时间，应补充充分的理由。

7.2方法2：基于重要度的分类方法

NB/Z202492013

可采用定量分析方法对核电厂安全重要仪控功能进行分析。 根据分析结果对核电广安全有重要贡献的仪控功能进行重要度评估。 基于重要度的定量分析法是以对核电厂安全风险贡献大小为基础，考虑某项仪控功能对电厂整体风 险（如CDF）的事故序列的影响，并根据功能对单个事故序列的贡献大小不同分配类别，某项功能可能 因其在不同事故序列中的贡献大小不同而被分配到多个类别中，此时该功能应分配到级别最高的类别

7.2.3.1核电厂定量风险分析表达式

一级PSA要求生成所有能导致堆芯拉 时中的事故序列的布尔集合并形成布尔 损坏频率C()是所有始发事件导致堆芯损坏频率的和，见如式(1)：

NB/2202492013

n一一为所有最小割集中PIE的数量。 注：公式（3）括号中的项为与PIE“”相关的FSE的临界状态不可用的一阶近似值。该项为包含PIE“”的最小割 集概率的总和。一般而言，公式（3）对于大部分风险计算来说都已足够准确，因此可用于判定对CDF贡献的最 小制集重要度。

7.2.3.2 重要度评估

基于重要度的定量分析法可采用上述计算公式，仪控功能对安全的重要度可通过评估每个基本事 （包括构成对应仪控功能的假设故障条件）对堆芯损坏的贡献权重函数来确定。对单个功能或相关系统 及其关联设备重要度的表达式创建分为三个步骤： a）形成包含PIE需要分析的仪控功能的最小割集的堆芯损坏顶事件； b) 使用公式（2）来计算包含该仪控功能失效顶事件的发生频率； c）将（b）的计算结果除以堆芯损坏频率。 基本事件（或其构成仪控功能）的安全重要度对堆芯损坏频率的加权见公式（4）：

Lc,—安全重要度;

仪控功能可基于重要度进行分类。核电厂设计是一个选代的过程，在设计周期内，仪控功能应逐步 完善，而单个仪控功能对安全的重要度也将发生变化。

.2.5.2设计基准识别

功能分类过程首先要确定核电厂类型（例如压水堆核电厂或沸水堆核电厂）、与） 及机械和电气系统和设备的穴余方面的主要设计准则。其次是确定每个PIE的主要缓解FSE及其支持FSE。 评估PIE频度和后果从而确定与电厂设计基准相关的DBE。鉴于运行状态和事故条件的范围和规定剂 量限值将影响核电厂的设计，应研究将各个安全原则集成整体安全原则以确保电厂安全运行。这些原则 可在确定DBE和将辐射限制在允许限值的实体屏障的设计中应用。

NB/Z202492013

I&CFSE的分类取决于其在避免或缓解PIE时所起的作用。分类过程要求考虑在电广所有运行模式和 状态（如启动、正常运行、换料等）下FSE在避免和缓解PIE时的任务，因为部分FSE可能仅在某些特殊 运行模式及特定PIE如自然事件（地震、洪水、飓风、雷电等）和灾害（火灾、内部水淹、飞射物、来 自相邻核电厂的辐射释放等）中担当重要任务。

7. 2. 5.31&C FSE 功能的确定及分类

在核电厂设计的早期，应识别有安全任务的功能。应根据GB/T13630的要求来识别这些功能并将其 分配到各个I&CFSE中或交由操作人员执行。在完成I&CFSE初始识别后，应对每项I&CFSE分配一个类 别。分类时宜考虑以下因素： a） 要实施的安全功能； 6） 在预防或缓解PIE中起的作用； 在所有运行模式期间（例如，启动、正常运行、换料等）起的作用； d) 在诸如自然事件（例如，/地震、洪水、飓风、闪电）和内部灾害（例如，火灾、内部水淹、飞 射物、临接机组的放射性释放或其他电厂或工厂的化学物质释放）这样的PIE之后，所起的作 用； e） 失效的后果； 误动作的影响； 需要其实施安全重要功能的失效概率； 在DBE期间或之后要求其运行的时间： 维护、修理和试验方案。 初步设计阶段不太可能确定所有功能的细节，因此不能完全确立核电厂的特性。功能确定和分类应 在整个设计阶段持续反复的进行。功能分类初次划分不明确的地方，分类中应增加解释性注释。 为了更详细确定功能的亢余度、多样性及其他技术要求，完成安全分析和操作规程以后应改进并修 订分类表，形成最终清单。这个清单应进行存档，以备电厂、仪控设计人员在核电厂寿期内使用。

7. 2. 6 确定要求

NB/Z202492013

单独使用确定论方法及概率论方法在仪控功能分类中的周限性

A.2概率论方法的局限性

使用PSA技术可以获得核电厂的风险信息并加以改进，产生更多成本效益和对资源的有效利用，同 时提高核电厂的安全性。但另一方面，PSA技术运用在核电厂设计阶段以及在役运行阶段受到多个因素 的制约，主要是PSA技术在核电厂设计阶段作为功能分类工具使用时，要求在核电厂早期设计阶段就开 展PSA工作，但在这个时间段执行如此详细的评估具有一定的难度，一方面是因为电厂设计在不断变化， 另一方面是在这个阶段缺少详尽的定量化数据。 同时，PSA在目前的设计过程中也经常会存在技术限制，使得设计过程中不能仅依靠PSA的数据作 为依据。主要限制因素如下： 部分要素目前技术难以建模及定量化评价，如软件故障： 电厂特殊信息的缺失或不可用： 一需要执行PSA的深度和范围限制； 一不确定性分析的完整性。 考虑上述因素，在设计阶段应谨慎利用PSA进行决策。比如，核电厂设计中是否需要增加一个新的 安全功能，并定义安全功能和安全有关功能的可靠性要求。 基于这些原因，不能将PSA作为唯一的仪控安全功能设计和分类的方法。 尽管有这些限制，PSA在与基于纵深防御原则基础的定性方法联合使用时，还是十分有用的。 PSA可用于核电厂设计阶段以及现有在役核电厂设计的审查，同时应与确定论方法一起使用，并且 成为确定论方法的一种补充。

A.3确定论方法的局B

NB/7202492013]

NB/Z202492013

附录B （资料性附录） PSA分类技术在一些国家中的应用

本附录总结了目前在国际上关于基于风险分类的应用情况。这些观点可帮助所有成员国提升在该领 内实际应用水平。 a）加拿大，由于监管当局要求进行确定论分析和概率论分析，因此大量事件需要进行PSA分析， 作为执照申请的一部分。分类主要在功能所要求的可靠性基础上进行（过程（连续运行）系统 为D，安全（稳定）系统为PrD。在某些情况下，若在确定论分析中某个功能是可靠的，则 其类别的设置可能要比基于概率分析的类别要高）。 b 法国，大量不确定事件需要进行PSA分析。为了处理那些在频率上超过10/年导致堆芯损坏 的事故序列，需要在电站中增加新的功能，或对现有系统分配一个新功能。在这种情况下，若 涉及两个独立故障，新功能可设置为类别C。若只有一个故障，新功能必须为设置为类别A。 PSA每10年更新。 c 德国，根据德国相关规定，反应堆保护系统的设计应保证其不成为安全系统不可用的决定性 因素。对此要求的普遍诠释为，仪控系统对安全有关系统的整体故障率的贡献不高于机械组件 贡献的10%。PSA每10年更新。 d） 日本，安全分类是基于确定论的方法。然而，大量事件需进行PSA分析，除了传统的确定论 分析外，基于风险分析的方法也是一个发展趋势。考虑到日本在此领域还没有积累足够的经 验，可能还需要多年才能直接更改到使用风险来进行与设计相关的安全分级导则。日本对风险 信息的应用从运营和（或）检验领域以及地震方面入手。 e） 韩国，所有运营电厂和在建电厂都需要进行PSA分析，PSA涵盖大量不确定事件。截止目前， PSA并没有影响分级，但有几项PSA计算结果被用来延长安全系统的允许停役时间和监督试 验间隔。 瑞典，PSA广泛应用于所有电厂。其并非直接用于分级，但用于识别有特殊考虑的系统。监 管人员要求提供确定论报告和概率论报告，软件是PSA建模的一个难点。 8 瑞士，根据2008年6月开始实施的新监管指引A06（PSA应用），PSA被系统地引入反应堆 监管（有关安全评估、设备改进、技术规范以及事件分析）中作为决策的附加考虑因素。另外， A06导则还说明了部件的辨识，从PSA角度来看，这点非常重要。这些组件的优化需要获得 监管机构的批准。 h 英国，PSA包括控制系统的危险故障率（Ap）模型和安全系统的PrD模型。3级PSA通常表明 仪控系统及设备并非主导因素。

加拿大执照申请是在满足确定论和概率论分析的基础上进行的。功能分类主要是基于概率论方法， 同时辅以确定论分析。 基于确定论分析的执照申请具有双重要求：所谓的单一事故情况（假定所有安全系统都按设计工作） 以及所谓的多重事故叠加情况（对于每个PIE，假定每个安全系统依次出现故障）。多重事故叠加情况 发生的概率认为低于单一事故情况的概率，因此它允许有更大的放射性释放。 通过PSA可反映是否满足概率目标。典型的PSA包含50多种情况，如电厂控制计算机故障、丧失 IV级电源、不同地方不同尺寸的各种管道破口等。 确定论方法和PSA技术都用于电厂设计审查，任何一种方法都可能决定添加新的缓解系统。 使用第5章中介绍的基于风险方法进行分类。在某些特定情况下，若电厂设计中加入新的缓解系统， 根据其在确定论分析中的作用，新的安全功能可设置为类别B，即使如果按基于风险方法，其可能被归 类为类别C。

法国核设施（核电厂、研究反应堆、浓缩设施等）的安全分析主要以确定论为基础，并实施纵深防 郎。 在核电厂设计期间，概率方法作为补充的方法，用于识别导致严重事故的多个贡献者的序列，且其 贡献在严重事故概率方面被认为是不容忽视的。在考虑了灾害，不确定性以及所有反应堆状况后，堆芯 损坏的风险整体概率目标，定为10"/堆年，因此概率大于10"/年的序列系统地考患在该列表中。为了 说明这些序列，有两种可能性：升级现有功能的类别或添加一个新的安全功能。在后面情况下，功能的 类别选择应满足所要求的可靠性。系统功能分配明显取决于其他限制，如系统的等级（参考NB/T20026）、 系统和功能之间的独立性要求、保持安全分类系统的低复杂程度等。 现有电厂每十年进行一次PSA分析，以确认电厂仍然充分地满足相关安全要求。在此阶段，用于之 前的PSA的假设必须进行验证，考虑同类型电厂的经验，并对其中的一些有效性进行重新评估。若在考 虑了灾害，不确定性以及所有反应堆状态后，判断严重事故的概率高于10/堆年时，必须进行设计变 更以满足该概率目标。 在引入新的仪控设备或设备组的情况下，需要进行PSA分析，并辅以按相关设计要求的新方案的合 适性验证，以确认优化的属性与被更换的部分一样或更好。可靠性是这些属性中的其中一项。 需要重点考虑以下因素： a）PSA不能用于降低现有功能的类别，但可用来识别薄弱环节以及改进设计（最终用于升级功能 类别或添加补充防御线等）： b） 在特定情况下，PSA也会导致对维护周期重新审视，但在没有补充理由的情况下不能用于降低 合格设备的维护频率，这些设备必须防止严重后果的发生（如LOCA及LOCA后严重事故工况等）。 该方法对所有核设施（研究反应堆、浓缩设施等）适用。然而，该方法必须根据严重事故的定义以 及可接受水平定义的实际情况进行调整，而这些实际可以随这些设施进行变化.。严重事故的概率目标 10"/堆年可以随着这些应用而导致的严重事故影响而改变（可能跟考虑核裂变反应堆的堆芯熔化情形差 异很大）。

按照德国规定，德国核电厂安全有关的决策许可程序以确定论原则为基础。

NB/Z202492013 PSA作为补充方法来支持论点，如： 每个电厂每十年要执行PSA来确认电厂仍然充分满足相关安全要求。 在引入新的仪控技术的情况下，进行PSA分析，以确认硬件设计的合理性和定期试验的间隔时间。 对于整个安全设计而言，PSA技术用来识别弱点，通过支持以满足确定论要求为基础的许可决策来 平衡安全设计。

NB/Z202492013 PSA作为补充方法来支持论点，如： 每个电厂每十年要执行PSA来确认电厂仍然充分满足相关安全要求。 在引入新的仪控技术的情况下，进行PSA分析，以确认硬件设计的合理性和定期试验的间隔时间。 对于整个安全设计而言，PSA技术用来识别弱点，通过支持以满足确定论要求为基础的许可决策来 平衡安全设计。

PSA技术在核电厂仪控系统或功能上对系统分类或功能分类均没有应用。 PSA技术用于延长反应堆保护系统和专设安全驱动系统定期试验间隔时间。 PSA技术用于增加安全有关系统设备的允许停役时间。

在英国，要求核电厂运营商尽可能降低工人和公众的风险。运营商是否满足此要求的关键因素是证 明电厂风险是否尽可能降到最低。这种证明就包括一个PSA，在此评价中含有仪控系统对电厂风险目标 的贡献数据。概率目标被分配到各个仪控系统上，并需要证明其满足相关标准要求。英国采用的对可靠 性目标分级和（或）安全完整性等级（PFD/PDFY频段）提供指引，见GB/T20438。 功能根据其对安全的重要性进行分类见GB/T15474等相关标准。

NB/Z202492013

本附录主旨在于探讨PSA技术在核电厂设计阶段的一些应用情况。PSA技术有助于确定核电厂仪控功 能的可靠性指标，并识别出薄弱环节。 核电厂的设计主要以严格的确定论要求和纵深防御原则为基础。即使是完全的新设计，也必须在PSA 分析之前进行基本的安全功能分类和所有的PIE的响应。但某一定程度上可以同时进行PSA分析，以量化 的形式确定仪控系统和设备在核电厂总体安全上的重要度，并确定新增的安全功能是否满足PSA总体安 全目标。 实际上，PSA可用于以下两个领域： 支持新的核电厂设计，验证仪控功能的正确分类； 一验证仪控系统最有效的设计与改进策略。 通过上述方式，PSA可用于改善核电厂设计，尤其是具有安全重要功能的仪控系统。

C.2未来核电厂设计中PSA技术的使用

C.2.2.1概率安全目榜

C.2.2.2始发事件

PSA中主要用于对特定电厂系统或仪控系统设计

NB/7202492013

设计人员应考虑事件组，事件组定义为导致同一事件的一组基本事件。事件组中的这些基本事件会 因不同的电厂而有所不同。

C.2.2.3可靠性数据

在设计阶段，通常使用通用可靠性数据库，特定电厂的数据较少或基本没有。在电厂投运之后，应 补充或更新可靠性数据。

C. 2.2. 4CCF

仪控设备使用了相同的组件和技术而发生相同的故障。这类故障可由设计、制造、运行和维护过程 中的错误引起，在PSA评价中应予以考虑。

C. 2. 2. 5 人因可靠性

人因失效概率是重要的设计考虑因素同轴电缆标准，因此对人因失效概率的评估应包含在PSA模型中。在建模中 要同时考虑时间独立性（如潜在错误）和时间相关性（如诊断错误）两方面。

C.2.3核电厂PSA模型

核电厂分析应包括： 整套始发事件； 说明从始发事件到最终状态过程的事故序列的事件树，包括系统和操纵员的响应； 描述综合了基本事件（设备故障、人因失效等）的故障树。 通过事件树和故障树的合并，确定单个基本事件对事故序列的贡献情况。

C.3在役电厂应用PSA的优越性

对于在役核电厂，PSA可在定期安全评审过程中广泛应用铁路工程施工组织设计，主要作用如下： 突出主导事件； 一为安全和安全有关仪控系统和设备的变更提供依据： 评价核电厂的整体安全水平。 可以根据风险降低情况来优化核电厂设计。 PSA是评价仪控系统的重要性和评估潜在变更非常有效的工具。因此，设计人员可利用PSA和其他确 定论研究成果来决定哪些优化可以最大限度的改善核电厂的安全。

NB/Z202492013