李 彪，郭 明，吳 飛

（海軍工程大學(xué)核科學(xué)技術(shù)學(xué)院，武漢 430030）

高后果系統(tǒng)的安全性評估是當(dāng)前安全分析與評估領(lǐng)域的難點與熱點問題之一。常見的高后果系統(tǒng)有：核武器、核電廠、化工廠、發(fā)電廠等，這些系統(tǒng)儲存和傳輸大量的能量，往往由于意外或人為的惡意破壞而遭受災(zāi)難性的損失，因此，需要設(shè)計特殊的安全系統(tǒng)，以使其事故發(fā)生的概率降至最低。對高后果系統(tǒng)的安全性評估，由于無法開展系統(tǒng)級的安全試驗，采用常規(guī)的手段難以獲得較高的預(yù)測性和可信度。

針對上述難題，美國桑迪亞國家實驗室以核武器起爆安全為研究對象，提出了3個安全原則：隔離、非操作性和互斥性［1，2］，建立了喪失確定性安全概率（Probability of loss of assured safe?ty，PLOAS）模型，并逐步應(yīng)用于核武器安全性的評估。PLOAS為高后果系統(tǒng)安全性評估提供了一套全新的思路，隨著PLOAS相關(guān)理論的發(fā)展，PLOAS模型開始在核反應(yīng)堆、化工廠等多個高后果系統(tǒng)的安全性評估中應(yīng)用。本文從基本原理、發(fā)展歷程和發(fā)展趨勢等方面對PLOAS相關(guān)理論進(jìn)行總結(jié)，為高后果系統(tǒng)安全性評估提供參考。

1 PLOAS方法概述

PLOAS方法是在核武器起爆安全性評估的基礎(chǔ)上發(fā)展起來的，同時對其他高后果系統(tǒng)的安全設(shè)計有著深刻的影響。本節(jié)主要簡介高后果系統(tǒng)主要原則，并通過一個燃?xì)鉅t的安全控制系統(tǒng)實例，給出PLOAS的基本原理。

1.1 可預(yù)測的安全設(shè)計原則

為了強(qiáng)調(diào)高后果系統(tǒng)可預(yù)測的安全性評估，文獻(xiàn)［1］和文獻(xiàn)［2］提出了隔離、非操作性和互斥性3項安全設(shè)計原則。隔離，即通過堅固的物理屏障將內(nèi)部運行系統(tǒng)和外部環(huán)境進(jìn)行隔離，使得內(nèi)部控制系統(tǒng)不會暴露在異常環(huán)境中，同時免受虛假能量或信息的無意激活。在正常操作環(huán)境和低至中等強(qiáng)度的異常環(huán)境中隔離裝置能確保系統(tǒng)的安全。但是，在高強(qiáng)度環(huán)境中，如在高速撞擊或推進(jìn)劑火災(zāi)情況下，屏障最終會失效，此時需要應(yīng)用非操作性原則，即在內(nèi)部系統(tǒng)中，通過一個或多個脆弱元件在隔離屏障失效之前永久故障或失效，來阻止災(zāi)難性后果的發(fā)生，因為脆弱元件的永久失效會使控制系統(tǒng)失效，從而關(guān)閉內(nèi)部系統(tǒng)的運行。這些脆弱元件被設(shè)計成依賴于可預(yù)測的化學(xué)或物理性質(zhì)，對異常環(huán)境作出被動響應(yīng)（即不需要任何操作就可以自動永久失效），因此更具可預(yù)測性［3］。實際上，脆弱元件可能需要多個弱點來覆蓋可能威脅隔離的各種環(huán)境（如熱環(huán)境、擠壓環(huán)境等）?；コ庑栽瓌t即實現(xiàn)隔離屏障內(nèi)外正常的通信能可靠的傳遞，而意外生成的通信無法兼容，從而確保無論是正常環(huán)境還是異常環(huán)境，正常的通信信息不可復(fù)制。不同的高后果系統(tǒng)，通信具有不同的特點，如核武器系統(tǒng)中，通信僅在精心控制的作戰(zhàn)行動下傳遞一次，在某些高后果系統(tǒng)，通信可能不是人為控制，而是由其他信息（如溫度等）進(jìn)行控制。

1.2 燃?xì)鉅t安全控制系統(tǒng)設(shè)計示例

為直觀地介紹PLOAS的基本原理，以燃?xì)鉅t為研究實例，假設(shè)燃?xì)鉅t為高后果系統(tǒng)，異常環(huán)境主要是熱環(huán)境和電磁環(huán)境（如火災(zāi)和雷電）。為簡單起見，我們主要目的是想防止控制閥的意外激活，其他情況，如控制系統(tǒng)上游的輸氣管道破裂將不在此討論。按照隔離、非操作性和互斥性原則，設(shè)計可預(yù)測的安全控制系統(tǒng)如圖1所示。首先，通過金屬等加固殼體將燃?xì)忾y與外部環(huán)境隔離，從而屏蔽雷電等常見的異常環(huán)境。外部驅(qū)動信號通過一個通道與內(nèi)部燃?xì)忾y連接，這個通道是隔離屏障的組成部分，稱之為強(qiáng)鏈接（StrongLink，SL）。然后，在隔離屏障內(nèi)部的燃?xì)夤芫€上設(shè)計一個脆弱元件，當(dāng)外部出現(xiàn)強(qiáng)烈的熱環(huán)境（如火災(zāi)），在熱環(huán)境突破隔離屏障之前，脆弱元件已經(jīng)永久失效，從而阻止系統(tǒng)的運行，避免高后果事故的發(fā)生，這個脆弱元件部分，稱之為弱鏈接（WeakLink，WL）。遵循非操作性原則，脆弱元件的設(shè)計目標(biāo)需要根據(jù)物理特性設(shè)計成被動的、直接的和不可逆的失效，比如本案例可以通過在燃?xì)夤艿纼?nèi)插入某種易熔線來實現(xiàn)。最后是邏輯控制系統(tǒng)的設(shè)計，該系統(tǒng)的目的是根據(jù)溫度傳感器傳回的溫度和溫度調(diào)節(jié)器的設(shè)置，控制強(qiáng)鏈接，并通過強(qiáng)鏈接給燃?xì)忾y發(fā)送驅(qū)動信號。邏輯系統(tǒng)需要通過獨特碼（UN碼）啟動強(qiáng)鏈接，驅(qū)動信號才能通過啟動的強(qiáng)鏈接傳送至燃?xì)忾y。UN碼由一系列的長脈沖和短脈沖組成，每一個脈沖單獨發(fā)送，選擇脈沖的總數(shù)和模式能實現(xiàn)互斥性原則［4］。強(qiáng)鏈接只有收到完整正確的脈沖序列后，才會處于啟用狀態(tài)，否則觸動工程鎖定響應(yīng)，確保安全狀態(tài)。

圖1 燃?xì)鉅t安全控制系統(tǒng)示意圖Fig.1 Safe design for gas furnace control system

1.3 PLOAS基本原理

上述安全系統(tǒng)的核心是強(qiáng)鏈接和弱鏈接。在這種設(shè)計中，SL系統(tǒng)是非常健壯的，其目的是允許系統(tǒng)在并且僅在預(yù)定條件下運行（例如通過發(fā)送UN碼）。相反，WL系統(tǒng)在事故條件下（如發(fā)生火災(zāi)）以可預(yù)測和不可逆的方式失效，并在SL系統(tǒng)意外運行之前使整個系統(tǒng)不工作。圖2給出了具有一個WL和一個SL的WL/SL系統(tǒng)的邏輯圖。在正常環(huán)境下，系統(tǒng)非運行狀態(tài)如圖2A所示，WL關(guān)閉，SL打開，運行狀態(tài)如圖2B所示，SL接收UN碼后啟動（即打開），驅(qū)動信號通過SL控制系統(tǒng)；在異常環(huán)境下，WL在SL故障之前失效，因此無論是系統(tǒng)處于非運行狀態(tài)（如圖2C）還是運行狀態(tài)（如圖2D），WL的失效均使得驅(qū)動信號無法通過，整個系統(tǒng)停止運行。但是，由于系統(tǒng)制造工藝或其他隨機(jī)因素，在異常環(huán)境下，外部載荷突破隔離屏障，使得SL失效前而WL尚未失效，從而使整個系統(tǒng)處于不安全狀態(tài)，出現(xiàn)這種狀態(tài)的概率稱之為PLOAS。喪失確定性安全并非指系統(tǒng)出現(xiàn)安全事故，而是指確保系統(tǒng)安全的WL沒有按要求失效，從而導(dǎo)致系統(tǒng)處于不安全的狀態(tài)。因此，PLOAS對系統(tǒng)安全性的評估更為保守。另外，由于隔離屏障、SL和WL的失效分布可以通過試驗驗證，因此，PLOAS具有較高的預(yù)測性和可信度。

圖2 一個SL和一個WL的WL/SL系統(tǒng)邏輯示意圖Fig.2 Logic diagram of WL/SL system with one SL and one WL

2 PLOAS發(fā)展歷程

在PLOAS方法中，系統(tǒng)所處異常環(huán)境下載荷的類型、載荷隨時間變化的規(guī)律及分布、不同載荷下SL和WL的失效分布是PLOAS評估的基礎(chǔ)數(shù)據(jù)。

在美國能源部的資助下，PLOAS相關(guān)理論經(jīng)過近20年的持續(xù)研究，桑迪亞國家實驗室先后建立了溫度相關(guān)性和時間相關(guān)性的多SLs和WLs系統(tǒng)模型（其中時間相關(guān)性系統(tǒng)通用性更強(qiáng)），采用梯形法、辛普森法、蒙特卡羅抽樣法等多種方法開展數(shù)值計算，并開發(fā)了CPLOAS軟件平臺支持上述方法［5］，同時建立一套方法對數(shù)學(xué)模型和軟件計算進(jìn)行校核，確保模型和數(shù)值計算的準(zhǔn)確性。目前，該方法體系得到美國軍方的認(rèn)可，為美軍核武器安全性評估發(fā)揮了很大的作用。具體而言，其發(fā)展歷程包括以下方面。

2.1 溫度相關(guān)系統(tǒng)中的PLOAS模型

2006年J.C.Helton等人針對溫度相關(guān)系統(tǒng)，采用傳統(tǒng)的概率統(tǒng)計方法，首次建立系統(tǒng)的PLOAS模型［6，7］。在該系統(tǒng)中，假設(shè)WL和SL隨著溫度變化的失效概率是已知的，實際上，這種分布概論是可以通過試驗回歸分析獲得。在火災(zāi)異常環(huán)境中，WL和SL的溫度是隨時間變化的函數(shù)。論文針對以下幾種WL/SL配置建立數(shù)學(xué)模型：

（1）一個WL，一個SL；

（2）多個WLs，多個SLs，任何SL在任何WL之前失效，都會導(dǎo)致整個安全系統(tǒng)失效；

我像一匹健碩的駿馬，馳騁在珠三角這片廣袤的熱土上。北方已是清涼的秋天了，南中國仍沉浸在熱浪滔天中。陽光潑下來，硫酸似的灼人，滾滾車輪之后，黃塵囂囂，公交車?yán)锏暮钩艉蜐嵛叮裎涹ㄒ粯优赖脻M身都是。我要和金融危機(jī)拼一場，不惜犧牲我的青春和汗水。我每天把自己像水餃似的扔進(jìn)一輛輛公交車?yán)?，又像水餃似的從一輛輛公交車?yán)锏钩鰜怼榱死唵?，為了建立業(yè)務(wù)關(guān)系，跑遍了東莞的企石，寮步，石龍，跑遍了寶安的西鄉(xiāng)，松崗，還跑到廣州的鐘村等地，極其耐心地和客戶交談，宣傳景花廠的信譽(yù)，員工的素質(zhì)，拋光的質(zhì)量。我的優(yōu)勢是拋光技術(shù)過得硬，面對客戶侃侃而談，不管什么異型產(chǎn)品，我都能表達(dá)出解決的方法。

（3）多個WLs，多個SLs，所有SL在任何WL之前失效，會導(dǎo)致整個安全系統(tǒng)失效；

（4）多個WLs，多個SLs以及SL具有多個子鏈接（任何子鏈接都能導(dǎo)致其關(guān)聯(lián)的SL的失效），所有SL在任何WL之前失效，會導(dǎo)致整個安全系統(tǒng)失效。

PLOAS來自WL/SL系統(tǒng)中隨時間變化的溫度以及該系統(tǒng)各個組件失效時的溫度的變化性（即不確定性），其表達(dá)形式為一個多維積分，文獻(xiàn)［8］研究了具體的數(shù)值計算方案，并給出了計算機(jī)模型的校核方法［8］。文獻(xiàn)［9］討論了鏈路達(dá)到失效溫度的時間與實際失效時間之間存在與溫度相關(guān)的延遲系統(tǒng)，建立了存在延遲系統(tǒng)情況下PLOAS模型［9］。

2.2 時間相關(guān)系統(tǒng)中的PLOAS模型

溫度相關(guān)系統(tǒng)主要適用于火災(zāi)環(huán)境條件下的分析，顯然對于其他異常環(huán)境，該模型無法適用。文獻(xiàn)［10］針對該局限性，建立時間相關(guān)系統(tǒng)的PLOAS模型。在該系統(tǒng)中，將WL和SL的屬性值（根據(jù)異常環(huán)境可以是溫度、沖擊、壓力等）隨時間的變化描述為一簇隨機(jī)函數(shù)，具體可以表達(dá)為一個中心函數(shù)乘以隨機(jī)變量，同理，WL和SL的失效屬性值也是一簇隨時間變化的隨機(jī)函數(shù)。由于屬性值沒有明確的定義，顯然該模型具有更強(qiáng)的適用性。文獻(xiàn)［10］建立時間相關(guān)系統(tǒng)的PLOAS數(shù)學(xué)模型，給出了數(shù)值計算方法，文獻(xiàn)［11］建立了系統(tǒng)中存在隨機(jī)不確定性延遲失效鏈路情況下的PLOAS模型［10，11］。

2.3 PLOAS中的認(rèn)知不確定性研究

對于復(fù)雜系統(tǒng)的設(shè)計與分析，分離隨機(jī)不確定性和認(rèn)知不確定性，并分開討論是十分重要的［12-14］。因為，隨機(jī)不確定性源于所研究系統(tǒng)行為的固有特性，是系統(tǒng)的行為屬性，可以統(tǒng)計和估計，無法消除；而認(rèn)知不確定性源于人的認(rèn)知能力的局限性，造成對某些參數(shù)的真實值缺乏了解，這些參數(shù)在特定分析的背景下往往是客觀的、固定的，它是由于人的知識缺乏而對系統(tǒng)固定參數(shù)值產(chǎn)生誤差，是可以消除的。在許多研究中［15-17］還討論了隨機(jī)不確定性和認(rèn)知不確定性在復(fù)雜系統(tǒng)分析中的作用。核電廠的概率風(fēng)險評估實現(xiàn)了隨機(jī)性不確定性和認(rèn)知性不確定性的分離，有時被描述為“頻率概率”方法，因為使用頻率來描述核電廠發(fā)生始發(fā)事件時的隨機(jī)性不確定性事故，使用概率描述認(rèn)知不確定性特征。文獻(xiàn)［10］針對PLOAS系統(tǒng)中認(rèn)知不確定性的概念和表示方法，文獻(xiàn)［18］基于證據(jù)理論，建立了PLOAS中認(rèn)知不確定性模型，并給出了數(shù)值計算方法［18］。

3 PLOAS發(fā)展趨勢

由于PLOAS對安全性的評估僅適用于特定設(shè)計的高后果系統(tǒng)的安全性評估，目前在公開報道中，僅有美軍核武器安全性評估得到成功的應(yīng)用，但美國桑迪亞國家實驗室自2000年至今，從未停止對PLOAS基礎(chǔ)理論的研究。目前，關(guān)于PLOAS的研究主要有以下趨勢。

3.1 SL/WL系統(tǒng)認(rèn)知不確定性的深化研究

為了獲得異常環(huán)境下SL、WL載荷分布和失效分布，需要通過試驗進(jìn)行回歸分析，確定上述分布的相關(guān)參數(shù)。然而，即使采用大量的試驗樣本，也往往存在一定的誤差，這些誤差對PLO?AS評估的影響是不能忽略的，因此需要深化認(rèn)知不確定性研究，包括認(rèn)知不確定性表示方法、計算方法、靈敏度分析等。

3.2 和裕量與不確定性量化（Quantification of Margins and Uncertainties，QMU）理論的結(jié)合應(yīng)用

3.3 PLOAS對高后果系統(tǒng)安全性設(shè)計的指導(dǎo)方法

由于保密等原因，PLOAS應(yīng)用于實際裝備的安全性評估尚無公開資料，但PLOAS如何對高后果系統(tǒng)安全性設(shè)計提供指導(dǎo)也是目前研究的一個重點，文獻(xiàn)［22］針對溫度相關(guān)性的高后果系統(tǒng)，估計了SL和WL最小失效溫度的均值和方差，為關(guān)鍵部件的設(shè)計提供指導(dǎo)［22］。

3.4 PLOAS方法的推廣應(yīng)用

PLOAS方法在核電廠等領(lǐng)域的推廣應(yīng)用也是當(dāng)前研究的重點之一。由于PLOAS理論是伴隨著可預(yù)測的安全設(shè)計方法而發(fā)展起來的，因此，PLOAS方法在核電廠等領(lǐng)域的應(yīng)用，對于老一代核反應(yīng)堆的安全系統(tǒng)難以直接應(yīng)用，但對于新一代核反應(yīng)堆安全系統(tǒng)的設(shè)計和安全性評估需要開展深入的研究，尤其是SL和WL的設(shè)計、異常環(huán)境下載荷變化及分布等，文獻(xiàn)［22］在該領(lǐng)域進(jìn)行了初步的探討。

4 結(jié)論

對于核武器等高后果系統(tǒng)，由于嚴(yán)重事故幾乎無法試驗，因此對其災(zāi)難性事故發(fā)生概率的評估十分困難，PLOAS為此類系統(tǒng)的安全性評估開辟了一條蹊徑，即在異常環(huán)境下，不去評估系統(tǒng)出現(xiàn)事故的概率，而是評估確保系統(tǒng)安全的相關(guān)措施失效的概率，顯然，后者評估結(jié)論更保守，由于確保系統(tǒng)安全的措施的失效分布容易試驗驗證，因此具有更高的預(yù)測性和可信度。

目前，PLOAS基礎(chǔ)理論有了較好的發(fā)展，溫度相關(guān)系統(tǒng)和時間相關(guān)系統(tǒng)中PLOAS數(shù)學(xué)模型、數(shù)值計算和模型校驗均有了較為成熟研究，PLOAS理論研究中，有關(guān)認(rèn)知不確定性研究、與QMU的結(jié)合應(yīng)用、PLOAS對高后果系統(tǒng)安全性設(shè)計的指導(dǎo)方法和PLOAS方法的推廣應(yīng)用是當(dāng)前的研究重點。