王明洋，徐冬苓

（上海核工程研究設(shè)計院有限公司，上海 200233）

0 引言

可編程邏輯控制器（PLC）和現(xiàn)場可編輯門陣列（FPGA）兩種數(shù)字電子技術(shù)廣泛應(yīng)用于核電站數(shù)字化儀表控制系統(tǒng)中[1]。反應(yīng)堆保護系統(tǒng)（RPS）通常采用基于其中一種技術(shù)的核安全級平臺。共因故障（CCF）表現(xiàn)為多個冗余的部件由于共同的原因同時或在一段短時間內(nèi)發(fā)生故障[2]。相較于模擬系統(tǒng)，數(shù)字化儀控系統(tǒng)內(nèi)部多采用相似的軟件以及設(shè)備，因此共因失效是影響數(shù)字化系統(tǒng)/平臺可靠性的主要因素。RPS 發(fā)生共因失效會導(dǎo)致在設(shè)計基準(zhǔn)事故下無法觸發(fā)停堆功能，安全設(shè)備無法動作，進而導(dǎo)致堆芯熔化，放射性泄漏等嚴(yán)重事故的發(fā)生。目前，大多數(shù)核電站均額外采用非安全級的多樣化驅(qū)動系統(tǒng)作為安全級RPS 的多樣性后備，以解決RPS 出現(xiàn)共因故障以及應(yīng)對未能緊急停堆的預(yù)期瞬態(tài)問題。數(shù)字化混合平臺考慮在RPS 的4 個冗余序列的基礎(chǔ)上，每兩個序列采用同一種平臺，同樣可以有效減少共因故障的發(fā)生。當(dāng)前，針對RPS可靠性的研究主要關(guān)注于分析基于單一數(shù)字化平臺的RPS架構(gòu)可靠性[3]，考慮人因、定期試驗[4]、共因故障等因素對系統(tǒng)可靠性的影響；Jiye Jeong 等[5]采用故障樹方法，分析混合平臺對RPS 的停堆功能可用性的貢獻。但是，上述研究僅靜態(tài)考慮了設(shè)備故障對停堆功能不可用性的影響，并未動態(tài)地考慮設(shè)備修復(fù)、維修旁通以及符合邏輯轉(zhuǎn)換等系統(tǒng)特性，并且在對比分析時未考慮多樣化驅(qū)動系統(tǒng)對停堆功能可靠性的貢獻。RPS 執(zhí)行維修旁通功能時，其內(nèi)部冗余序列的符合邏輯會發(fā)生切換，系統(tǒng)可靠性會發(fā)生動態(tài)變化。因此，在可靠性建模中綜合考慮設(shè)備故障以及維修旁通兩種因素，并與“基于單一數(shù)字化平臺的RPS”和“多樣化驅(qū)動——RPS”組合系統(tǒng)進行可靠性定量對比，可以更準(zhǔn)確地表現(xiàn)數(shù)字化混合平臺對反應(yīng)堆停堆功能可靠性的影響。

1 反應(yīng)堆保護系統(tǒng)介紹

1.1 反應(yīng)堆保護系統(tǒng)

核電廠反應(yīng)堆保護系統(tǒng)（RPS）用于監(jiān)測電廠安全參數(shù)，在非安全狀態(tài)下，為電廠提供緊急停堆和驅(qū)動專設(shè)安全設(shè)施的能力，保證核電廠維持在安全停堆狀態(tài)。RPS 由4 個冗余的序列組成，系統(tǒng)架構(gòu)如圖1。RPS 反應(yīng)堆停堆（RT）功能的實現(xiàn)，自上而下可以分為3 個層級，Level1 用于信號的處理以及定值比較，Level 2 用于邏輯表決，Level 3 用于停堆斷路器的驅(qū)動。各序列來自現(xiàn)場傳感器的信號首先在Level1 層的定值比較（BL）模塊中與預(yù)先設(shè)定的整定值比較，輸出信號通過光纖送往本序列以及其他序列的邏輯符合（CL）模塊中，每個序列Level 2 層的CL 模塊綜合來自4 個序列的比較信號進行四取二（2oo4）邏輯表決，最后表決信號通過光纖通往本序列的停堆斷路器矩陣（RTM）中，通過“勵磁”和“欠壓”兩種邏輯驅(qū)動RTM控制的兩個停堆斷路器。當(dāng)兩個或兩個以上序列控制的停堆斷路器斷開時，RT 功能完成。

1.2 多樣化驅(qū)動系統(tǒng)

多樣化驅(qū)動系統(tǒng)（非安全級系統(tǒng)）是反應(yīng)堆保護系統(tǒng)的多樣性后備。美國聯(lián)邦法規(guī)10CFR50.62[6]中規(guī)定：在ATWS 的情況下，能自動啟動輔助（或緊急）給水系統(tǒng)和停閉汽輪機，每座壓水反應(yīng)堆必須設(shè)置與反應(yīng)堆緊急停堆系統(tǒng)不相同的從傳感器輸出到最終執(zhí)行裝置的設(shè)備。多樣化驅(qū)動系統(tǒng)的設(shè)置主要考慮以下兩個方面[7]。

1）發(fā)生安全級儀控系統(tǒng)共因故障的情況下，降低CDF和LRF。

2）緩解ATWS 事件后果。

當(dāng)前，大多數(shù)核電廠的多樣化驅(qū)動系統(tǒng)功能不僅僅針對于ATWS，還擴大到了不能執(zhí)行專設(shè)安全設(shè)施的情況[8]。多樣化驅(qū)動系統(tǒng)采用與RPS 獨立的信號采集、處理、驅(qū)動裝置，當(dāng)保護參數(shù)超過安全限值時，觸發(fā)停堆以及驅(qū)動部分專設(shè)安全設(shè)備。為滿足法規(guī)中的獨立性和多樣性要求，多樣化驅(qū)動系統(tǒng)與保護系統(tǒng)采用不同的平臺，并且不依賴于核電廠數(shù)據(jù)網(wǎng)絡(luò)以及其它的控制和檢測系統(tǒng)。

2 RPS維修旁通

IEEE 603-1991 中要求RPS 的設(shè)計應(yīng)具有：在試驗、校準(zhǔn)、維修模式下，允許旁通某個安全功能的能力[9]。在保護系統(tǒng)內(nèi)部的控制設(shè)備處于維修旁通狀態(tài)時，系統(tǒng)仍可以完成相應(yīng)的安全功能，并且同時滿足單一故障、故障安全等準(zhǔn)則。對于緊急停堆功能，RPS 的4 個冗余序列正常工作時采用2oo4 邏輯表決。當(dāng)其中一個序列發(fā)生故障時，可對該序列進行維修旁通，保護功能表決邏輯從2oo4 退化成2oo3。若在維修過程中，剩余工作序列再次發(fā)生故障，則表決邏輯降級為1oo2。

RPS 在進行信號處理時會同時判斷傳遞信號的質(zhì)量，并在信號質(zhì)量位為差時產(chǎn)生報警，通知操縱員進行維修旁通。操縱員通過維修旁通設(shè)備切換系統(tǒng)表決邏輯，維修人員在旁通期間對故障序列進行修復(fù)性維修。因此，系統(tǒng)的可靠性會隨時間發(fā)生動態(tài)變化，需要對不同表決邏輯之間的動態(tài)轉(zhuǎn)化進行定性分析。

3 RT拒動

RPS 的非安全性故障可分為3 種類型：設(shè)備級故障、序列級故障以及系統(tǒng)級故障。對于設(shè)備級故障，反應(yīng)堆保護系統(tǒng)滿足單一故障準(zhǔn)則，即系統(tǒng)中發(fā)生單一故障，并不會出現(xiàn)停堆功能無法執(zhí)行的情況。對于序列級故障，安全級序列由冗余的兩個通道組成，單一設(shè)備失效可能導(dǎo)致設(shè)備所在的通道失效；對于拒動故障來說，通常序列內(nèi)多個設(shè)備失效會導(dǎo)致該序列處于故障狀態(tài)。對于系統(tǒng)級故障，根據(jù)停堆斷路器矩陣2oo4 邏輯，當(dāng)不少于兩個序列故障時，RPS 將無法完成停堆功能。

RPS 由安全級設(shè)備以及平臺構(gòu)成，每個序列內(nèi)又存在相應(yīng)的通道冗余。同時多樣化驅(qū)動系統(tǒng)在RPS 發(fā)生系統(tǒng)性失效時，為反應(yīng)堆提供后備的停堆功能。因此，僅由設(shè)備發(fā)生隨機故障導(dǎo)致系統(tǒng)發(fā)生停堆拒動的概率很小。導(dǎo)致停堆功能失效的故障類型可分為以下兩種：①設(shè)備隨機故障；②維修和試驗中的旁通導(dǎo)致系統(tǒng)邏輯降級。實際過程中，設(shè)備故障又可能引起RPS 通道級和序列級故障，因此需要對多故障模式之間的動態(tài)轉(zhuǎn)化進行定性分析。

4 RT功能可靠度定量分析模型

4.1 建模方法與計算假設(shè)

研究采用馬爾可夫方法對停堆功能進行系統(tǒng)級建模與可靠度計算。馬爾可夫方法是表示時間函數(shù)狀態(tài)概率的常用方法[10]，該方法通過定義系統(tǒng)所具有的狀態(tài)以及不同狀態(tài)間的轉(zhuǎn)換概率，分析系統(tǒng)可靠度在連續(xù)時間內(nèi)的變化。不同狀態(tài)之間的遷移過程可以用Markov 有向轉(zhuǎn)移圖來表示[11]。使用Markov 方法需滿足獨立性假設(shè)，即在某時刻t ≥1 的隨機變量Xt 僅與前一個時刻的隨機變量Xt-1 之間存在條件分布P(Xt | Xt-1)，而不依賴于過去的隨機變量{X0，X1，…Xt-2}。

本文以序列級模塊為基本分析單元，其中Level 1 序列級模塊為BL 模塊，Level 2 序列級模塊由CL 和RTM 模塊組成，Level 3 序列級模塊由RTCB 模塊組成。在已知序列級模塊故障率的基礎(chǔ)上，考慮4 個序列間共因故障以及維修旁通等因素構(gòu)建系統(tǒng)級模塊。Level 1 系統(tǒng)級模塊由4 個BL 模塊構(gòu)成，4 個BL 滿足2oo4 邏輯則RT 功能觸發(fā)。任一Leve l 的系統(tǒng)級模塊故障失效，RPS 停堆功能均無法觸發(fā)，因此RT 功能的可靠度R(t)為：

其中，Rlevel1(t)，Rlevel2(t)和Rlevel3(t)分別為Level 1 系統(tǒng)級模塊，Level 2 系統(tǒng)級模塊和Level 3 系統(tǒng)級模塊的可靠度。本研究以核電廠的一個換料循環(huán)（12960h）為研究周期，考慮在周期內(nèi)發(fā)生多次故障以及維修旁通過程，定性分析各Leve l 系統(tǒng)級模塊的狀態(tài)遷移過程，并利用Markov方法建立系統(tǒng)級分析模型。在建立模型時采用以下假設(shè)：

1）各序列級模塊的壽命以及維修時間服從指數(shù)分布。

2）各序列級模塊的隨機故障率為常數(shù)。

3）不會同時出現(xiàn)兩次或多次故障。

4）各序列級模塊均可維修并被旁通。

5）各序列級模塊故障后，會立即報警并進行維修。

在建立系統(tǒng)級模型的過程中，除不同Level 的序列級模塊的故障率和共因失效率不同，各Level 的序列級模塊間的表決邏輯以及旁通后邏輯切換方式均相同，因此各Level系統(tǒng)級模型的狀態(tài)數(shù)量以及狀態(tài)遷移過程均相同。在分析中僅對一個層級的系統(tǒng)級模塊進行建模。

4.2 基于單一數(shù)字化平臺的RPS系統(tǒng)級模型

當(dāng)前，適用于安全級數(shù)字化平臺的技術(shù)主要有兩種：PLC 和FPGA。PLC 是一個數(shù)字化電子設(shè)備，使用可編程內(nèi)存存儲實現(xiàn)邏輯，排序，時序，計數(shù)和算法等功能的指令，以控制不同種類的機器或設(shè)備[12]。FPGA 中包含邏輯門、查找表和寄存器，可以通過硬件進行配置和互聯(lián)，從而產(chǎn)生應(yīng)用程序特定的邏輯處理功能[13]?；趩我粩?shù)字化平臺的RPS 即采用兩種技術(shù)的一種作為平臺搭建的RPS 系統(tǒng)。

Level 1 系統(tǒng)級模塊由4 個序列級模塊BL 構(gòu)成，滿足2oo4 原則，當(dāng)兩個以上BL 處于故障狀態(tài)時，將無法完成停堆功能。而RPS 作為可維修系統(tǒng)，當(dāng)一個BL 出現(xiàn)故障時，操縱員可對故障序列進行維修旁通，并轉(zhuǎn)換系統(tǒng)表決邏輯。針對單一數(shù)字化平臺RPS 系統(tǒng)，建立考慮維修旁通和共因故障的系統(tǒng)級RT 拒動模型如圖2。Level 2 和Level 3 的系統(tǒng)級模型與Level 1 的模型僅在狀態(tài)轉(zhuǎn)移率方面存在差異。

在此系統(tǒng)級模型中，狀態(tài)O 為初始狀態(tài)，系統(tǒng)表決邏輯為2oo4。狀態(tài)2 為維修旁通設(shè)備處于失效狀態(tài)。狀態(tài)3為維修旁通設(shè)備失效同時一個序列級模塊故障，此時表決邏輯仍為2oo4。狀態(tài)5 為2oo4 邏輯下，兩個序列級模塊出現(xiàn)故障。狀態(tài)E1 為吸收態(tài)，表示2oo4 邏輯下，3 個序列級模塊失效，此時系統(tǒng)失效。由于單一平臺可能發(fā)生共因失效的特性，狀態(tài)2、3 以及狀態(tài)5 均可能發(fā)生共因故障導(dǎo)致多個序列同時失效進入吸收態(tài)E1。狀態(tài)1 為2oo4 系統(tǒng)中一個序列級模塊失效，系統(tǒng)切換成2oo3 邏輯。狀態(tài)4 為2oo3 系統(tǒng)出現(xiàn)序列級故障，系統(tǒng)切換成1oo2 邏輯。狀態(tài)8為1oo2 邏輯下，剩余兩個工作序列中一個出現(xiàn)故障。狀態(tài)6 為2oo3 邏輯下，系統(tǒng)維修旁通設(shè)備故障。狀態(tài)7 為2oo3系統(tǒng)中，一個工作序列出現(xiàn)故障。狀態(tài)E2 和狀態(tài)E3 均為吸收態(tài)，分別為1oo2 系統(tǒng)中兩個序列故障和2oo3 系統(tǒng)兩個序列出現(xiàn)故障，同時1oo2 系統(tǒng)和2oo3 系統(tǒng)初態(tài)都有可能直接發(fā)生共因失效進入吸收態(tài)。其中，λS1為序列級模塊的失效率；λt為維修旁通設(shè)備的失效率，常數(shù)；λCCF為序列級模塊的共因失效率；μS1為序列級模塊的修復(fù)率；μt為維修旁通設(shè)備的修復(fù)率，常數(shù)。

4.3 基于數(shù)字化混合平臺的RPS系統(tǒng)級模型

混合平臺考慮在RPS 的4 個序列中，A、C 序列采用PLC 技術(shù)，B、D 序列采用FPGA 技術(shù)。兩種平臺通過使用不同的設(shè)備實現(xiàn)相同的功能，之間不會出現(xiàn)共因故障[14]，但屬于相同平臺的兩個序列間會出現(xiàn)共因故障。建立考慮共因故障和維修旁通的系統(tǒng)級模塊拒動模型如圖3。與單一數(shù)字化平臺相同，數(shù)字化混合平臺的Level 1、Level 2 和Level 3 層的系統(tǒng)級模型僅與狀態(tài)轉(zhuǎn)移率有差異。

圖2 單一數(shù)字化平臺RPS的系統(tǒng)級拒動故障Markov狀態(tài)轉(zhuǎn)移圖Fig.2 System level rejection fault Markov state transition diagram of single digital platform RPS

圖3 基于數(shù)字化混合平臺的RPS的系統(tǒng)級拒動故障Markov狀態(tài)轉(zhuǎn)移圖Fig.3 System level rejection fault Markov state transition diagram of hybrid digital platform RPS

圖4 多樣化驅(qū)動—RPS組合系統(tǒng)停堆功能拒動Markov狀態(tài)轉(zhuǎn)移圖Fig.4 Diversity actuation - RPS combined system shutdown function failure Markov state transition diagram

該系統(tǒng)級模型與單一平臺系統(tǒng)模型的狀態(tài)定義方法一致，因此僅將主要差異進行闡述。其中，狀態(tài)7 為2oo3 系統(tǒng)中的維修旁通設(shè)備處于故障狀態(tài)。與單一平臺的主要區(qū)別在于，當(dāng)工作序列再次發(fā)生故障時，若屬于同一平臺的兩個序列故障，則為狀態(tài)8 和5，若兩個平臺各故障一個序列，則為狀態(tài)6 和4。若系統(tǒng)中屬于同一平臺的兩個序列故障，那么剩余工作序列便存在發(fā)生共因故障的可能性。若同屬不同平臺的兩個序列故障，則剩余工作序列間不會發(fā)生共因故障。其中，λK1為序列級模塊的失效率；λCCF為序列級模塊的共因失效率；μK1為序列級模塊的修復(fù)率。

4.4 多樣化驅(qū)動—單一數(shù)字化平臺RPS組合系統(tǒng)模型

在4.2 節(jié)單一數(shù)字化平臺RPS 系統(tǒng)級模型的基礎(chǔ)上，增加多樣化驅(qū)動系統(tǒng)作為RPS 的熱備用系統(tǒng)[15]。在可靠性建模中不再將多樣化驅(qū)動系統(tǒng)分割成系統(tǒng)級模塊進行可靠性計算，而是將多樣化驅(qū)動系統(tǒng)作為一個整體，與RPS 系統(tǒng)共同分析對RT 功能可靠性的影響。建立考慮共因故障和維修旁通的“多樣驅(qū)動—RPS 組合系統(tǒng)”的停堆功能拒動模型如圖4。

在此系統(tǒng)級模型中，狀態(tài)O 為初始狀態(tài)，此時RPS 和多樣化驅(qū)動系統(tǒng)均可以完成停堆功能。狀態(tài)1 和狀態(tài)2 分別為RPS 系統(tǒng)故障和多樣化驅(qū)動系統(tǒng)故障，此時停堆功能可由另一個系統(tǒng)完成。狀態(tài)E1 為兩個系統(tǒng)均處于故障狀態(tài)，為吸收態(tài)。其中，λs 為RPS 系統(tǒng)的故障率；λD為多樣化驅(qū)動系統(tǒng)的故障率；μ 為系統(tǒng)的修復(fù)率。

圖5 一個換料循環(huán)(12960h)內(nèi)采用不同類型平臺的RPS的停堆功能可靠度變化Fig.5 Change in RT function reliability of RPS with different platforms within a refueling cycle

5 案例分析

以一個換料周期（12960 h）為研究周期，利用第4 節(jié)的系統(tǒng)級分析模型建立Markov 狀態(tài)轉(zhuǎn)移矩陣，在RT 功能拒動事件下，利用數(shù)值解法對3 種不同類型系統(tǒng)的RT 功能的可靠度進行定量分析。采用β-因子模型[16]分析共因故障，以序列級模塊故障率固定的比例作為共因故障的發(fā)生概率的估計，取β 因子為0.01[17]。計算中使用的序列級模塊故障率和修復(fù)率見表1[18]，在計算中取維修旁通設(shè)備的故障率λt 為1.3076E-05/h，維修旁通設(shè)備的修復(fù)率μt為0.2/h。

5.1 數(shù)字化混合平臺RPS和單一數(shù)字化平臺RPS停堆功能可靠度對比

將表1 各Level 序列級模塊的數(shù)據(jù)帶入到兩種系統(tǒng)級模型的Markov 矩陣，利用Markov 矩陣構(gòu)建關(guān)于可靠度的一階線性微分方程，利用數(shù)值方法求解一個換料循環(huán)內(nèi)各Level 系統(tǒng)級模塊的可靠度。最后利用公式（1）計算得到整個RT 功能的可靠度。一個換料循環(huán)內(nèi)，兩種系統(tǒng)的停堆功能可靠度變化如圖5。

表2 不同β因子對兩種系統(tǒng)反應(yīng)堆停堆功能拒動率的影響Table 2 Effects of different β factors on the failure rate of two kinds of reactor protection system

在換料循環(huán)末，混合平臺RPS 停堆功能的可靠度為0.9999999972，單一平臺RPS 停堆功能的可靠度為0.9999992788。由于系統(tǒng)故障率較小，一個換料壽期內(nèi)兩種系統(tǒng)的可靠度差距并不明顯。由于假設(shè)壽命呈指數(shù)分布，因而當(dāng)λt 趨近于0 時，e-λt≈1-λt，故障率可作為可靠性曲線的斜率。因此，混合平臺RPS 停堆功能故障率約為2.1332e-13/hr；單一平臺RPS 系統(tǒng)停堆功能故障率約為5.5650e-11/hr，故障率相差約261 倍。因此，在2oo4 符合邏輯下，混合平臺可以有效減少共因故障的發(fā)生，并降低RPS 停堆功能200 倍以上的拒動率。

在可靠性分析模型中，β 因子是影響系統(tǒng)共因故障率的主要因素，其值與系統(tǒng)的性質(zhì)相關(guān)。β 因子越大，序列級模塊間的共因故障率越大。因此，考慮對β 值進行敏感性分析。在不同β 值下，混合平臺系統(tǒng)與單一平臺系統(tǒng)RT 功能的拒動率差異見表2。

隨著β 值增加，停堆功能的拒動率隨共因故障率的增加而遞增。同時，隨著共因故障對系統(tǒng)可靠度的影響逐漸增大，相比于單一平臺，混合平臺其降低共因故障的效果就更明顯。通過定量分析，采用混合平臺確實降低了共因故障對系統(tǒng)的影響，并且若共因故障對原系統(tǒng)的影響越大，采用混合平臺后，系統(tǒng)可靠度提升的越明顯。

5.2 “多樣化驅(qū)動—單一數(shù)字化平臺RPS”組合系統(tǒng)的停堆功能可靠度分析

多樣化驅(qū)動系統(tǒng)作為非安全級系統(tǒng)，在計算中保守考慮其故障率λD為λs×106。其中，λs為β 因子取0.01 時，單一數(shù)字化平臺RPS 停堆功能的故障率4.50284E-11/h?！岸鄻踊?qū)動—RPS”組合系統(tǒng)的停堆功能可靠度在一個換料循環(huán)內(nèi)的變化如圖6。

在換料壽期末，“多樣化驅(qū)動—RPS 組合系統(tǒng)”的RT功能可靠度為0.99999999973，故障率可近似為2.0267e-14/h?！敖M合系統(tǒng)”RT 功能的故障率相比于不采用多樣性后備的“混合平臺RPS”有約10 倍的優(yōu)勢，相差很小。若進一步降低多樣化驅(qū)動系統(tǒng)的故障率至4.50284e-7/hr，則RT功能的故障率為2.0353e-16/hr，與“混合平臺RPS”相比有約103倍的優(yōu)勢。結(jié)果表明，多樣化驅(qū)動系統(tǒng)自身的故障率對RT 功能的可靠性具有重要影響，提升多樣化驅(qū)動系統(tǒng)的可靠性可以增加停堆功能的可靠度。與數(shù)字化混合平臺在RPS 系統(tǒng)內(nèi)部增加多樣性相比，多樣化驅(qū)動系統(tǒng)作為RPS 系統(tǒng)整體的后備，對RT 功能的可靠度貢獻更大。

圖6 一個換料循環(huán)(12960h)內(nèi)混合平臺RPS和“多樣化驅(qū)動——RPS”組合系統(tǒng)的RT功能可靠度變化Fig.6 RT functional reliability variation for Hybrid platform RPS and “Diversity actuation-RPS” combined system within one refueling cycle

6 結(jié)論

在RT 功能拒動事件下，分別對3 種類型系統(tǒng)：單一數(shù)字化平臺RPS、數(shù)字化混合平臺RPS 以及“多樣化驅(qū)動—單一數(shù)字化平臺RPS”組合系統(tǒng)的RT 功能可靠度進行定量分析。分析結(jié)果表明：相比于單一數(shù)字化平臺，數(shù)字化混合平臺確實可以降低共因故障對RT 功能的影響，并且共因故障對原系統(tǒng)的影響越大，混合平臺對RT 功能可靠度的提升越大；相比于混合平臺，多樣化驅(qū)動系統(tǒng)既規(guī)避了RPS 共因故障的風(fēng)險，又作為RPS 停堆功能的多樣性后備，因此對整體RT 功能可靠度提升更為明顯。同時采用數(shù)字化混合平臺和多樣化驅(qū)動系統(tǒng)可以將共因故障的影響降到最低，并最大化反應(yīng)堆停堆功能的可靠度。