Внедрение системы мониторинга риска для энергоблока с реактором ВВЭР-1000

Смирнов Д.А., Ромашков А.Р., Зеленский А.В., Забулонский И.О.  (Филиал АО «Концерн Росэнергоатом» «Калининская атомная станция»,  Удомля, Россия), Бакланов А.В., Абрамов Л.В.  (АО «ОКБМ Африкантов», Нижний Новгород, Россия)

АО «Концерн Росэнергоатом» разработана «Актуализированная программа мероприятий по внедрению методов вероятностного анализа безопасности при эксплуатации АЭС АО «Концерн Росэнергоатом» на период до 2020 года и на перспективу до 2025 года» ПРГ-1.2.215.008.113-2018 от 06.11.2018, которая определила необходимость расширения применения методологии ВАБ, в частности внедрения технологии мониторинга риска при эксплуатации АЭС.

Для мониторинга риска энергоблока № 3 Калининской АЭС с реакторной установкой ВВЭР-1000 АО «ОКБМ Африкантов» совместно с филиалом АО «Концерн Росэнергоатом» «Калининская атомная станция» разработана система мониторинга риска на базе программного комплекса «CRISS монитор». Система мониторинга риска построена на базе архитектуры «клиент-сервер» с использованием единой администрируемой базы данных с разграничением прав пользователей на внесение изменений. В качестве СУБД используется Oracle Database 11g Express Edition.

ПК CRISS МОНИТОР предназначен для непрерывной оценки и контроля изменения при эксплуатации энергоблока вероятностных показателей безопасности, связанных с изменениями конфигурации систем безопасности и/или нарушениями нормальной эксплуатации.

Возможными областями использования системы мониторинга риска «CRISS монитор» являются:

а) оценка вероятностных показателей безопасности для различных конфигураций систем энергоблока и различных исходных событий (ИС);

б) определение допустимого времени существования определенных конфигураций систем энергоблока, обусловленных выводом оборудования в ремонт или на техническое обслуживание;

в) оценка интегрального значения вероятностного показателя безопасности энергоблока за заданный период времени;

г) оценка условной вероятности перехода отказа элемента в тяжелую аварию при реализации оцениваемого нарушения;

д) контроль выполнения условий безопасной эксплуатации энергоблока для различных конфигураций систем;

е) разработка графиков технического обслуживания и ремонта оборудования на базе информации об уровне безопасности энергоблока;

ж) оценка значимости оборудования энергоблока для безопасности;

з) оценка событий-предвестников тяжелой аварии;

и) выполнение прогнозных оценок вероятностных показателей безопасности энергоблока для случаев отказа оборудования и возникновения ИС в эксплуатации энергоблока;

к) хранение и накопление в базе данных эксплуатационной документации по системам и оборудованию энергоблока для оперативного использования персоналом энергоблока.

Количественные показатели безопасности и значимость оборудования в системе мониторинга риска могут оцениваться как для текущего состояния (конфигурации) систем энергоблока, так и с учетом возможных будущих изменений. Для этого в ПК «CRISS монитор» предусмотрены два основных режима работы:

1. режим эксплуатации – оценка текущей конфигурации;
2. режим планирования – оценка изменения уровня безопасности при планировании изменений конфигурации в будущем.

При оценке значимости оборудования в режиме планирования в качестве текущей величины мгновенного значения вероятностного показателя безопасности используется значение вероятностного показателя безопасности на момент времени, выбранный пользователем.

Для исключения несанкционированного доступа к мониторингу риска должен быть организован многоуровневый доступ к программному комплексу с назначением для каждого пользователя прав доступа, идентификатора пользователя и пароля.

 

Условия безопасной эксплуатации

Помимо количественной информации о состоянии безопасности энергоблока в системе мониторинга риска также представляется и качественная информация о безопасности с точки зрения выполнения условий безопасной эксплуатации (УБЭ).

Условия безопасной эксплуатации – установленные проектом АС минимальные требования по количеству, характеристикам, состоянию работоспособности, объему, периодичности и иным условиям технического обслуживания, контроля и испытаний систем (элементов), важных для безопасности, при которых обеспечивается соблюдение пределов безопасной эксплуатации и (или) критериев безопасности.

В ПК «CRISS монитор» условия безопасной эксплуатации задаются в виде деревьев отказов УБЭ, вершинные события которых состоят в нарушении соответствующих условий безопасной эксплуатации. Деревья отказов УБЭ строятся для систем, важных для безопасности, в соответствии с условиями, представленными в Технологическом регламенте.

Состояние условий безопасной эксплуатации может соответствовать трем уровням:

1. условия безопасной эксплуатации выполняются;
2. выполнение условий безопасной эксплуатации под угрозой – часть оборудования, обеспечивающего выполнение УБЭ выведено на ТО и Р;
3. условия безопасной эксплуатации не выполняются.

Состояние условий безопасной эксплуатации отображается на экране в виде индикатора соответственно зеленым, желтым и красным цветами.

 

Граничные условия

В системе мониторинга риска оценка мгновенного значения вероятностного показателя безопасности осуществляется в результате выполнения количественного анализа вероятностной модели с учетом изменений, характеризующих текущую конфигурацию систем энергоблока.

Внесение изменений в вероятностную модель осуществляется с помощью граничных условий. Граничное условие представляет собой правило, определяющее состав и вероятностные характеристики логической модели при выполнении анализа. Граничное условие позволяет смоделировать те или иные изменения в конфигурациях систем и энергоблока в целом посредством изменения характеристик событий вероятностной модели и ее параметров.

В ПК «CRISS монитор» с помощью граничных условий возможно:

• исключать из состава деревьев отказов базисные события;
• переключать в деревьях отказов логические ключи;
• выполнять в деревьях отказов замену одних базисных событий на другие;
• изменять значения показателей надежности типов базисных событий.

Внесение изменений в вероятностную модель с использованием граничных условий выполняется динамически, то есть изменения, определенные граничными условиями, в исходной вероятностной модели не сохраняются, а структура вероятностной модели в соответствии с граничными условиями изменяется в процессе выполнения анализа.

С использованием граничных условий в системе мониторинга риска моделируются:

• конфигурации систем;
• внешние факторы;
• события-предвестники аварий;
• кроме того, выполняется анализ вариантов «Что если».

 

Конфигурация систем

Конфигурация систем – совокупность граничных условий, определяющая состояние систем и оборудования энергоблока, регламент технического обслуживания, учитываемые внешние факторы. Наличие набора заранее созданных конфигураций систем облегчает оператору процесс задания текущей конфигурации энергоблока путем выбора определенных конфигураций систем.

Граничное условие конфигурации системы задается путем изменения значения логической переменной и определяющей порядок учета базисного события, связанного с оборудованием, в ходе выполнения качественного анализа. При задании значения логической переменной равным 0 данное базисное событие исключается из состава вероятностной модели энергоблока. При задании значения логической переменной равным 1 данное базисное событие включается в состав вероятностной модели энергоблока.

Изменение значения логических переменных, определяющих состав оборудования в конкретной конфигурации. Для формирования конфигураций систем и установления их связи с граничными условиями используются конфигурации систем.

Возможные конфигурации систем энергоблока определяются «Технологическим регламентом…».

 

Внешние факторы

В системе мониторинга риска под внешними факторами понимаются граничные условия, отражающее влияние факторов окружающей среды (например, температуры воздуха, воды и т.д.) на работоспособность оборудования, показатели надежности оборудования и частоты ИС в зависимости от текущего периода времени, например, времени года.

Граничное условие внешних факторов может задаваться двумя способами:

1. с помощью изменения значения логической переменной, связанной с базисным событием и определяющей порядок учета базисного события в ходе выполнения анализа. Такой способ учета внешних факторов используется при изменении конфигураций систем в зависимости от времени года. Изменение значения логических переменных, определяющих состав оборудования в зависимости от внешних факторов, осуществляется с помощью опции граничных условий;
2. с помощью изменения значения интенсивности (вероятности) отказа базисного события или частоты возникновения ИС в ходе выполнения анализа. Замена значений интенсивности (вероятности) в зависимости от влияния внешних факторов осуществляется с использованием замены базисных событий и граничных условий.

При задании внешних факторов помимо задания конфигурации или вероятностных характеристик модели, определяемых внешними факторами, также определяют срок их действия и периодичность повторения. Определение внешних факторов осуществляется с использованием опции внешних факторов.

 

Группы проверки работоспособности

В системе мониторинга риска под группой проверки работоспособности понимают группу оборудования с одинаковой периодичностью проверок и одинаковым временем окончания проверки.

Следует понимать, что учет групп проверок работоспособности в системе мониторинга риска требует дополнительных трудозатрат по внесению в систему значительного объема информации по проверкам работоспособности, а в дальнейшем – отслеживанию персоналом выполненных проверок работоспособности оборудования.

В то же время для оценки нормативных вероятностных исследований достаточно усредненных оценок, аналогичных используемых в рамках ВАБ. Поэтому установка указанной функции в системе мониторинга риска носит опциональный характер.

 

События-предвестники и нарушения в системах безопасности

Оценку нарушения в работе АС с точки зрения безопасности необходимо проводить с использованием результатов вероятностного анализа безопасности с учетом влияния на безопасность каждого аномального события в ходе нарушения. Одним из возможных направлений использования мониторинга риска является выполнение анализа нарушений, то есть, событий, предшествующих авариям (событийпредвестников) и нарушений в системах, важных для безопасности, на основе информации об уровне безопасности энергоблока с целью принятия дополнительных мер защиты к наиболее критичным событиям.

В системе мониторинга риска «CRISS монитор» предусмотрена возможность определения событий-предвестников путем определения групп событий, которые могут включать:

• ИС;
• базисные события;
• оборудование, выведенное на ТО и Р;
• их сочетания (например, ИС и зависимые и/или не зависимые от него отказы оборудования).

Анализ событий-предвестников осуществляется в модуле анализа событийпредвестников. При выполнении анализа событий-предвестников выполняется расчет условной вероятности перехода отказов элементов в тяжелую аварию.

Величина полученной условной вероятности характеризует степень опасности событий-предвестников аварий. Результаты оценки влияния событий-предвестников на уровень безопасности энергоблока приводятся в разделе «Информирование» – «События-предвестники».

 

Анализ вариантов «Что если»

Функция анализа вариантов «Что если» в отличие от функции «Анализа событий-предвестников» предназначена для оценки вероятностного показателя безопасности при условии возникновения дополнительных, по отношению к текущей конфигурации энергоблока, отказов оборудования и/или ИС.

 

Режим планирования

Система мониторинга риска предоставляет возможность работы в режиме планирования. Режим планирования системы мониторинга риска представляет собой режим, в котором уровень безопасности энергоблока оценивается по состоянию на момент времени в будущем, определяемый пользователем с учетом планируемого вывода оборудования на техническое обслуживание и ремонт.

Содержание информации в режиме планирования аналогично информации, представляемой в режиме эксплуатации при выборе соответствующих опций. Отличие данных режимов состоит в моменте времени, на который представляется информация об уровне безопасности и добавлении в режиме планирования дополнительной опции: «График ТО и Р». График ТО и Р представлен в виде таблицы (слева) и диаграммы Ганта – справа. ПК «CRISS монитор» позволяет узнать изменение вероятностного показателя безопасности в режиме планирования, то есть изменения вероятностного показателя безопасности на планируемый период с учетом разработанного графика  ТО и Р.

 

Режим информирования

Режим информирования системы мониторинга риска предназначен для накопления и представления пользователю:

а) обобщенной информации об уровне безопасности энергоблока;

б) информации об устройстве оборудования и систем безопасности.

Вероятностная модель, разработанная в ходе выполнения ВАБ, в большинстве случаев не может быть непосредственно использована для целей мониторинга риска.

Это обусловлено следующими причинами:

• модель ВАБ обычно содержит ряд упрощений и допущений, которые не влияют на результат анализа, но не позволяют в полной мере учесть текущую конфигурацию станции;
• в модель ВАБ обычно включены базисные события, моделирующие среднюю неготовность оборудования. В модели, используемой для целей мониторинга риска, неготовность оборудования определяется текущей конфигурацией систем и состоянием оборудования;
• модель ВАБ может использовать данные по надежности оборудования, полученные на момент выполнения вероятностного анализа. Мониторинг риска требует использования актуальных данных по надежности;
• обозначения базисных событий и оборудования в модели ВАБ могут не совпадать со станционными, и использование данной модели эксплуатационным персоналом ядерной установки будет представлять определенные затруднения.

В связи с данными обстоятельствами в большинстве случаев требуется доработка вероятностной модели, разработанной в ходе выполнения ВАБ ядерной установки для целей мониторинга риска.

Обычно перечень доработок модели включает:

• разработку базы оборудования мониторинга риска и установление взаимосвязи между базисными событиями модели и оборудованием;
• исключение из деревьев отказов базисных событий, моделирующих неготовность оборудования в связи с выводом в ремонт;
• увеличение степени детализации модели за счет ввода дополнительных базисных событий в ДО и построения дополнительных деревьев отказов;
• исключение групповых ИС, введение отдельных событий;
• разработку деревьев событий для дополнительно введенных ИС.

Вероятностная модель, доработанная для целей мониторинга риска, отличается от исходной модели, и ее использование в процессе эксплуатации требует проведения верификации и оценки ее соответствия полученным результатам ВАБ.

Для исключения зависимости от иностранных государств по критическим технологиям система мониторинга риска должна быть разработана отечественным предприятием. И такая система мониторинга риска была разработана АО «ОКБМ Африкантов».

Первый этап внедрения системы мониторинга риска на энергоблоке № 3 Калининской АЭС заключается в интеграции логико-вероятностной модели (ЛВМ) ВАБ для энергоблока № 3 Калининской АЭС для внутренних ИС при работе реактора на мощности в систему мониторинга риска.

Интеграция модели – сложный процесс, который включает в себя ряд серьезных задач, связанных с доработкой ЛВМ для мониторинга риска. Для модели ВАБ энергоблока № 3 Калининской АЭС этими задачами являются:

1. Исключение из ЛВМ (деревьев отказов) базисных событий, моделирующих неготовность оборудования в связи с выводом в ремонт.
2. Исключение групповых ИС. Например, для группового ИС «Межконтурная течь промежуточного теплообменника» построено одно дерево событий, в котором условно моделируется межконтурная течь одной петли при исправных остальных. При этом частота ИС данной группы включает в себя частоту межконтурных течей в любом промежуточном теплообменнике. В таких случаях необходимо построить дополнительные деревья событий и откорректировать частоту ИС в каждом из них.
3. Необходимо разработать деревья отказов для условий безопасной эксплуатации энергоблока. Это деревья отказов, вершинным событием которых является событие, связанное с нарушением условий безопасной эксплуатации. Данные деревья строятся на основании действующего технологического регламента энергоблока.
4. Необходимо установить соответствие между оборудованием энергоблока и базисными событиями модели ВАБ, моделирующими отказы этого оборудования.
5. Необходимо разработать перечень типовых конфигураций, которые разрешены при работе энергоблока.

В процессе эксплуатации оборудование периодически выводится в ремонт. И чтобы учесть это время в ЛВМ ВАБ используют фиктивные базисные события, моделирующих неготовность элемента в связи с выводом в ремонт. Система мониторинга риска работает с реальной конфигурацией энергоблока, поэтому все такие базисные события должны быть удалены из модели.

Доработка ЛВМ для целей мониторинга риска началась с последовательного исключения из ЛВМ энергоблока № 3 калининской АЭС (деревьев отказа) базисных событий, моделирующих неготовность оборудования в связи с выводом в ремонт. Для решения этой задачи была проанализирована ЛВМ энергоблока № 3 на предмет поиска таких базисных событий и исключения их из модели. Пример решения данной задачи представлен на рис. 1, где показано дерево отказа с базисным событием, моделирующим неработоспособность оборудования в связи с выводом в ремонт, а на рис. 2 уже без данного базисного события.

 

Следующий шаг в подготовке к интеграции ЛВМ – это разгруппирование групповых ИС.

Перечень внутренних ИС включает единичные или множественные отказы систем, оборудования, элементов или ошибочные действия персонала АЭС, возникновение которых приводит к необходимости выполнения одной или нескольких функций безопасности или приводит к автоматическому вводу или вводу персоналом в действие одной или нескольких систем безопасности. Он может содержать большое число событий, среди которых можно выделить группы ИС, характеризующиеся одинаковым набором функций безопасности, одинаковой конфигурации СБ и одинаковыми критериями успешного выполнения функций безопасности (критериев успеха).

С целью сокращения количества разрабатываемых деревьев событий такие ИС объединяются в отдельные группы, каждая из которых характеризуется суммарной по всем входящим в нее отдельных ИС значением частоты реализации. Для системы мониторинга риска это неприемлемо, так как должно быть четко идентифицировано происшедшее нарушение, поэтому необходимо разделить групповые ИС проектной модели ВАБ и построить деревья событий для конкретного нарушения. Перечень групп ИС тщательно анализировался специалистами ГВАБиН совместно с АО «ОКБМ Африкантов» на предмет возможности разделения каждой из групп ИС. На рисунках  3–7 представлен результат решения этой задачи.

Рис. 3. Фрагмент дерева событий (NIP-Z1) большая течь паропровода  в неизолируемой от ПГ части вне ГО

 

В рамках задачи об исключении групповых событий данное дерево было разделено на 4 аналогичных дерева событий, соответствующих четырем петлям теплоотвода, они показаны на рис. 4, 5, 6, 7.

 

Одновременно с делением групповых ИС шла работа над построением деревьев отказа условий безопасной эксплуатации. В системе мониторинга риска «CRISS-МОНИТОР» помимо количественной информации о состоянии безопасности энергоблока также представляется и качественная информация о безопасности с точки зрения выполнения условий безопасной эксплуатации (УБЭ).

Условия безопасной эксплуатации – установленные проектом АС минимальные требования по количеству, характеристикам, состоянию работоспособности, объему, периодичности и иным условиям технического обслуживания, контроля и испытаний систем (элементов), важных для безопасности, при которых обеспечивается соблюдение пределов безопасной эксплуатации и (или) критериев безопасности.

В системе мониторинга риска «CRISS-МОНИТОР» условия безопасной эксплуатации задаются в виде логических моделей УБЭ – деревьев отказов УБЭ, вершинные события которых состоят в нарушении соответствующих условий безопасной эксплуатации. Деревья отказов УБЭ строились для систем безопасности в соответствии с условиями, представленными в технологическом регламенте.

На рисунке 8 представлена логика дерева отказа УБЭ спринклерной системы.

Рис. 8. Логика дерева отказов УБЭ – Спринклерная система

 

В технологическом регламенте безопасной эксплуатации энергоблока № 3 Калининской АЭС в разделе условий безопасной эксплуатации для некоторого оборудования систем безопасности установлено допустимое время вывода его в ремонт. Допустимое время вывода в ремонт оборудования систем безопасности было учтено в ЛВМ, поскольку система мониторинга риска «CRISS-МОНИТОР» позволяет учитывать это время. На рисунке 9 представлена логика дерева отказа спринклерной системы с временным условием.

 

Оперативный персонал Калининской АЭС работает с оборудованием, которое имеет свою маркировку, отличающуюся от используемой в ВАБ, поэтому была разработана взаимосвязь между оборудованием энергоблока и элементами модели ВАБ. В таблице 1 представлена часть таблицы взаимосвязи между оборудованием энергоблока № 3 и базисными событиями ЛВМ ВАБ.

Таблица 1

Взаимосвязь между оборудованием энергоблока № 3 и базисными событиями логико-вероятностной модели ВАБ

 

В системе мониторинга риска «CRISS-МОНИТОР» оценка мгновенного значения показателя безопасности осуществляется в результате выполнения количественного анализа ЛВМ ВАБ с учетом изменений, характеризующих текущую конфигурацию систем безопасности энергоблока.

Под конфигурацией системы понимается граничное условие, определяющее состав оборудования системы, находящегося в работе и оборудования, выведенного из работы на техническое обслуживание или ремонт. Наличие набора заранее созданных конфигураций систем облегчает оператору процесс задания текущей конфигурации энергоблока путем выбора определенных конфигураций систем.

На основе технологического регламента безопасности эксплуатации энергоблока № 3 Калининской АЭС был разработан перечень типовых конфигураций нескольких систем безопасности (табл. 2).

Таблица 2

Перечень типовых конфигураций нескольких систем безопасности

 

 

Заключение

1. Разработаны деревья отказов для условий безопасной эксплуатации энергоблока. Это деревья отказов, вершинным событием которых является событие, связанное с нарушением условий безопасной эксплуатации. Данные деревья строились на основании действующего технологического регламента энергоблока.
2. Исключены из ЛВМ (деревьев отказов) базисные события, моделирующее неготовность оборудования в связи с выводом в ремонт.
3. Исключены групповые ИС.
4. Разработан перечень типовых конфигураций, которые разрешены при работе энергоблока.
5. Установлено соответствие между оборудованием энергоблока и базисными событиями модели ВАБ, моделирующими отказы этого оборудования.