本标准是对GB／T13629《核电厂安全系统准则》和GB12788《核电厂安全级电力系统准则》有关定期试验的说明和补充。

1主题内容与适用范围
本标准规定了核电厂安全系统实施定期试验与监测的设计准则与试验要求。
本标准适用于核电厂安全系统的定期试验与监测的设计。
本标准不适用于维修。

2引用标准
GB9232数字计算机在核反应堆仪表和控制中的应用
GB12788核电厂安全级电力系统准则
GB／T13629核电厂安全系统准则
HAF0405核电厂调试和运行期间的质量保证

3术语
3．1安全系统safetysystem
与安全有重要关系的系统，用于在任何工况下保证反应堆安全停堆、从堆芯排出热量或限制预计运行事件和事故工况后果。安全系统包括保护系统、安全驱动系统和安全系统辅助设施。
3．2安全功能Safety function
安全系统的或其他对安全重要的物项的规定用途，例如停堆或余热导出。每一个假定始发事件都可能需要完成一个或多个安全功能。
3．3安全组safety group
某一具体假定始发事件发生时，完成所要求动作的全部设备，以保证不会超过设计基准对该事件的规定限值。
3．4定期试验periodic test
为探测故障和检查可运行性，按计划的间隔时间所进行的试验。
3．5交迭试验overlap test
为了检查整个通道、序列或负载组的功能，在通道、序列或负载组的不同部分或子系统上分段进行试验，不同部分或子系统的试验要覆盖毗连的部件。
3．6负载组load group
在一个序列之内，由一个公用电源馈电的母线、变压器、配电装置和负载的组合体。
3．7功能试验function test
确定部件或系统执行预期功能的试验。
3．8监测monitoring
用来连续指示系统(或子系统)的状态或条件的手段。
3．9试验持续时间test duration
从试验开始到试验结束所经历的时间间隔。
3．10试验间隔时间test intervaI
在同一个设备或系统上进行同种试验时，两次试验开始时刻之间所经历的时间。
3．11试验旁通testby pass
一种试验方式，在电厂功率运行期间，将被试验的安全组设置成允许任一个通道或负载组能试验、校准或维护，而不启动安全组的保护动作。
3．12通道检查channel check
为确定通道的全部元件是否正处在它们指定的限值之内，按规定的间隔时间所进行的性能定性评估。
3．13通道校准channel calibration
调整通道的输出，使之对该通道所测的参数和性能具有可接受的准确度和量程。
3．14运行限制条件limiting condition for operation(LCO)
电厂安全运行所要求的设备最低功能能力或性能水平。

4总则
4．1安全系统的定期试验与监测是为了实现预期的系统可用性。应注意探测设备的运行状态是否处在规定的限值之内。规定的限值是最低的性能要求，例如响应时间、整定值准确度，以及设计基准规定的其他性能要求。
4．2安全系统必须设计成在电厂运行期间以及电厂停运期间是可试验的。这种可试验性必须允许单独试验各冗余通道和负载组，同时保持系统对真实信号的响应能力、或者必要时触发被试验通道的输出、或者按安全要求和运行限制条件旁通某个设备。

5设计要求
5．1安全系统的定期试验应尽可能实际地模拟其所要求的安全功能，能证明被试验的物项在正常环境条件下具有执行其功能的能力。设计质量鉴定已证明所选设备满足异常环境条件(例如地震、极端的温度、压力和湿度等)下运行的要求，因此，设备对极端环境的试验不属定期试验范围。
5．2试验装置及其接口不得使冗余通道之间和冗余负载组之间丧失独立性。在确定系统的可用性时，必须考虑为试验目的而设置在安全系统中的设备。
5．3在安全系统的设计中，应考虑试验对电厂可用性、可维修性、运行、运行方式和运行限制条件的影响。为此在必要的场合可提供具有符合逻辑的冗余设备。
5．4在选择安全系统的所有部件时，必须考虑可试验性。敏感元件应是可接近的。可行的话，安装在可以就地校准的地方。在选择驱动装置时，必须考虑它们的状态指示能力。
5．5设计必须使安全系统具有进行功能试验的能力。功能试验最好采用从敏感元件到被驱动设备同时试验的方法。在不能实现上述方法的地方，可以采用分段交迭试验的方法。
5．6触发保护动作是定期试验程序中的一部分。在不允许触发保护动作的地方，系统的设计必须按下述方法处理。
5．6．1所有驱动装置和被驱动设备可以单独地试验，或合理地分成几个组进行试验。例如，安全壳喷淋泵的驱动装置与安全壳喷淋阀的驱动装置分别进行试验。
5．6．2在试验某设备的驱动装置时，制止该设备运转。例如，当应急冷却泵电机的断路器转到试验位置时，在试验断路器闭合期间，切断泵电机的电源。
5．6．3被驱动设备的运行需要一个以上的驱动装置的(符合)动作时，分别对其进行试验。例如，提供给隔离阀的压缩空气由两个电磁阀符合动作来控制，这两个电磁阀可分别进行试验。
5．6．4按照5．6．2或5．6．3条所做的设计必须有文件证明：在电厂运行期间，未经试验的被驱动设备的故障概率是可以接受的，而且在电厂停运时，可对被驱动设备进行例行试验。
5.7系统设计应考虑在试验活动的各个阶段中系统、部件和人因之间的相互关系。测试点和相关的试验装置应设置在便于实施定期试验的位置。
5．8试验人员和控制室之间必须设有通信手段，以确保控制室操纵员和试验人员均知道在试验之中的那些系统的状态。此外，在试验人员之间也必须设有通信工具，以便他们能充分地联络。
5．9在选择试验系统的类型时，应考虑自动试验装置。试验装置可以是外接式的，也可以设置在安全系统内。为监督安全系统的状态，对有关的变量(速度、压力、电源电压等)可实行连续监测。如果在定期试验中采用了可编程数字计算机，不管是内置式的还是外接式的自动试验装置，都要遵守本标准和GB9232的规定。
5．10为试验安全系统的电源、仪表和控制部分所作的设计考虑必须与相连的机械和流体系统的试验条款协调一致。
5．11为检验每个保护通道的整个脱扣动作，使用扰动被测的或替代的过程变量的方法优先于使用模拟的信号。如果扰动被测变量或替代量不能实现时，其他的试验方法必须有文件证明是正确的。
5．12如有可能，试验装置(例如试验板)可与安全系统装在一起，以便进行定期试验而不要加设或拆除导线，但这些试验装置不得干扰部件或系统的可运行性或安全功能。
5．13设计中应采取措施，以防止试验期间同时旁通冗余通道或负载组。
5．14在单个的通道或负载组之中使用了冗余部件的地方，设计应允许单独地试验每一个部件。
5．15系统应设计成取出熔断器或断开断路器，只是为了试验通道或负载组的逻辑驱动。例如，用取出通道的电源熔断器来模拟通道失去电源的驱动动作。
5．16如果安全系统的某部分不运行或被旁通，在控制室内应提供指示。

6试验大纲要求
6．1基本要求
安全系统定期试验的范围可包括功能试验和检查、正确校准的验证和响应时间试验。试验大纲必须写明试验类型、试验条件、试验步骤及试验间隔时间。大纲的设计与实施必须满足以下要求。
6．1．1必须分别检验安全系统每个冗余部分的可运行性。如果这种试验在反应堆运行期间不能实现，在电厂停适时必须试验可运行性。
6．1．2在反应堆运行期间的可运行性的试验，应尽可能多地包括通道和负载组，并包括敏感元件和驱动器，而不危及电厂的连续正常运行。
6．1．3试验程序必须能证实试验完成之后被试验的设备已恢复到它的正常运行方式。
6．1．4只要有可能，试验应在真实的或相似的运行条件下完成，包括运行的顺序。例如，柴油发电机的加载顺序。
6．1．5试验必须按成文的并经批准的试验程序进行。
6．1．6试验大纲必须定期修订，以便确定它的整体有效性。
6．1．7不能用一次简单的重复试验的成功来否定失败的试验结果。成功的重复试验之前必须作出书面的评价，或进行纠正活动(例如：维护、修理或改变程序)。如有可能，应确定故障的根本原因。
6，1．8试验大纲必须按逻辑顺序编制，以便在试验过程中能及时评价系统的所有工况，并可确定需要进一步试验的单个部件。
6.1．9每个安全系统的试验大纲必须设计成对有关的运行通道、系统或部件的干扰减到最小。
6．1．10每个安全系统的试验大纲必须设计成能产生为客观评价系统的性能与可用性所需的数据；若可能，提供趋势数据，确定性能退化并提供故障征兆指示。
6．1．11行政管理与质量保证的要求必须符合HAF0405或等效文件的要求。
6．1．12连续性检查可以补充功能试验，但不能代替功能试验。
6．2大纲的目标
定期试验大纲必须包括完成下列目标的程序和报告。
6．2．1便于行政管理与监查。
6．2．2鉴别高故障率。
6．2．3通过试验活动的正确协调，使之对整个电厂运行的干扰和安全的影响减到最小。
6．2．4保证冗余的保护通道和负载组不同时进行试验。
6．2．5提供一个计划表，它包括一个完整的基本试验循环和进行试验的状态。
6．2．6标识被试验的系统、通道和负载组。
6．2．7试验尽可能真实地模拟正常的运行条件，在试验过程中可要求系统运行。
6．2．8试验间隔时间的变更应符合本标准6．5条的规定。
6．2，9制定定期试验大纲考虑以下因素：
a.系统故障模式与影响；
h．部件故障模式；
c．适用的可靠性与可用性分析;
d．故障报告分析与其他历史数据；
e．逻辑结构；
f．电厂运行计划；
g.设备质量鉴定文件，例如合格寿命的文件。
6．3试验类型
6．3．1通道检查
配有指示器的通道可用一种或多种方法检验其可运行性。
6．3．1．1对监测同一变量的备通道读数进行比较(例如，功率通道1与冗余的功率通道2和3进行比较)，以辨别异常通道。
6．3．1．2对监测同一变量、彼此具有已知关系的各通道读数进行比较(例如，在启堆和停堆期间，源区段和中间区段中子监测装置都处于测量范围时，对它们的读数进行比较)。
6．3．1．3对监测不同变量、而变量之间具有已知关系的各通道读数进行比较(例如，反应堆功率和一回路冷却剂出口温度或蒸汽压力)。
选择比较的通道时，必须考虑共因故障(例如，液位测量，仪表共用一个公共的参考管)。
6．3．2功能试验
功能试验必须确保被试设备能执行其设计功能。
6．3．2．1设备(系统部件)的功能试验必须包括如下一个或多个试验。
6．3．2．1．1手动启动设备(例如，电机、泵、压缩机、汽轮机或发动机)并观察其运行(例如，压力、流量、温度、电压或速度)。试验持续时间必须足以达到其稳定运行状态。在不允许启动泵或其他设备的地方，可按5．6和5．15条的规定进行试验。
6．3．2．1．2手动控制电动阀并记下它们的行程时间。当不能作阀的全行程试验时，容许进行部分行程试验(例如，主蒸汽截止阀、汽轮机截止阀或调节阀)或阀的控制系统试验(例如，快速毒物注人阀的控制电路)。在电厂停运期间，应例行地实施全行程试验。
6．3．2．1．3注入适当的试验信号，以便给出一个相应的指示(例如，“等效”脱扣输出的数值)或触发脱扣输出，或上述两者。若可能，必须试验报警和脱扣功能。
6．2．2．2检验系统或子系统功能必须包括下述试验。
6．3．2．2．1逐个触发驱动装置，并观察负载组的运行(例如，使母线低电压继电器动作，观察母线的瞬态、负载的切除、柴油发电机的启动和顺序加载)。
6．3．2．2．2检验手动启动的安全功能。在电厂运行期间不能进行这种试验时，可在反应堆停堆期间进行(例如，手动紧急停堆)，
6．3．2．2．3试验旁通的状态和可运行性、旁通与试验的指示以及旁通与试验的报警电路。
6．3．2．2．4改变一个或多个参数的输入信号水平，使之达到脱扣或计算的输出变化，而其他变量的信号保持在正常预期值上。被改变的参数必须根据设计基准事件工况和预期的运行事件来选择。
6．3．3通道校准的验证
通道校准的验证应证明：随着已知的精确输入，通；董给出所要求的模拟量或开关量的输出。此外，在模拟量的通道中，可以检查线性度和滞环值。如果达到所要求的输出，试验是合格的。如果达不到所要求的输出(例如，在规定的整定值上没有出现双稳态的翻转或模拟输出超过允差)，或观察到饱和或弯曲，或要求调整增益、偏置、脱扣整定值等，这试验不合格。(调整程序是维修活动，不属本标准的范围)。因此，试验结果必须按HAF0405或等效文件的规定进行记录。不符合项经维修或适当的处置之后，必须重新验证，
6．3．4响应时间的验证
仅对安全系统或子系统进行响应时间试验，以验证响应时间在安全分析报告所给定的限值之内。
6．3．4．1响应时间试验包括从敏感元件到被驱动设备整个系统的试验。若一次试验不能实现整个系统的试验时，必须测量该系统各分立部分的响应时间，并表明所响应时间之和处在整个系统要求的限值之内。工艺过程到敏感元件和被驱动设备到工艺过程的响应时间试验，不属本标准的要求。
6．3．4．2在规定的试验周期内，安全系统的各分立部分已经做过试验，而且已验证其响应时间在规定的限值之内，则不再要求试验。此外，在确定一个系统的总响应时间时，可适当地不计及那些响应时间低于系统的响应时间一个或一个以上数量级的部件。为验证整个系统的响应，试验必须提供足够的交迭。
6．3．4．3若不能将敏感元件包括在单个的或系统的响应时间试验之中，若可能，则敏感元件可定期地从其正常安装位置上拆下来试验。试验装置尽可能模拟实际安装的环境和配置。
6．3．4．4如果由功能试验、校准检查或其他试验验证了安全系统设备的响应时间，即代替了响应时间试验，则不要求对所有安全有关设备进行响应时间试验。在例行的定期试验期间，如果探测到性能变化伴随的响应时间的变化超过合格的限值，不必再进行响应时间试验。
6．3．4．5对于不包括敏感元件在内的通道响应时间试验，试验设备必须模拟敏感元件在其所要求的整个功能范围内的输出。为确定整个响应时间，必须同时记录输入和输出状态。试验输入必须跨越正常脱扣的整定值，以便通道在非脱扣条件下完全复原，在脱扣条件下保证完全脱扣。
6．3．4．6如果保护脱扣功能由两个或两个以上变量触发动作(例如，脱扣点是由温度、压力和中子注量率信号计算的)，通道的响应时间必须用每个变量产生的脱扣动作来检验，在试验中，其余变量的试验信号必须设置在它们的预期运行范围内。这样试验将产生保守的试验结果。
6．3．4．7如果在反应堆正常运行期间不能测量响应时间，应在反应堆停堆期间进行测量。
6．3．5逻辑系统功能试验
逻辑系统功能试验必须试验从敏感元件到驱动装置的全部逻辑部件。逻辑部件由继电器、接触器和固态逻辑电路组成。逻辑系统功能可以用一系列时序的、交迭的或整个系统的试验来检验。
6．4试验方法
必须为每个系统制定一个满足本标准要求的专用试验程序。
6．4．1试验或试验的组合必须全面检查每个保护通道或负载组(例如，包括敏感元件和最终的驱动或启动装置，直到连接的所有负载)。在试验期间必须检测冗余通道之间的相互作用。
6．4．2试验合格的标志：
a．状态变化有直观而确切的指示，例如固态或机电装置运行具有相应的信号(音响报警、灯光的亮或灭，触点状态的改变、仪表的指示、电机的启动、阀或其他驱动器动作)；
b．在冗余通道中没有观察到任何异常结果。
6．4．3通道的输入必须尽可能从靠近敏感元件的地点引入。这可以用不同方法实现，例如：
a．扰动被监测的变量，例如改变压力、温度或功率水平；
b．将一个与被监测变量相同性质的代用输入量引入敏感元件，并适当地变化，例如，打开流量测量差压计上的平衡阀，隔断和排空到压力测量装置的输入，将热的或冷的流体注人到被测温度的流体中。
6．4．4当包括敏感元件在内的整体检查不能实现时，可对一个通道进行局部试验，为此应适当地引入一个模拟的或数字的输入，并改变试验信号的幅值。试验信号幅值的变化范围必须证被监测变量达到整定值时能产生保护动作。
6．4．5在了解被试通道的性能特征之后，应确定试验信号变化的性质。设备性能的退化或故障可能影响对上升时间、幅值或其他波形特性的响应。不同性质的试验信号有以下几种类型。
6．4．5．1慢变化信号。如果这种类型的信号要求保护动作，而且通过观测或根据设备的响应(其变化已趋于允差带的限值)表明该设备可能对慢变化的信号不会产生保护动作，那么必须选用这种类型的信号。
6．4．5．2快变化信号。如果这种类型的信号要求保护动作，而且通过观测或根据设备的响应(其变化已趋于允差带的限值)表明该设备可能对快变化的信号不会产生保护动作，那么必须选用这种类型的信号；
6．4．5．3大变化信号。如果这种类型的信号要求保护动作，而且通过观测或根据设备的响应(其变化已趋于允差带的限值)表明该设备可能对从正常值的大偏差信号不会产生保护动作(例，出现了饱和或弯曲)，那么必须选用这种类型的信号。
6．4．6为了检验各种预期工况下通道的合格性能，对给定的通道或设备进行试验，按实际需要可选用一种类型的信号，也可采用几种类型信号的组合。每个通道保护动作的动作值对标称整定值的允许偏差必须按不同类型信号来确定。
6．4．7本标准的定期试验程序应不要求临时的试验连接。为了试验需要临时的试验连接、卸下熔断器、断开断路器或用他方法断开电路时,必须遵循现行的管理规程。试验程序或管理必须
提供检验断开的电路或临时连接在试验完成之后恢复到正常状态的方法。
6．5试验间隔时间
6．5．1初始试验间隔时间
确定初始的试验间隔时间必须恰当地考虑以下因素。
6．5．1．1对于设备和系统应考虑：
a.管理规程的要求；
b．电厂计划的运行循环周期；
c．对电厂安全的影响；
d．有效的人力使用；
e．电厂人员所受的放射性照射；
f．因试验引起的设备性能退化。
6．5．1．2对于设备还应考虑：
a．制造厂的技术说明书或建议；
b．同类设备使用的历史经验，例如：故障率数据(包括从可靠性数据库获得的资料)，运行前试验，质量资料；
c．设备质量鉴定报告和分析；
d．故障数据：重要故障的模式、故障的机理、故障和修理的概率分布。这些分布是确定试验间隔时间主要考虑的问题，它们用参数表征，例如：平均无故障时间(MTTF)、平均修复时间(MTTR)、故障概率和可变性(可从试验结果获得)、历史数据和工程判断力。
6．5．1．3系统或子系统试验间隔时间还必须包括设计基准规定的试验间隔时间，即与可用性目标联系在一起。
6．5．2试验间隔时间的变更
为了确定所使用的试验间隔时间能否保证设备有效运行，必须定期评价试验间隔时间对所涉及的设备性能的影响，评价时必须考虑：
a．设备性能史、实际的故障率以及故障率的可能明显增加：
b．与故障相关的校正行动；
c．在同类电厂或环境、或两者中设备的性能；
d．与设备有关的电厂设计的变更；
e．故障率重大变化的探测。
试验间隔时间可以改变，以适应电厂运行方式，但要证明这样的改变对被试验设备的预期性能无有害影响。不运行的或者已脱扣的系统或设备在再次投入运行以前必须进行试验。若试验间隔时间作了变更，还必须遵守6.5．1条的要求。
6.6程序的格式和文件
程序的格式和文件必须遵守HAF0405第3章或等效文件的规定。