考虑自诊断的反应堆保护系统停堆功能可靠度评估模型研究_王明洋.pdf

文章编号：0258-0926(2023)02-0159-07;DOI:10.13832/j.jnpe.2023.02.0159考虑自诊断的反应堆保护系统停堆功能可靠度评估模型研究王明洋，张蔚，徐冬苓，程玉玉，郑明光上海核工程研究设计院有限公司，上海，200233摘要：“在线自诊断”作为数字化仪控系统的重要特征，对核电厂反应堆保护系统（RPS）停堆功能的可靠性分析具有重要作用。通过分析自诊断对人因、定期试验等因素的影响，建立设备级误动模型；以典型 RPS TX 为例，通过马尔科夫方法建立动态的 TX 序列级和系统级模块误动模型；利用系统级模块误动模型定量计算 TX 停堆功能可靠度与自诊断的关系。通过定性分析与定量计算论证了综合考虑自诊断对 RPS停堆功能可靠性分析的必要性，为后续国内 RPS 停堆功能的可靠性评价提供了借鉴。关键词：反应堆保护系统（RPS）；自诊断；系统可靠度；误动作；可靠度模型；马尔科夫方法；失效率中图分类号：TB114.3；TL363文献标志码：AStudy on Reliability Evaluation Model for the Reactor ProtectionSystem Shutdown Function Considering Self-diagnosticsWang Mingyang,Zhang Wei,Xu Dongling,Cheng Yuyu,Zheng MingguangShanghai Nuclear Engineering Research&Design Institute Co.,Ltd.,Shanghai,200233,ChinaAbstract:As an important feature of digital instrument control system,online self-diagnosticsplays an important role in the reliability analysis of shutdown function of reactor protection system(RPS)in nuclear power plant.By analyzing the influence of self-diagnostics on human factors andperiodic testing,the component-level spurious actuation model was established.Taking a typicalRPS TX as an example,the dynamic TX sequence-level and system-level module spurious actuationmodels are established by Markov method.The relationship between TX shutdown functionreliability and self-diagnostics is quantitatively calculated by using the system-level modulespurious actuation model.Through qualitative analysis and quantitative calculation,the necessity ofcomprehensive consideration of self-diagnostics in RPS shutdown function reliability analysis isdemonstrated,which provides a reference for the subsequent reliability evaluation of RPS shutdownfunction in China.Key words:Reactor protection system(RPS),Self-diagnostics,System reliability,Spuriousactuation,Reliability model,Markov method,Failure rate 0 引言核电厂反应堆保护系统（RPS）是用于监测核电厂安全参数的重要系统，在非安全状态下，具备为电厂提供紧急停堆和驱动专设安全设施的能力，以保证核电厂维持在安全停堆状态。RPS由核安全级设备组成，在正常运行时不易发生误动，但定期试验与维修中引入的人因失误会导致 RPS 中设备/子系统的误动率上升1。停堆功能误触发虽属于安全性故障，但频繁的非预期停堆会影响核电厂的运营成本以及电网负荷。因此，收稿日期：2022-04-12；修回日期：2022-12-12作者简介：王明洋（1997），男，硕士研究生，现主要从事反应堆保护系统相关研究，E-mail: 第 44 卷第 2 期核 动 力 工 程Vol.44 No.22 0 2 3 年 4 月Nuclear Power EngineeringApr.2023RPS 停堆功能的可靠性对核电厂运行具有重要作用。当前，研究主要侧重于考虑设备随机故障率、可维修性2以及定期试验和维修中的人因失误3对 RPS 停堆功能可靠性的影响。在系统可靠度建模中仅考虑自诊断对设备故障的快速定位作用，并将其作为固定因数计算设备/系统的静态可靠度4。相关研究中尚未动态考虑数字化自诊断对 RPS 设备修复率、定期试验频度以及故障后系统逻辑切换的影响。因此，本文介绍了 RPS和自诊断的相关概念，在考虑自诊断多重影响的基础上，从设备到系统建立了完整的停堆功能可靠度评估模型；利用该模型定量分析了 TX 停堆功能的故障率与自诊断的关系，并进行了敏感性分析。1 概念介绍 1.1 RPS 停堆功能介绍RPS 由 4 个冗余的序列构成，自上而下可以分为 3 个层级，如图 1 所示。Level1 用于信号的处理以及定值比较，Level2 用于逻辑表决，Level3 用于停堆断路器的驱动。来自现场传感器的模拟信号，在冗余的“定值比较模块”（BL）中进行信号处理并与预设整定值进行比较，输出结果通过光纤送入到本序列以及其他序列 2 个冗余的符合逻辑模块（CL）中。CL 接收来自全部序列 BL 的 8 个信号，首先对来自同序列的 2 个BL 信号进行 2 取 1（1oo2，其余同）表决；之后通过 2 个处理器（RT）对 4 个序列 1oo2 的信号进行 2oo4 表决。最后，本序列 2 个 CL 将输出信号送入停堆逻辑矩阵（RTM）中，驱动本序列控制的 2 个停堆断路器（RTCB）。4 个序列中有 2 个序列控制的 RTCB 触发，则触发停堆。在核电厂运行期间，操纵员通过定期试验对 RPS 的停堆功能逻辑与设备进行阶段性确认，试验频度由核电厂技术规格书确定5。在 RPS 内部控制设备处于故障状态时，RPS 可以对故障设备所属的序列进行旁通并切换符合逻辑，利用剩余工作序列完成停堆功能。1.2 在线自诊断RPS 内部存在 2 种在线自诊断方式：平台自诊断和应用自诊断。平台自诊断是由设备制造商提供的设备“自试验”和嵌入式故障检测功能；应用自诊断是由设计人员软件组态提供的故障检测功能。设备级自诊断模块（PSD）是执行安全功能的“RPS 系统设备”的一部分，因此两者具有相同的设计、实现、测试和配置管理流程；其诊断功能包括：对中央处理器（CPU）进行监视并计时，CPU 过载、超载以及内存完整性检验等。PSD 可以对上游输入信号的质量进行判断，在质量为差时发送故障信号到系统级自诊断模块（ASD）。ASD 利用自诊断程序实现序列间比较、序列内比较等功能。并且，ASD 可以对PSD 发现的故障进行报警，并将故障序列置于维修旁通状态，切换 RPS 的表决逻辑。RPS 紧急停堆子系统的大多数逻辑都由数字化设备构成，且均被 PSD 所覆盖6。与手动定期试验对比，自诊断的效率更高，可以执行在线监测，并在设备故障时立即报警。但由于 PSD 同样由硬件和软件构成，仍应考虑其发生随机故障和共因故障的可能性。因此，自诊断模块具有以下特性：PSD 和 ASD 可以降低定期试验的频度7；PSD 可以快速定位故障设备，提升维修效率；PSD 和 ASD 可以降低定期试验中的人因失误；ASD 可以旁通故障序列并进行 RPS 图 1 RPS 单序列逻辑架构图Fig.1 RPS Single Sequence Logic Architecture Diagram160核 动 力 工 程Vol.44 No.2 2023 表决逻辑转换；PSD 失效会导致发生误报警和误旁通。1.3 RPS 误动故障RPS 安全性故障分为 3 种类型：设备级误动、序列级误动以及系统级误动。对于设备级误动，RPS 满足单一故障准则，即系统中发生单一故障，并不会发生保护功能的误执行或无法执行。对于序列级误动，每个安全级序列由 2 个半通道组成，当 RPS 中同时发生多个设备故障导致同一序列的 2 个半通道同时触发时，该序列将处于触发状态。对于系统级误动，根据停堆断路器矩阵2oo4 表决逻辑，当不少于 2 个序列动作时，RPS驱动停堆断路器执行紧急停堆功能。RPS 由安全级设备和平台构成，每个序列内存在相应的通道冗余，目的是减少反应堆停堆和专设驱动的误触发，保证在试验或维护时旁通一个通道或序列，RPS 仍满足单一故障准则。因此，仅由设备发生随机故障导致系统误动触发停堆的概率很小。触发停堆的故障类型分为：设备随机故障；试验和维修中发生人因失误；维修旁通导致系统 2oo4 表决逻辑降级。实际过程中，故障模式可能是 3 种类型的一种或多种组合，因此需要对不同模式之间的动态转化进行定性分析。2 RPS 停堆功能可靠度评估模型以核电厂的 1 个换料循环（12960 h）为研究周期，周期内设备发生的定期试验次数和自诊断对系统设备故障的探测率均基于核电厂技术规格书，在建立模型时采用的假设：设备的寿命与维修时间服从指数分布；设备的随机误动率等于随机故障率为常数；定期试验和维修引入的人因失误率为常数8；PSD 和 ASD 的失效率为常数；所有设备均可维修；设备发生误动作后会立即报警并进行维修；仅考虑会导致 RPS 发生误动的子系统和有源卡件。2.1 设备级误动模型由于 PSD 嵌入到 RPS 设备中，在建模中考虑 PSD 通信故障会导致其关联的 RPS 设备误驱动，并且 PSD 输入/输出故障会导致其无法识别关联 RPS 设备的故障信号。qd=1edt（1）qddt式中，为 PSD 发生随机通信故障的概率，与发生随机输入/输出故障的概率相同；为自诊断模块的随机故障率；为设备的任务时间。qh设每次定期试验由于人因失误导致设备在恢复运行时发生误动的概率为。在建模中考虑PSD 具有降低定期试验频度、对人因失误导致的设备误动进行报警的能力，得到任意时刻 t 由于定期试验中的人因失误导致 RPS 设备在运行过程中发生误动的概率（）为：qh=N(1Pd)qd（2）式中，Pd为自诊断对系统设备故障的探测率，大多数 RPS 设备的自诊断可探测率为 90%9，处理器的故障可探测率为 99%；N 为定期试验频度，在模型中设为 RPS 设备在一个换料循环中进行定期试验的次数。qr=1ert（3）qrr式中，为 RPS 设备由于随机故障发生误动的概率；为系统内部设备出厂时的随机故障率。PSD 故障既会导致设备误动，又会导致其无法识别设备故障，但两者成因不同，在分析中考虑两者相互独立。因此，操纵员判断当前设备发生故障且需要进行修复性维修的概率（P）为：P=1est（4）s=d+r+N(1Pd)ds=(1+Pd)（5）st(1+Pd)t式中，为被自诊断所覆盖的设备在单位时间内完成修复性维修的概率；为平均修复率。RPS设备的平均维修时间为 5 h8，则由指数分布假设可知，RPS 设备的 为 0.2。在修复性维修过程中，被自诊断覆盖的设备可以被快速定位以提高修复率。因此，被自诊断覆盖的设备在任意时刻 完成修复性维修的概率为。2.2 系统停堆功能误动模型P(Xt|Xt1)X0,X1,Xt2马尔科夫方法是一种离散的动态分析方法，通过定义系统的有限状态与状态之间的转移概率得到系统状态随时间的演变过程。系统状态之间的迁移可以用马尔科夫有向转移图来表示10。使用马尔科夫方法需满足独立性假设，即 t1 时随机变量 Xt仅与前一个时刻的随机变量 Xt-1之间存在条件分布，而不依赖于过去的随机变量。本研究采用“模块化处理-综合建模”的思路，王明洋等：考虑自诊断的反应堆保护系统停堆功能可靠度评估模型研究161 在分析中考虑序列级模块在误动后进入吸收态以计算出该模块的故障率，并进一步将该序列级模块的故障率代入到系统级模型中进行分析，以避免马尔科夫方法分析复杂系统时状态数目爆炸的问题11。以典型 RPS TX 为例，首先对 TX 单一序列的 3 个 Level 模块建模，得到 TX 单序列模型；其次，考虑 ASD 的维修旁通与逻辑切换功能，分别对单序列各 Level 模块进行系统级建模；最后，综合 3 个系统级 Level 模块对 TX 停堆功能进行建模。2.2.1 序列级 Level1 模块误动模型序列级Level1 模块由 2 个冗余的 BL 组成，其中任一个BL 处于触发状态则导致该序列触发。BL 由模拟量输入子卡（AI）、数字量输入子卡（DI）、脉冲量输入子卡（PI）以及定值处理器（PM）组成。保守考虑其中任一卡件发生误动，BL 输出驱动信号。图 2 为序列级 Level1 模块发生误动故障的可靠性框图，图 3 为其马尔科夫状态转移图。图 2 序列级 Level1 模块误动故障可靠性框图Fig.2 Sequence Level 1 Module Spurious Actuation FaultReliability Block Diagram 图 3 序列级 Level1 模块误动故障 Markov 状态转移图Fig.3 Sequence Level 1 Module Spurious Actuation FaultMarkov State Transition Diagramt单位时间，1 h；O模块的正常工作状态；E模块失效的状态（吸收态），任一卡件失效则序列级 Level1 模块失效进入吸收态 EL1；下标 L1序列级 Level1 模块L1单序列 Level1 模块的故障率为：L1=2PM1+2PM2+4AI1+4AI2+2PI+2DI（6）2.2.2 序列级 Level2 模块误动模型序列级Level2 模块由 2 个冗余的 CL 组成，来自 BL 的信号经过 CL 中的 2 个停堆处理器（RT）进行处理，并分别通过 2 个数字量输出卡件（DO）输出停堆信号到 RTM 中。图 4 为序列级 Level2 模块发生误动故障的可靠性框图，图 5 为其马尔科夫状态转移图。图 4 序列级 Level2 模块误动故障可靠性框图Fig.4 Sequence Level 2 Module Spurious Actuation FaultReliability Block Diagram 图 5 序列级 Level2 模块误动故障 Markov 状态转移图Fig.5 Sequence Level 2 Module Spurious Actuation FaultMarkov State Transition DiagramKL2,14 条 RT 和 DO 串联通路的其中任一条发生误动；KL2,2属于同个 CL 的 2 个 RT 和 DO 串联通路均失效；EL2单序列Level2 模块 3 条 RT 和 DO 串联通路出现故障状态，为吸收态；下标 mRT 和 DO 的串联通路；下标 L2序列级 Level2 模块 L2建立马尔科夫状态转移矩阵，利用数值解法可近似求解该模块 t 时刻的可靠度 k。序列级Level2 模块的故障率为：L2=ln(1/kt)（7）2.2.3 序列级 Level3 模块误动模型序列级Level3 模块由一个 RTM 控制的 2 个 RTCB 组成，2 个 RTCB 中的任一个动作不会导致 Level3 模块处于触发状态。图 6 为序列级 Level3 模块误动故障马尔科夫状态转移图。L3序列级 Level3 模块的故障率为：162核 动 力 工 程Vol.44 No.2 2023 L3=22RTCB/(s+3RTCB)（8）2.2.4 系统级 Level 模块误动模型TX 由 4 个冗余的单序列组成，采用 2oo4 表决逻辑。若任一序列发生故障，ASD 在识别到来自 PSD 的报警信号后，首先将故障序列置于维修旁通状态，然后将 TX 表决逻辑从 2oo4 切换成 2oo3。若剩余工作序列再次出现故障，ASD 则切换 2oo3 表决逻辑到 1oo2。若 ASD 故障，则 TX 无法完成逻辑切换功能。建立不考虑 ASD 的 4 序列系统级 Level 模块误动模型故障马尔科夫状态转移图如图 7 所示，考虑 ASD 的 4 序列系统级 Level模块误动模型见图 8。L1L2L3RL1RL2RL3将序列级 Level1、Level2、Level3 模块的故障率、带入到上述模型中，分别求得对应的系统级 Level1、Level2、Level3 模块的可靠度、。任一系统级 Level 模块触发均会导致 TX 停堆功能触发，并且各系统级 Level 模块间相互独立。因此，TX 停堆功能误动模型为系统级 Level1 模块、Level2 模块和 Level3 模块R(t)的串联组合。TX 停堆功能的可靠度为：R(t)=RL1RL2RL3（9）3 案例分析r以一个换料循环为研究周期，利用第 2 节的可靠度评估模型，对反应堆停堆误驱动事件下TX 的可靠度进行定量分析。设每次定期试验中=0.0023，计算采用的、N 和 Pd如表 13所示。3.1 自诊断对 RPS 可靠度的影响drSW分析在一个换料循环内自诊断因素对 TX 停堆功能可靠度的影响。设 为 11010 h1。将表 1中各系统设备的 带入到设备级误动模型中，利用计算得到的，根据式（10）计算得到不考虑自诊断的系统设备故障率，计算结果见表 1。W=ln(1)er12960/12960（10）SW将 和带入序列级 Level 模块误动模型中，通过式（5）式（7）计算序列级各 Level 模块的故障率如表 2 所示。图 6 序列级 Level3 模块误动故障马尔科夫状态转移图Fig.6 Sequence Level 3 Module Spurious Actuation FaultMarkov State Transition DiagramEL3单序列 Level3 模块 2 个 RTCB 均发生误动，单序列Level3 模块触发，为吸收态；KL3,11 个 RTCB 发生误动；下标L3序列级 Level3 模块 图 7 不考虑 ASD 的系统级 Level 模块误动故障马尔科夫状态转移图Fig.7 System-level Module Spurious Actuation FaultMarkov State Transition Diagram withoutConsidering ASDKS1,12oo4 逻辑 TX 的一个序列发生故障；下标 S1不考虑自诊断的系统级 Level 模块；下标 L序列级各 Level 模块 图 8 考虑 ASD 的系统级 Level 模块误动故障马尔科夫状态转移图Fig.8 System-level Spurious Actuation Fault Markov State Transition Diagram Considering ASDdKS2,1仅 ASD 发生故障；KS2,2在 ASD 故障的情况下 TX 的一个序列发生故障，此时 TX 未切换逻辑；KS2,32oo4 表决逻辑 TX 的一个序列发生故障，此时 ASD 正常，自动切换成 2oo3 表决逻辑；KS2,42oo3 表决逻辑 TX 的 ASD 发生故障；KS2,5ASD 故障条件下 2oo3 表决逻辑 TX 的一个序列发生故障；KS2,62oo3 表决逻辑 TX 的一个序列发生故障，TX 切换成 1oo2 表决逻辑；ES2,12oo4 表决逻辑 TX 的 2 个序列发生故障，触发停堆；ES2,21oo2 表决逻辑 TX 出现序列故障，触发停堆；ES2,32oo3 表决逻辑 TX 的 2 个序列发生故障，触发停堆；ASD 设备的修复率，考虑其平均修复率为 0.2；下标 S2考虑自诊断的系统级 Level 模块王明洋等：考虑自诊断的反应堆保护系统停堆功能可靠度评估模型研究163 L1L2L3将考虑自诊断和不考虑自诊断 2 种情况的、分别带入到对应的系统级 Level 模块误动模型中，通过建立马尔科夫状态转移矩阵，利用数值解法求得系统级各 Level 模块的可靠度，利用式（8）求得 TX 停堆功能的可靠度。一个换料循环内，2 种情况下 TX 停堆功能的可靠度随时间变化如图 9 所示。图 9 一个换料循环 TX 停堆功能可靠度变化Fig.9 TX Shutdown Function Reliability Changes in aRefueling Cycle 由于 PSD 具有较高的覆盖率和探测率，系统设备在进行维修以及定期试验时引入故障的可能性更小；同时，在系统出现序列级故障时，ASD 自动旁通故障序列并切换系统表决逻辑，同样降低了停堆误动的可能性。因此在换料寿期末，考 虑 自 诊 断 的 TX 停 堆 功 能 可 靠 度 为0.9999712，优于不考虑自诊断的 TX 停堆功能可靠度 0.9559。1R(12960)/12960利用公式近似估算 TX停堆功能的故障率。在考虑自诊断的条件下，TX 停堆功能的故障率为 2.222109 h1；在不考虑自诊断的条件下，TX 停堆功能的故障率为3.406106 h1，两者相差 3 个数量级左右。因此，自诊断对 RPS 停堆功能的可靠度评估具有重要影响。3.2 敏感性分析ddd和 是模型中影响 RPS 停堆功能可靠度的主要因素，较高的 会增加设备误驱动和系统旁通功能失效的可能性，较高的 会增加设备误驱动的可能性。因此，对 TX 停堆功能故障率与和 的关系进行分析，如表 3 所示。d表 3 TX 单序列/停堆功能故障率与和 的关系dTab.3 Relationship between the Failure Rate of TX SingleSequence/Shutdown Function and the and 条件(L1L2L3)+/h1TX停堆功能故障率/h1不考虑自诊断,=0.0022.4200431043.40549106不考虑自诊断,=02.3953241043.33801106d=11010 h1,=02.3952991042.22161109d=11010 h1,=0.0022.3952991042.22162109d=1108 h1,=0.0022.3968851042.22608109d=1106 h1,=0.0022.5554321042.70362109d=1105 h1,=0.0023.9967831041.04573108d=1104 h1,=0.0021.8411191031.01053106 由表 3 可知，对考虑自诊断的 TX 停堆功能故障率影响很小。当=0 时，不考虑自诊断的TX 停堆功能故障率达到最小值，此时与考虑自诊断的 TX 停堆功能故障率有 3 个数量级的差距。d自诊断设备的故障率提高，TX 单序列故障率和 TX 停堆功能故障率也随之提高。当=0.002 时，=1104 h1与不考虑自诊断 2 种情况的 TX 停堆功能故障率处于同一量级，单序列故障率相差 1 个量级。结果表明，自诊断模块的高故障率会导致 RPS 单序列更容易发生故障，但由于自诊断的维修旁通和逻辑切换功能以及其对设备修复率的贡献，RPS 停堆功能故障率提升更 表 1 RPS 停堆子系统设备初始数据和计算结果Tab.1 Initial Data and Calculated Results of RPSShutdown Subsystem Equipment设备名称r/h1NPdS/h1w/h1PI1.2010560.91.2000101051.22105DI1.2510660.91.2501001061.40100AI 13.6610560.93.6600111053.68105AI 23.5810660.93.5801001063.73106PM1(2)1.3110560.991.3100101051.32105RT1.3110520.991.3100101051.32105DO1.3910620.91.3901001061.54106RTCB1.00106201.0001001061.15106 表 2 2 种情况下序列级各 Level 模块故障率Tab.2 Failure Rate of Each Sequence-level Module underTwo Conditions故障率考虑自诊断不考虑自诊断L1/h12.395261042.41996104L2/h14.302111098.72537109L3/h11.0001910111.332791011164核 动 力 工 程Vol.44 No.2 2023 为缓慢。4 结论本研究从自诊断模块故障和自诊断模块对系统设备故障的探测与维修 2 个角度，对自诊断与 RPS 停堆功能可靠度关系进行定性和定量分析。通过实际案例确定了自诊断可降低 RPS 停堆功能系统故障率约 3 个数量级，通过敏感性分析得到了 RPS 停堆功能可靠度随自诊断模块故障率增加而降低，随自诊断故障探测率和覆盖率增加而上升的变化关系，符合实际电厂运行过程。论证了在 RPS 停堆功能可靠性分析中综合考虑自诊断的必要性。参考文献：KIM J,PARK J,JUNG W,et al.Characteristics of testand maintenance human errors leading to unplannedreactor trips in nuclear power plantsJ.NuclearEngineering and Design,2009,239(11):2530-2536.1张栋良，张凯文，张超凡.基于FPGA的反应堆保护系统可靠性建模与分析J.核动力工程，2021,42(5):173-177.2KHALAQUZZAMAN M,KANG H G,KIM M C,et al.A model for estimation of reactor spurious shutdown rateconsidering maintenance human errors in reactorprotection system of nuclear power plantsJ.NuclearEngineering and Design,2010,240(10):2963-2971.3李明利，石桂连，唐环.逻辑退化对数字化核反应堆保护系统可靠性的影响J.核动力工程，2012,33(2):21-24.4严吉倩，张存光，高翔，等.CAP1400反应堆保护系统定期试验方案研究J.山东工业技术，2019(5):81-82,101.5杜乔瑞，齐敏，石桂连，等.核安全级仪控系统（FirmSys）平台软件设计技术研究与实现J.自动化博览，2018,35(5):66-71.6张蔚，张淑慧，徐冬苓.两种安全级仪控系统拒动率计算方法的比较J.仪器仪表用户，2021,28(1):60-64.7KHALAQUZZAMAN M,KANG H G,KIM M C,et al.Quantification of unavailability caused by randomfailures and maintenance human errors in nuclear powerplantsJ.Nuclear Engineering and Design,2010,240(6):1606-1613.8刘艳阳，刘明星，雷敏杰，等.安全级DCS“龙鳞系统”研制综述及展望J.中国核电，2019,12(5):537-541.9ALDEMIR T,GUARRO S,MANDELLI D,et al.Probabilistic risk assessment modeling of digitalinstrumentation and control systems using two dynamicmethodologiesJ.Reliability Engineering&SystemSafety,2010,95(10):1011-1039.10王伟，赵军，童节娟，等.反应堆保护系统可靠性指标的评价方法研究J.原子能科学技术，2015,49(6):1101-1108.11（责任编辑：邱彦）王明洋等：考虑自诊断的反应堆保护系统停堆功能可靠度评估模型研究165