《Nuclear Engineering and Design》：A systematic review of digital I&C risk assessment techniques: Key research areas and recent trends
编辑推荐：
研究人员针对核电厂安全关键级数字化仪表与控制（Instrumentation and Control, I&C）系统的风险评价技术开展了系统性综述。该工作首先梳理了现有核电机组因模拟I&C系统老化、备件短缺而推进数字化改造，以及小型模块化反应堆
研究人员针对核电厂安全关键级数字化仪表与控制（Instrumentation and Control, I&C）系统的风险评价技术开展了系统性综述。该工作首先梳理了现有核电机组因模拟I&C系统老化、备件短缺而推进数字化改造，以及小型模块化反应堆（Small Modular Reactor, SMR）等新型反应堆采用原生数字化I&C架构的行业背景，明确了微处理器与现场可编程门阵列（Field-Programmable Gate Array, FPGA）两类主流数字化实现路径的技术特征与差异化挑战。在此基础上，研究人员指出数字化I&C系统引入了软件错误、复杂信号处理失效、共因失效（Common Cause Failure, CCF）等非物理风险，需在传统概率安全评价（Probabilistic Safety Assessment, PSA）框架中纳入容错机制有效性、软件可靠性等特有表征参数。综述重点归纳了静态PSA框架下两类核心量化方法：一是基于故障注入实验的故障检测覆盖率（Fault Detection Coverage, FDC）量化技术，二是面向安全关键软件的可靠性评价方法体系，包括基于软件开发生命周期（Software Development Life Cycle, SDLC）质量的贝叶斯信念网络（Bayesian Belief Network, BBN）建模、基于仿真器的穷举测试技术，以及硬件-软件集成测试环境下的加权评估方法。进一步，研究人员总结了数字化I&C PSA建模的五大前沿方向：涵盖建模抽象层级选择与厂级PSA集成的框架标准化进展、融合马尔可夫链与动态事件树（Dynamic Event Tree, DET）的动态及混合建模方法、区分操作系统层与应用层的软件诱发CCF建模策略、适配数字化人机界面的人员可靠性分析（Human Reliability Analysis, HRA）优化，以及基于系统理论的事故模型与处理（Systems-Theoretic Accident Model and Processes, STAMP）及其危害分析技术（Systems-Theoretic Process Analysis, STPA）的系统论方法应用。该综述为数字化I&C系统的风险知情监管与新堆型执照申请提供了技术参考，并指出未来需通过国际协作建立特征参数数据库以降低试验成本、提升模型验证水平。
- 1.
引言
研究人员开篇阐述了核电厂安全功能对I&C系统的依赖，指出当前全球核电领域正经历从模拟I&C向数字化I&C的转型：现役机组主要出于老化管理与备件供应压力开展渐进式改造，而SMR及先进反应堆设计则普遍采用原生数字化架构。针对数字化实现的两种主流技术路线，微处理器方案因工业领域应用经验丰富较早得到推广，但其软件复杂性带来了安全评价新挑战；FPGA方案凭借电路级逻辑、无复杂操作系统及网络安全性等优势逐渐应用于反应堆保护系统等安全关键场景，但仍面临验证难度大、硬件设计缺陷、CCF及技术过时等问题。随着美国核管会（U.S. Nuclear Regulatory Commission, NRC）与国际原子能机构（International Atomic Energy Agency, IAEA）等监管机构推动风险知情型监管政策更新，数字化I&C风险评价的重要性日益凸显。研究人员指出，传统风险评价聚焦于机械失效与材料疲劳，而数字化I&C引入了软件错误、多组件复杂信号处理失效等非物理风险，同时其内置的容错机制可通过故障检测降低风险，但容错效果取决于故障覆盖率。已有研究识别出的数字化系统不可用性建模关键要素包括：多任务特性表征、软件错误建模、容错机制有效性、CCF主导性、数字化环境下人因失误及网络通信数据脆弱性。本综述限定于核安全应用场景，将数字化安全关键系统风险建模的核心问题划分为特征因子与建模技术两大类，分别在第2章与第3章展开论述。
- 2.
数字化I&C风险评估的关键特征因子
2.A 基于故障注入实验的故障检测覆盖率
现代核电厂数字化I&C系统通过故障检测、隔离与安全停机等容错技术防止内部故障扩散，其中故障检测覆盖率（FDC）作为PSA核心参数，表征诊断功能成功识别故障的比例——仅未被检测的故障才会导致安全功能失效。由于数字化保护系统实际运行失效数据极少，且不同诊断机制的检测范围与时序存在差异，FDC难以通过运行经验直接估算。研究人员系统梳理了基于内存故障注入的FDC量化方法：通过篡改影响内部逻辑执行的软件内存变量，观察诊断功能响应，将故障分类为已检测、屏蔽与未检测三类并计算FDC。以APR1400机组智能数字化保护系统-反应堆保护系统（IDiPS-RPS）为对象的实验表明，该方法可有效识别潜伏故障的激活条件。后续研究进一步优化了实验效率：通过分析应用软件内存映射排除无效存储区域以减少注入次数，引入基于失效模式与影响分析（Failure Mode and Effects Analysis, FMEA）的故障权重系数以提升量化准确性。研究人员同时指出，内存故障注入主要覆盖数据状态 corruption 类失效，对时序故障、扫描周期超时、任务调度错误、通信协议失效、网络延迟、同步误差及电磁干扰等故障模式的表征存在局限，需通过故障映射或保守不确定性边界予以补充。在PSA模型集成方面，研究人员强调需突破传统模拟I&C恒定失效率假设，将数字故障空间按诊断功能划分为不同可检测区域，结合检测周期与故障传播特性，在模块级而非组件级构建包含多重诊断叠加效应的模型，区分已检测故障、潜伏故障与未检测危险失效，实现容错行为对风险影响的精准量化。
2.B 软件可靠性评价
安全关键软件的极高可靠性要求与运行失效数据缺失的矛盾，使得传统软件可靠性增长模型（Software Reliability Growth Model, SRGM）不适用于核电厂数字化保护系统。研究人员综述了三类核心量化方法：其一为基于SDLC质量的贝叶斯信念网络（BBN）模型，该模型通过结构化概率网络刻画需求规格、设计、实现、集成与测试等各阶段开发质量、验证与确认（Verification and Validation, V&V）质量与软件规模、复杂度等自特征的因果关系，估算残余缺陷数量与需求时失效概率。针对核电领域实证数据匮乏的问题，改进型BBN采用分布型节点概率表（Node Probability Table, NPT）聚合多专家意见，并通过贝叶斯更新融合新增证据，同时支持敏感性分析识别关键影响因子，提升了量化结果的可信度与可追溯性。其二为基于仿真器的穷举测试方法，通过构建位精度仿真环境复现目标平台软件行为，以超实时速度枚举输入组合与逻辑执行路径，结合可满足性模理论（Satisfiability Modulo Theories, SMT）将安全动作条件形式化求解，或基于功能块图（Function Block Diagram, FBD）构建故障树推导最小割集（Minimal Cut Set, MCS）生成测试用例，实现对安全相关逻辑条件的全覆盖测试，为BBN模型提供实证校验数据。研究人员指出需注意仿真器对扫描周期执行时间、输入输出更新时序、定时器行为与看门狗触发等时间相关特性的保真度验证。其三为硬件-软件集成测试环境下的可靠性评估，通过在真实目标硬件平台上执行保护系统软件，对工艺参数输入实施穷举测试，对输入/输出模块、处理器模块等硬件诱发的质量信号输入结合FMEA赋予部件失效概率权重，在保证评估精度的前提下将测试规模降至可行水平，实现了10-4至10-5量级覆盖率的实际验证。
- 3.
数字化I&C PSA建模技术
3.A 数字化I&C PSA建模框架
针对数字化I&C PSA缺乏标准化方法的行业痛点，经合组织核能署（OECD/NEA）风险评价工作组先后发起DIGMAP与DIGMORE国际基准项目，通过多机构对同一数字化保护系统的独立建模对比，识别出方法论差异与研究缺口。研究表明，在关键假设与依赖关系一致的前提下，不同抽象层级的模型（从详细逻辑模型到简化故障树抽象）可产生可比的风险洞见，但模型等效性尚无通用接受准则，需根据筛选分析、厂级风险评估、执照申请、多样性与纵深防御评价等不同应用目标选择适当的建模粒度。当前核心挑战在于如何将软件可靠性、FDC、软件诱发CCF等数字化特有属性整合至厂级事件树与故障树框架，包括基础事件的合理定义、依赖结构构建、恢复行动建模与CCF模型适配，相关国际协作仍在持续推进。
3.B 动态与混合建模方法
传统静态故障树/事件树方法难以表征数字化系统的时序交互、软件驱动逻辑与反馈回路特性，动态建模技术成为重要发展方向。研究人员梳理了马尔可夫链与状态转移模型、动态事件树（DET）、动态流图方法（Dynamic Flowgraph Methodology, DFM）等典型技术的适用场景：马尔可夫与DET方法可自然表征CCF传播、时序效应与恢复行动，但面临状态空间爆炸与计算复杂度挑战；精细构建的故障树可通过伪事件或条件相关事件近似动态效应，但可能遗漏细微时序行为。混合建模策略通过将静态方法（用于硬件失效模式）与动态方法（用于软件逻辑或故障传播）结合，在计算可行性前提下提升建模精度。实践应用中，通常采用选择性离散化、状态聚合与风险导向截断策略聚焦安全重要失效场景，平衡时序细节与分析效率。
3.C 软件诱发CCF建模
冗余数字安全系统多采用相同软件，单一潜伏软件缺陷在特定触发条件下可能导致所有通道同时失效，其系统性失效特征使得传统基于随机失效假设的CCF模型适用性受限。研究人员指出，当前工程实践中常采用保守假设或工程判断，包括完全忽略软件失效或采用通用占位概率，均存在明显缺陷。改进建模方法需区分操作系统（Operating System, OS）层与应用层失效：平台级错误（如共享实时OS或库缺陷）可能同时影响所有通道，而应用层缺陷需特定输入条件激活，各通道失效可能存在异步性。尽管β因子法等传统CCF模型因简洁性仍被沿用，但条件概率或贝叶斯方法更适用于存在软件多样性或通道依赖信息的场景。软件多样性可降低共模失效概率，但其有效性取决于需求规格、设计、实现与验证等各阶段的独立性程度。监管实践表明，当缺乏多样化备份时，需对未缓解的CCF采用保守假设（如特定场景下接近1的失效概率）；NEI 20-07等行业导则已提出结合定性论证（如独立V&V、软件QA流程）与有限量化的结构化框架，支持基于证据强度调整CCF概率估计。
3.D 数字化I&C环境下的人因可靠性建模
数字化人机界面与自动化控制算法改变了操纵员任务特性：一方面常规安全动作的自动化消除了部分人为疏忽或误操作风险，另一方面新增了监督自动化、复杂屏幕导航、软件驱动报警响应等认知任务，可能引发认知过载或模式混淆，误操作（错误行动）的相对占比可能上升。研究人员指出需对现有人员可靠性分析（HRA）方法进行适应性改进，包括识别数字化特有人员失效事件（如错误超控自动安全功能、应激下界面导航失败、数字化显示信息误判），重新校准绩效形成因子（Performance Shaping Factors, PSFs）——软件界面工效、报警过滤质量、数字化系统培训水平成为影响失误概率的关键因子。当前PSF校准主要依赖模拟机研究、全范围控制室实验、有限运行经验与专家判断，随着数字化I&C普及，运行与实验数据的积累将逐步夯实HRA方法的实证基础。此外，还需重点建模操纵员对数字化系统失效的响应能力，包括失效透明性（是否明确指示故障）与培训充分性（是否开展数字化I&C失效应对演练）对干预成功率的影响。
3.E 数字化I&C风险评估的系统论方法
系统论方法突破了传统失效基分析的局限，以不当控制作用与系统交互为事故根源，可识别传统方法遗漏的因果场景。研究人员重点综述了STAMP/STPA方法的集成应用：通过将STPA识别的不安全控制作用（Unsafe Control Actions, UCAs）映射为故障树中的始发事件或基本事件，实现交互型危害的定量分析。典型实践包括：电力研究协会（Electric Power Research Institute, EPRI）的数字化系统危害与后果分析（HAZCAD）方法将STPA衍生事件嵌入故障树，表征软件逻辑失效与人机接口问题；美国能源部IRADIC框架采用冗余引导STPA流程（RESHA）识别潜在软件CCF与系统级危害并映射至概率模型；DOE轻水堆可持续性计划将STPA应用于数字化反应堆停堆系统的集成风险评估，识别软件相关危害以支持风险知情执照决策。NuScale小型模块化反应堆设计认证中，NRC接受了基于STPA的危害分析结果作为数字化危害充分识别的证据，为后续数字化I&C系统执照申请提供了监管先例。NEI 20-07导则已明确推荐将STPA等先进危害分析方法用于高安全重要数字化系统的共因脆弱性评价，支持在设计的早期阶段（缺乏运行历史时）基于功能规格开展安全评价，与PSA结合后可显著提升安全论证的完整性与可信度。
- 4.
结论与未来展望
本综述系统梳理了安全关键数字化I&C系统风险评价的研究进展，指出容错机制有效性与软件可靠性是决定数字化功能风险水平的核心要素，总结了FDC量化与软件可靠性评估的实用方法体系，以及建模框架、动态建模、软件诱发CCF建模、人因可靠性建模等PSA集成关键技术。尽管相关研究已取得显著进展，软件可靠性量化、软件诱发CCF建模与标准化建模框架仍是提升数字化I&C PSA可信度与监管适用性的关键方向。FDC量化仍处于研究阶段，测试型软件可靠性评估需专用硬件环境与仿真器支撑，成本较高。未来通过国际协作推进标准化工作，积累实验与运行数据库，构建特征参数共享库，将有效降低验证成本、减少不确定性，大幅提升数字化I&C PSA的工程实用价值。
