唐锚 赵鹏程 李文杰 王凯
（南华大学 核科学技术学院 衡阳 421000）
铅冷快堆被认为具备良好的安全性、可靠性和经济性，这使其成为第四代核能系统中有望首先实现工业示范化的候选方案，第四代核能系统国际论坛（The Generation IV International Forum，GIF）将其列为重点发展项目之一。预计在2030～2040年期间，铅冷快堆有望实现商业化应用［1-4］。铅冷快堆通常采用一体化池式结构布置，能够有效提高系统运行可靠性和固有安全性。欧盟铅冷系统（EuropeanLead-cooled System，ELSY）和欧盟铅冷示范堆（European Advanced Lead-cooled Demonstration Fast Reactor，ALFRED）等采用基于一回路蒸汽发生器（Steam Generator，SG）的非能动余热排出系统（Passive Residual Heat Removal System，PRHRS）设计方案，其中ELSY是铅冷快堆主流的三种非能动余热排出系统设计方案之一［5-6］。
然而，铅冷快堆非能动余热排出系统设计主要采用传统基于文档为基线来组织设计和改进优化。由此易产生以下问题：1）需求信息不断演进，存在信息孤岛，造成技术状态难以管理；
2）缺乏对系统及体系结构的前期验证，存在许多产品设计迭代，导致总体设计方案难以固化；
3）文档规模较大，版本较多，难以保证系统设计信息的一致性与完整性［7-8］。结合传统基于文档的系统工程方法特点，在需求牵引和模型化技术的推动下，国际系统工程学会（International Council On Systems Engineering，INCOSE）于2007年正式提出基于模型的系统工程（Model-based System Engineering，MBSE），它支持以概念设计阶段开始，并持续贯穿于开发和后期的生命周期阶段系统需求、分析、设计、检验和确认活动等形式化应用［9］。MBSE通过系统建模语言［10］（System Modeling Language，SysML）构建需求、功能、参数等指标实现需求到功能和参数的分解，并获得完整的架构模型以及它们之间的追溯关系［11］。
近年来，国外众多研究机构已开展相关的理论研究与实践［12-13］，法国Areva公司则将MBSE应用于核电项目中［8］。国内将MBSE主要标准应用于航空航天领域［14］，旨在提高设计与分析效率。对标航空航天领域，在复杂的核能领域内，它需要多个学科领域的专业知识和技术的综合应用，采用MBSE可将各个学科领域的专业知识和技术整合在一个模型中，使得系统开发过程更具协调和性与可行性［15］。朱俊志等［16］将MBSE初步应用于先进压水堆安注系统中，而以铅冷快堆为代表的第四代反应堆由于具有反应堆系统构成复杂化、技术精细化和信息数据化等革新型体系特点［17］，目前MBSE在其中的应用研究基础薄弱，经验相对较少。
因此，本研究将MBSE初步应用于铅冷快堆非能动余热排出系统设计需求过程，其中铅冷快堆非能动余热排出系统相关参数及功能参考吴国伟［6］设计的基于SG的非能动余热排出系统。本研究首先介绍基于MBSE非能动余热排出系统架构设计流程，其次从顶层利益攸关者需求出发设计基于模型的非能动余热排出系统架构，该架构涵盖需求分析、功能分析和设计综合三大部分。
MBSE中经典的“V”模型是一种系统工程的开发模型，它描述了开发过程中各个阶段之间的关系，从需求分析到系统验证［18］。对于铅冷快堆这种复杂的系统工程项目，采用“V”模型可以有效地管理和控制开发过程，有助于解决铅冷快堆中关键系统需求复杂、前后一致性差等设计需求问题。铅冷快堆非能动余热排出系统的初步架构设计流程［18］将结合“V”模型，从利益攸关者需求出发，经过需求分析迭代，在用例驱动下进行功能分析并验证需求模型，再经过功能分析迭代将功能赋予设计综合（包括架构分析与架构设计），相关阶段描述如下：需求分析阶段即通过分析和收集用户和利益相关者的需求，确定系统的功能和性能等要求，并建立系统用例模型将其转化为系统的需求规范；
功能分析阶段在需求分析迭代下通过分析系统的需求规范，确定系统的各个功能模块以及它们之间的关系和交互，建立系统的功能模型，本研究建立时序图与活动图实现相互追溯，最后通过状态机图实现早期需求验证与确认；
设计综合阶段通过对系统的功能模型识别并迭代进行细化和优化，确定系统的具体设计方案，并进行系统的综合和评估，同时还需要对系统的架构分析与架构设计相互完善，确保系统满足设计要求。具体相关流程如图1所示。
图1 基于MBSE的非能动余热排出系统架构设计流程图Fig.1 MBSE-based architecture design flow chart of PRHRS
图1中需求验证同时是众多系统设计流程中不可或缺的一部分，若设计系统时未考虑设计流程中的早期需求验证部分，可能导致利益攸关者需求捕获不全面则易产生较严重的后果。如在福岛事故中，一号堆监控室未及时发现存在一根控制棒没有迅速插入堆芯的应急行为，导致堆芯局部温度升高引发堆芯融化。如果在控制棒插入环节设计成“不达标即报警”的并联独立检测系统，能够有效避免此次危险事故的发生及带来的重大损失［16，20］。
2.1 需求分析
需求分析是系统设计中重要的环节之一，提供了深入理解系统需求的方法，这有助于确保系统开发符合用户期望。通过对需求进行分析，可以更好地理解系统所需的功能、性能和可靠性要求等，其结果决定了产品各项指标能否符合用户要求，是系统设计成功的关键部分。
需求分析第一步的目的是将利益攸关者需求转换为定义系统达到所需功能的系统需求。可通过访谈、调查与文献调研等方式有效提高捕获系统利益攸关者需求的全面性与准确性。参考吴国伟［6］设计的基于SG的非能动余热排出系统设计需求与参数大致将捕获的需求分解为功能需求、性能需求、环境适应性需求和可靠性需求［6］，并借助需求图可将需求表示进一步条目化与模型化，如图2所示，图中id代表不同需求下子需求归属标识，仅代表分类作用。
图2 非能动余热排出系统需求图Fig.2 Requirements diagram of passive residual heat removal system
需求分析第二步是建立系统用例模型，用例模型主要功能是定义系统功能的使用环境以及系统固有的顶层功能需求。用例模型通常包括利益攸关者、用例与用例场景，其中利益攸关者是通过系统边界进行识别，可能是用户也可能是系统，用例是描述系统功能的一种模型，它描述了系统的一个或多个功能，以及它们之间的交互关系，用例场景描述一个或多个用户角色与系统进行交互的具体场景。即根据系统需求识别系统用例并定义用例场景，从而支持非能动余热排出系统架构设计。用例是利益攸关者能够直接触发或参与系统行为，只有这部分行为才需要使用用例建模［21］。首先识别非能动余热排出系统用例，假设一个系统S一共包含m个系统需求，记为SR={SR1，SR2，…，SRi，…，SRm}，1≤i≤m，建立l个用例U=(U1，U2，…，Uk，…，Ul)，1≤k≤l，第k个用例包含的需求个数为nk，则需满足：
理想情况下式（1）为等式。根据上述条件并结合系统需求将用例名称定义为建立余热排出稳定的自然循环，前置条件和后置条件分别为：余热排出系统正常工作，非能动余热排出系统处于备用状态与余热排出系统失效，二回路汽轮机等设备隔绝。此处PRHRS是在余热排出系统基础上设计自然循环冷却装置与连接管道，前者“余热排出系统”相比后者属于包含关系。从此角度出发通过系统边界识别系统利益攸关者如反应堆保护系统，一、二回路冷却剂系统，操作员等得出此用例，生成用例图如图3所示。
图3 非能动余热排出系统用例图Fig.3 Use case diagram of passive residual heat removal system
其次根据系统用例定义用例场景，用例场景需满足以下条件。假设第k个用例包含m个场景，记为SEk={SEk1，SEk2，…，SEki，…，SEkm}。第t个场景中包含的需求个数为rt，则需满足：
理想情况下式（2）为等式。根据上述条件和文献［6］中系统设计目标、工作原理与特点［22］，系统用例正常工作场景为：1）反应堆保护系统向非能动余热排除系统先后发出冷凝器下隔离阀与泄压阀阀位等控制信号；
2）非能动余热排出系统自动启动；
3）非能动余热排出系统先后向冷却剂系统注水排气；
4）已建立稳定的余热排出自然循环，通知操作员等待关闭信号。该用例只存在一个正常工作场景，其余不同于正常工作场景的都属于异常工作场景范畴。从识别系统用例到定义系统用例场景，此用例满足独立性与合适粒度原则的同时与系统行为紧密耦合，能够单独对系统行为进行推断与约束，具体用例描述如表1所示。
2.2 功能分析
功能分析的目的是分析系统自身运行状态和系统与外部的信息交互模式（即黑盒测试过程），进而搭建非能动余热排出系统功能架构。系统的功能架构表示了系统为实现用例所述功能而执行的各项任务或功能的顺序安排和并发行为［23］。在需求分析阶段的系统用例模型驱动下及文献［6］中系统工作原理，功能分析通过绘制时序图、活动图和状态图将功能性系统需求转换成直观图形化模型。通过时序图分析系统在不同使用场景下如何与外部进行交互，以及消息交换和动作执行的时间顺序。铅冷快堆非能动余热排出系统正常工作场景下时序图如图4所示，图中展示出反应堆保护系统，一、二回路冷却剂系统，操作员等利益攸关者在不同时刻每条生命线之间不同的交互情况。当非能动余热排出系统收到来自反应堆保护系统发出的各种信号时，非能动余热排除系统将自动解读相应信号并将相应的功能信息传递给执行者（利益攸关者），并将完成动作信息反馈给该系统。
图4 非能动余热排出系统时序图Fig.4 Time sequence diagram of passive residual heat removal system
站在系统整体功能的角度，时序图重点关注系统中特定部分之间随时间推移产生的信息交互。为展示系统用例连续的运行流程，需采用活动图对时序图逻辑上继续细化。非能动余热排除系统活动图比时序图更全面，如图5所示，当系统接收到反应堆保护系统信号时，非能动余热排出系统出现两种运行状态即自动启动成功和自动启动失败，当系统自动启动成功时，系统会自动建立余热排出自然循环。当系统接收信号失效时，系统立即报警并通知操作员手动启动。从接收反应堆保护系统信号开始到通知操作员等待关闭信号结束，图中相关功能可以同利益相关者需求相对应，从而实现需求、利益相关者及系统功能相互关联与相互追溯。
图5 非能动余热排除系统活动图Fig.5 Activity diagram of passive residual heat removal system
完成时序图和活动图之后，通过状态机图可看出所描述对象（非能动余热排出系统）在生命周期里随行为改变所引起状态的改变以及状态改变的条件。状态机的运行结果也是检验系统设计是否符合需求的重要手段之一。非能动余热排出系统状态机图如图6所示，图6描述非能动余热排出系统收到制动信号后由备用状态转为运行状态，启动失败时，系统立即报警并反馈至操作员请求手动启动。通过状态机图执行可以展示在信号触发下非能动余热排出系统产生的连锁反应，当故障信号注入时也可获取系统异常的状态响应，从而保证系统设计满足系统需求和利益攸关者的期望。
图6 非能动余热排出系统状态机图Fig.6 State machine diagram of passive residual heat removal system
2.3 设计综合
设计综合的目标是在整合功能分析阶段模型元素基础上进行系统架构分析与设计，将系统拆分成若干子系统的过程［24］。该过程主要建立子系统功能及各子系统间交互关系的白盒模型，具体包括权衡分析阶段、架构设计阶段和详细架构设计阶段。首先进行系统架构分析，根据确定系统作用、特征、限制、重要数据集合和来源等划分原则［25］，本文将非能动余热排出系统划分为自动控制子系统、手动控制子系统、警报子系统、逻辑判断子系统和执行子系统等5种分单元式子系统。当子系统存在多个备选架构方案时，须咨询有关方面专家综合考虑系统质量、成本、性能等指标，根据赋予权重原则进行权衡分析［26］，最后确定最佳架构方案。以非能动余热排出执行子系统为例，本文子系统组成方案参考文献［6］，初步确定组成为冷凝管采用逆流垂直式管壳型换热管、阀门、蒸汽发生器、一个大水池和一个小水池，其余相关材料可参考文献［6］。
其次进行系统架构设计，通过用模型的方式建立系统白盒模型。此阶段根据上述划分的5种单元式子系统以及举例建立非能动余热排出系统模块定义图（Block Definition Diagram，BDD），非能动余热排出系统模块定义图可用于确定系统中的子系统。可以通过将多个块组合成一个名为“子系统”的块来完成这个过程，这样做有助于前后设计人员明确模块划分、描述模块间的具体关系。图7初步展示了非能动余热排除系统内部逻辑架构与并将系统分配给各个子系统。
图7 非能动余热排出系统模块定义图Fig.7 Block definition diagram of passive residual heat removal system
在建立系统模块图的基础上，白盒模型需进一步细化，此时同样需要建立时序图、活动分析子系统之间的交互及子系统与外部的交互关系。此过程与功能分析阶段类似，此处不再赘述，但此处时序图是在活动图生成模型的基础上进行修改完善。建立白盒模型的关键是通过内部模块图（Internal Block Diagram，IBD）展示子系统间的信息传递关系与子系统间的端口和接口关系，帮助设计人员更好地理解系统的结构和功能，非能动余热排出系统内部模块图如图8所示。图8展示安全保护信号注入下，自动控制子系统接收信号并传给逻辑判断子系统，逻辑判断子系统将系统自动启动成功或失败反馈给自动控制子系统或手动控制子系统，随后执行子系统执行系统功能并将信号成功输出，实现白盒模型的转换。
图8 非能动余热排出系统内部模块图Fig.8 Internal block diagram of passive residual heat removal system
经图7与图8对比发现，BDD是IBD的基础：一个良好的IBD依赖于一个准确的BDD，BDD描述了系统中的块及其属性之间的关系，这些块在IBD中被表示为组件。因此，BDD通常是IBD的基础。通过定义块和它们之间的关系，BDD和IBD都有助于支持系统的需求分析。BDD可以用于描述非能动余热排出系统的高级结构，而IBD可以更详细地描述块之间的接口，它们彼此之间相互联系与完善，两者皆可展现部件架构信息和关系。
本研究针对铅冷快堆非能动余热排出系统采用传统基于文本为基线设计过程中遇到的诸如开发效率低、迭代周期长、模型二义性等前期需求问题展开分析。根据铅冷快堆非能动余热排出系统设计特点，将MBSE应用于铅冷快堆非能动余热排出系统设计需求过程进行架构设计。结合架构设计流程并采用分需求分析、功能分析、设计综合三阶段对铅冷快堆非能动余热排出系统进行层次式架构建模，能够有效解决铅冷快堆非能动余热排出系统构成复杂化、技术精细化和信息数据化所带来设计需求不一致与前期需求难以验证等问题，具体分析结果如下：
1）需求分析环节用需求图将捕获的非能动余热排出系统需求条目化并通过用例模型识别系统顶层用例和定义用例场景。
2）通过功能分析绘制的时序图、活动图分析实现功能所需展开的活动且利用状态机图执行能提供系统早期需求验证，从而提高设计迭代效率。
3）在设计综合阶段有序划分非能动余热排出系统子系统，同时采用模型图分析子系统功能及各子系统间交互关系，从而达到黑盒至白盒转换的目标，完成非能动余热排出系统架构的设计。
通过上述非能动余热排出系统建模结果，与传统基于文本的系统工程相比，将MBSE应用于铅冷快堆非能动余热排出系统设计需求研究中建立可需求同步的系统模型，保证了需求前后传递与转化更加标准化；
建立时序图、活动图以及状态机图仿真，早期能够从多个维度出发检验并确认系统模型，有效地解决了系统设计及体系结构前期难以验证的问题；
以统一图形化系统模型（需求图、用例图、活动图和内部模块定义图等）为基线贯穿整个系统的设计需求研究过程，能够提供迭代效率高、一致且完整的系统设计需求模型等初步优势。
铅冷快堆非能动余热排出系统设计正面临着多学科技术融合及系统复杂精细化等亟待数字化发展的挑战，MBSE的提出有利于系统设计完整、一致且可追溯性，进一步降低设计风险并提高设计效率。未来，可将MBSE与Simulink、NUMAP等仿真软件联合应用于铅冷快堆非能动余热排出系统的设计与优化研究中，为实现数字化铅冷快堆非能动余热排出系统提供崭新的解决方案。
作者贡献声明唐锚负责起草文章，酝酿和设计研究过程，分析；
赵鹏程负责对文章的知识性内容作批评性审阅，获取研究经费，指导；
李文杰负责支持性贡献；
王凯负责实施研究，技术支持。