R7-01 漏液防护：负压设计、检测与分区隔断

项目	内容
课程代码	R7-01
所属板块	R 算力中心与液冷 · R7 可靠性、漏液与运维
建议时长	3.0~3.5 学时
适合对象	要为液冷机房设计漏液防护的系统岗与结构岗；以及要在项目早期给出风险评估结论的项目岗
前置课程	R3-04 快接头：drip-less、UQD 与盲插 BMQC · R5-01 分配单元形态与选型
相关课程	R5-02 二次侧水质、压力与膨胀管理 · R7-02 在线维护与可维护性设计 · R7-03 监控、告警与运行策略
本讲义定位	讲师授课蓝本 / 学员自学讲义

本讲义定位　这是一门架构判据课，不是产品选型手册，也不是运维作业指导书。它要回答的是三个问题：漏液为什么不是既有风险的延续而是一整类新风险；负压、检测、隔断这三件事各自降的是什么、降不了什么；以及一套分层防护要成立，每一层必须写出哪一个可核对的数字。 ⛔ 它不给任何可以直接抄进方案的传感器阈值、响应时间定额、阀门动作时间与压力限值——那些随你选的产品型号、管路布置、液体种类与所在地作业安全要求变化，抄来的数字在你的现场既不成立也不能作为验收依据。 ⇒ 它给的是：一张把三类措施按降概率／降严重度分开的账、一个把「检测」「隔断」「后果」串成一条式子的外泄量骨架、一张能自己找出检测盲区的覆盖矩阵，以及每一处「本课不给数」的地方你自己去哪里拿到那个数。

---

按任务导航

你手上的事	直接看	还要配
要向不做液冷的人解释「为什么这次不一样」	第 1 讲 1.1~1.2	图1 后果落点对比
方案评审上被问「漏了会怎样」，要给一个分级回答	第 1 讲 1.3：泄漏形态谱	图2、第 4 讲 4.1 外泄量式
要把一堆措施排出优先级，说明各自管什么	第 1 讲 1.4：两条路径	图3、文末《常见误区》与第 6 讲 6.1 清单
方案里写了「采用负压设计」，我要核这句话成不成立	第 2 讲 2.1~2.3	图4 原理、图5 压力线
要判负压该覆盖到哪一段、代价能不能吃下	第 2 讲 2.3~2.5	图6 四项代价
要给机房选检测手段，说清各自能发现什么	第 3 讲 3.1~3.2	图7 覆盖矩阵
现有检测已经装了，我要找出它的盲区	第 3 讲 3.2、3.4	图7、图8
要写「发现时间」这个指标，不知道该写多少、该怎么核	第 3 讲 3.3 ＋ 第 4 讲 4.2	图8、图10
要论证「一次泄漏最多影响 N 台机柜」	第 4 讲 4.3：N_iso 与三种粒度	图10、第 6 讲 6.2
要定自动停泵的联锁逻辑，怕误动作	第 4 讲 4.4	图11 时间轴
要写应急预案的处置顺序	第 5 讲 5.2~5.3	图12 顺序时间轴
要给评审准备一页材料	第 6 讲 6.1	图3、图7、图10
本课不覆盖：接头本身的选型、残留量核算、盲插公差链	去向：R3-04 快接头	—
本课不覆盖：维护动作怎么做才不漏、在线换件的四个条件	去向：R7-02 在线维护与可维护性设计	—
本课不覆盖：告警怎么分级、上什么监控平台、值班响应流程	去向：R7-03 监控、告警与运行策略	—
本课不覆盖：液体本身的水质、缓蚀剂、膨胀与定压	去向：R5-02 二次侧水质、压力与膨胀管理	—
本课不覆盖：各类规范对漏液防护的条款内容与限值	去向：R8-01 标准全景 ＋ 你所在地现行有效版原文	—

---

符号与口径

本课要用到的量分三类：沿用兄弟课已定义的、本课新定义的、本课只提名字不给数的。⛔ 三类不能混。

一、沿用（⛔ 本课不重新定义、⛔ 不另起符号）

符号	含义	单位	口径属主与本课用法
P_rack	单机柜 IT 功率	kW	属主 R9-02。本课只用它做后果的分母：一次泄漏影响的算力＝受影响机柜数 × P_rack
N_dom	故障域，一台分配单元满配覆盖的机柜台数	台	属主 R9-02。本课用它判「泵停了会波及多少柜」，⛔ 不用它判泄漏波及范围（那是 N_iso）
N_iso	隔离单元规模，一次隔离动作要停的设备台数	台	属主 R7-02。本课直接沿用同一口径，用在另一个场景，见下方跨课提醒
V_res	一对接头断开一次暴露到大气侧的液体总量	mL	属主 R3-04。本课用它区分「维护动作带出来的液」与「泄漏跑出来的液」，见下方跨课提醒
Δp_支路	支路压降	kPa	属主 R3-02。本课只用它说明关阀之后其余支路的水力工况会变，⛔ 不给分配算法

二、本课新定义（都在首次出现处给足定义）

符号	含义	单位	首次定义处
q_leak	泄漏率，单位时间跑出回路的液体体积	mL/min	第 1 讲 1.3
q_det	某一种检测手段的最小可检漏率，低于它则该手段不会报警	mL/min	第 3 讲 3.3
t_det	发现时间，从泄漏开始到检测系统给出报警	min	第 3 讲 3.3
t_ack	确认时间，从报警到「决定要动作」这个判断做出	min	第 4 讲 4.2
t_iso	隔断时间，从下达动作到停泵与关阀真正执行完	min	第 4 讲 4.2
t_resp	总响应时间 ＝ t_det ＋ t_ack ＋ t_iso	min	第 4 讲 4.2
V_esc	累计外泄量，一次泄漏事件里最终跑到回路外的液体总体积	mL 或 L	第 4 讲 4.1
Δp_neg	负压裕度 ＝ 大气压 − 该点回路内绝对压力，为正表示该点是负压段	kPa	第 2 讲 2.2

三、⚠ 两条跨课口径提醒（⛔ 不许互代）

提醒一：V_esc 与 V_res 都是「跑到设备旁边的液体体积」，而它们的成因、可控性与归属完全不同。

	V_res（属主 R3-04）	V_esc（本课定义）
什么时候出现	维护动作发生时，人主动断开接头	失效发生时，没有人主动做任何事
大小由什么决定	接头的结构形式与阀芯状态，一次断开一个近乎固定的值	q_leak × t_resp，随时间增长、上不封顶
怎么减小	换接头形式、改布置、加承接	缩短 t_resp（检测＋隔断）或降低 q_leak（负压）
谁负责	接头选型与维护流程（R3-04、R7-02）	架构设计（本课）

⇒ ⛔ 最要命的互代是把 V_res 的量级拿来估 V_esc：前者是「一次几毫升到几十毫升」这个量级的固定值，后者在一次没被发现的持续渗漏里可以大出好几个数量级。拿接头规格书上的残留量去论证「就算漏了也没多少」，是本课要拆掉的第一个论证。

提醒二：N_iso 沿用 R7-02 的口径，但两门课把它用在方向相反的场景上。R7-02 用它衡量主动维护的代价（我要换一台设备，得停几台）；本课用它衡量被动失效的波及（漏了一处，最多波及几台）。口径是同一个——同一个可被单独断流的水力单元里有几台设备——所以两门课的数值可以直接对上。⚠ 但结论方向要反过来读：R7-02 里 N_iso 小意味着维护方便，本课里 N_iso 小意味着一次泄漏的损失上界低。⛔ 而 N_dom 是第三个量，它按分配单元的容量划分，与阀门位置无关，⛔ 不许拿它当泄漏波及范围。

---

引言：一句在评审会上很常见、而且是错的话

「我们选的是零滴漏接头，供应商给的残留量只有几毫升，所以漏液这件事影响可控。」

这句话里每一个事实都是真的，而结论是错的。它错在把一个维护动作的量级，安到了一个失效事件上。维护动作是有人在场、有承接、有预案、量级固定的；失效事件是没人在场、可能持续几小时、量级由时间决定的。两者唯一的共同点是「有液体出现在设备附近」，而这恰恰是最不重要的那个共同点。

本课要建立的判断链条只有一条式子，它贯穿六讲：

一次泄漏事件的后果 ≈ V_esc 落在什么位置 × 影响多少台设备，而 V_esc ＝ q_leak × t_resp。

这条式子把所有措施分成了三组，而且分得干干净净：

• 预防（材料相容、接头选型、装配工艺、压力测试）作用在「这件事发不发生」上，⛔ 它对已经发生的那一次没有任何贡献；
• 负压设计作用在 q_leak 与液体的走向上——破口出现时进去的是空气而不是出来的是液体；
• 检测与隔断作用在 t_resp 上——它们不改变泄漏发生的概率，只压缩泄漏持续的时长。

⇒ 于是本课的六讲就是这条式子的展开：第 1 讲说清后果为什么落在硬件上、以及形态谱；第 2 讲讲负压；第 3 讲讲检测（t_det）；第 4 讲把三层串成账并讲隔断（t_iso 与 N_iso）；第 5 讲讲链条的两端——预防与恢复；第 6 讲收尾成一页可核对的东西。

⚠ 本课的标准与规范一律只写去向、不写条款内容。液冷系统的漏液防护与检测要求散在若干技术规范类文件与开放规范里，其中多项在制或在修订，编号、现行版本与条款内容必须按现行有效版逐条核对。⇒ 全景与查法在 R8-01；本课不引用任何条款文字、不给任何限值，也不钉死任何版次年份。

---

第 1 讲　它是新增的失效模式，不是既有风险的延续

本讲要回答：为什么风冷机房里没有这个问题；液冷把液体送到了什么位置；泄漏有哪几种形态、它们的差别在哪；以及为什么这件事必须在架构阶段进方案、事后补检测补不回来。

1.1 风冷机房里，冷却介质泄漏不是一个失效模式

风冷机房的冷却介质是空气。这句话听起来是废话，但它的后果值得逐条列出来：

• 空气「泄漏」到机房里，就是它本来该去的地方——冷通道漏到热通道会损失效率，但不会损坏任何硬件；
• 风冷机房里确实有水，但水在另一个房间：冷冻水管、空调机组、加湿器。它们与 IT 设备之间隔着建筑分隔、隔着机房空调的机壳；
• 因此风冷世界里「水」这件事的处置方式是把它挡在外面：管路不进 IT 区、或者进也走机柜上方吊顶之外的路径、地板下设排水与检测。这是一个边界问题，而边界问题有一个非常干净的解——不让它进来。

⇒ 于是风冷时代形成的整套思维习惯是：水是外部威胁，防线是边界。而液冷做的事情，正好是把这条防线拆掉。

1.2 液冷把液体送到了哪里

按 R 板块前面几门课的分类，液冷有几种形态，而它们把液体送到的位置一个比一个深：

形态	液体最近到达的位置	与带电部件的关系
背板门式换热器	机柜背面门内，仍在机柜壳体外侧	隔着一层，但已经在机柜上（属主 R2-02）
冷板液冷	芯片正上方的冷板内，液体管路进入服务器机箱内部	⚠ 液体与带电元件之间只隔着冷板壳体与接头密封（属主 R3-01、R3-04）
浸没冷却	设备整体泡在液体里	液体与带电部件直接接触（属主 R4-01、R4-02）

⚠ 注意浸没在这张表里的位置是特殊的：它把「液体接触带电部件」变成了正常工况而不是失效，所以浸没的漏液问题形态与本课主线不同——它的关切是槽体密封、工质损失与蒸汽外逸，而不是「液体落在不该落的地方」。本课主线按冷板液冷来讲，因为它是液体最深入、而液体与带电部件又本该分开的那一类。⛔ 本课给出的判据不能不加区分地套到浸没上，去向 R4-01 与 R4-03。

于是新增的这一类失效模式，它的定义句是：在一个本该把液体与带电部件分开的架构里，两者之间的分隔失效了。

这张图要挡住的那个说法：「机房里本来就有水管，液冷不过是把水管修到机柜边上，没什么本质区别。」⇒ 本质区别是剩余分隔层数从两层以上变成了一层，而可靠性上「两层变一层」不是量的变化——它意味着不再有任何一层能在另一层失效时兜住后果。

1.3 泄漏的形态谱：⛔ 不是一种事，是一条谱

评审会上问「漏了会怎样」，答不上来通常不是因为不懂，而是因为这个问题没有单一答案。把泄漏按泄漏率 q_leak 铺成一条谱，答案就出来了。

q_leak　泄漏率 定义：单位时间内从回路跑到回路外的液体体积，单位 mL/min。 ⚠ 它是本课自建的组织量，用来把泄漏形态排成一条可比较的轴，⛔ 它不是任何标准里的术语，也⛔ 不对应任何产品规格上的参数名。

沿这条轴，工程上真正需要分开处置的是三段：

第一段：渗漏。形态是密封面缓慢渗出、接头处「出汗」、软管微裂。它的特征是量小、持续时间长、位置固定。⚠ 它是三段里最危险的一段，原因有三条，而且每一条都反直觉：

1. 它不触发任何以「量」为判据的检测——压力表看不出、流量计看不出，因为这个量级远在测量噪声之下；
2. 它有时间把液体送到最坏的位置——一次喷射会把液体甩得到处都是，而一处渗漏会反复滴在同一个点上，那个点通常就是它正下方的那块板；
3. 它的后果往往被误判成别的东西——设备出故障了，第一反应是硬件失效或者电源问题，很少有人第一时间去看是不是有液体。⇒ 这一条直接对应本课第 5 讲要复盘的教学案例。

第二段：滴漏与小破口。形态是接头松脱、O 形圈失效、软管接口开裂。特征是量中等、可能被检测发现、位置可能扩散。这一段是检测手段的主战场——绝大多数检测方案的设计工况就落在这里。

第三段：爆管与大破口。形态是软管爆裂、快接头脱开、冷板壳体破裂。特征是量大、瞬时、必然被发现。⚠ 这一段有一个容易被忽略的性质：它是三段里最容易检测的，但也是唯一一段里「检测得多快」直接决定损失有多大的。前两段里损失主要由「漏在哪儿」决定，这一段里损失由 q_leak × t_resp 主导，而 q_leak 大到一定程度之后，t_resp 里的每一分钟都很贵。

⚠ 这条谱不是本课发明的物理规律，它是一个组织工具：真实的泄漏事件不会自己贴标签说「我是第二段」，而且一处渗漏可能在几小时后发展成一处破口。⇒ 它的用法是逼你把措施逐段核一遍——你的方案对三段各有什么对应措施，哪一段是空的。空的那一段就是你的风险所在，而它通常是第一段。

1.4 一条式子把措施分成两条互不相干的路径

风险的通用分解式在工程上很常见：

风险 ＝ 发生概率 × 后果严重度

⚠ 这是一个定性框架，用来组织措施，⛔ 不是用来算出一个数值风险分再拿去排序的。本课用它只做一件事：把措施钉到它实际作用的那一侧去。

措施	作用在哪一侧	⛔ 它不作用在
材料相容性核对	概率（避免溶胀、龟裂、腐蚀导致的密封失效）	一旦漏了，它不减轻任何后果
接头选型与装配工艺	概率	同上
出厂与现场压力测试	概率（把早期失效筛出去）	同上
负压设计	严重度（破口处液体不外喷，甚至不外流）	⛔ 它完全不降低密封失效的概率
检测	严重度（缩短 t_det，从而缩短 t_resp）	⛔ 它同样不降低概率，一处已经在渗的地方不会因为装了传感器就不渗
分区隔断	严重度（限制 q_leak 持续时间与波及范围 N_iso）	⛔ 不降低概率
应急预案与演练	严重度（缩短 t_ack 与 t_iso）	⛔ 不降低概率

这张表要挡住的两个论证：

• ⛔ 「我们做了负压，所以泄漏风险很低」——负压降的是右边那一项，左边那一项一点没动。⇒ 一个做了负压但接头选型和装配工艺都很随意的系统，漏的次数一点不会少，只是每次漏得没那么惨。
• ⛔ 「我们的接头是行业顶级的，所以不需要做检测」——好接头降的是左边那一项。⇒ 概率降到很低仍然不是零，而严重度那一侧在这个方案里等于没有任何措施，于是那一次终究会发生的泄漏，后果是完全敞开的。

1.5 为什么必须在架构阶段进方案

有一个很自然的想法：架构先按能跑通去做，漏液防护后面再补——反正检测线是可以后加的。

这句话有一半是对的，而对的那一半正好是不重要的那一半。

可以后加的：检测线、传感器、报警接入。它们作用在 t_det 上。 后加不了的，至少有四样，而它们都作用在更前面：

1. 负压设计——它决定于泵放在哪里、膨胀装置接在哪里、回路怎么走。⇒ 这是拓扑，改拓扑等于重做二次侧（属主 R5-02 的定压与膨胀，本课第 2 讲讲位置）；
2. 分区粒度 N_iso——它决定于阀装在哪一级。⇒ 阀的位置在管路图上，事后要加就得动管路，而管路已经在机柜之间架好了；
3. 液体走向——漏出来的液体往哪儿流，取决于机柜内托盘的形状、有没有导流与承接、走线开孔在哪儿。⇒ 这是结构，属于机柜与服务器的机械设计，事后完全改不动；
4. 联锁能力——泵能不能被自动停、阀是不是电动的、控制系统收不收得到检测信号。⇒ 这是电气与控制的接口，事后加要动控制柜。

⇒ 于是「事后加检测」这件事的真实效果，用本课的式子说得很清楚：它只压缩 t_resp 里的 t_det 一项，而 q_leak 与波及范围 N_iso 一点没动。 ⚠ 而且第 3 讲会看到，t_det 里往往不是传感器的响应时间在主导，主导的是「液体从破口流到传感器要多久」，而那个时间由结构决定——也就是说，连 t_det 这一项，事后能压缩的部分也是有限的。

1.6 本讲小结

1. 差别不是「有没有水」，是还剩几层分隔：风冷两层以上，冷板液冷只剩一层 ⇒ 漏液是一整类新失效模式（1.1、1.2、图1）。
2. 泄漏是一条谱，三段的后果主导因素不同、措施必须分段核；⚠ 三类常用检测手段的可检下限全部落在渗漏段右侧（1.3、图2）。
3. 措施分成降概率与降严重度两条互不替代的路径；核法＝把每条钉到一侧，看哪一侧是空的（1.4、图3）。
4. 只有检测线能事后加，负压拓扑、分区粒度、液体走向、联锁能力四样必须在架构阶段定（1.5）。