核安全的简要历史和若干基本概念汤搏10月.ppt

核安全的简要历史和核安全的简要历史和若干基本概念若干基本概念汤汤 搏搏20132013年年1010月月序序 言言 “他们说航海有危险，但实际他们说航海有危险，但实际上生活中总是充满危险。他们不上生活中总是充满危险。他们不懂得船，所以他们不懂得航海。懂得船，所以他们不懂得航海。”独自驾帆船环球航海独自驾帆船环球航海的的1616岁荷兰小姑娘劳拉岁荷兰小姑娘劳拉德克尔德克尔一、安全的基本概念一、安全的基本概念 1.1.安全是人类永恒的问题安全是人类永恒的问题 自人类诞生以来，人类就一直面临着自人类诞生以来，人类就一直面临着安全问题。远古的人类面临的是食物短安全问题。远古的人类面临的是食物短缺、野兽和疾病威胁等缺、野兽和疾病威胁等自然自然灾害灾害，近代近代人类人类又又面临着战争面临着战争、环境问题等、环境问题等附加人附加人为灾害。未来的人类是否会考虑小行星为灾害。未来的人类是否会考虑小行星撞击以及其它现在未知的威胁？撞击以及其它现在未知的威胁？2.2.安全是一个相对的概念安全是一个相对的概念 既然人类要永恒面既然人类要永恒面对对安全问题，则安安全问题，则安全一定是一个相对的概念，而绝对的安全一定是一个相对的概念，而绝对的安全是不存在的。全是不存在的。衡量衡量一件事情是否安全，只能放在其一件事情是否安全，只能放在其所处环境中，与其它事情比较才有意义。所处环境中，与其它事情比较才有意义。孤立地讨论一件事情的安全与否无法得孤立地讨论一件事情的安全与否无法得出有意义的结论。出有意义的结论。3.3.安全是一个变化的概念安全是一个变化的概念 随着人类所处环境的变化，人们对一随着人类所处环境的变化，人们对一件事情的安全评判也会发生变化。如处件事情的安全评判也会发生变化。如处于饥饿状态的人更多地考虑的是食物的于饥饿状态的人更多地考虑的是食物的获得，而不是食物的卫生。现在的人类获得，而不是食物的卫生。现在的人类也不会更多地考虑小行星的撞击，但未也不会更多地考虑小行星的撞击，但未来很可能会。来很可能会。4.4.需要为安全建立度量需要为安全建立度量 为了比较不同事情的安全水平，一定为了比较不同事情的安全水平，一定要建立一要建立一个安全的度量个安全的度量。如果一件事情的不利后果已发生，我如果一件事情的不利后果已发生，我们将其称为们将其称为“灾难灾难”。当然灾难之间是。当然灾难之间是可以比较的，但存在的问题是仅仅考虑可以比较的，但存在的问题是仅仅考虑灾难的话，人类的生活将是悲观的。如灾难的话，人类的生活将是悲观的。如已知的约已知的约65006500万年前的小行星撞击导致万年前的小行星撞击导致了包括恐龙在内的大多数生物灭绝，未了包括恐龙在内的大多数生物灭绝，未来来不能排除发生类似的撞击，那么人类的不能排除发生类似的撞击，那么人类的生活还有何意义呢？生活还有何意义呢？当然我们直观地意识到虽然撞击后果当然我们直观地意识到虽然撞击后果很严重，但可能性很低。很严重，但可能性很低。这样我们就可这样我们就可以看到以看到，我们通常考虑安全是从后果和我们通常考虑安全是从后果和可能性两方面考虑的。可能性两方面考虑的。我们将一件事情可能的我们将一件事情可能的不利后果和不利后果和发发生概率生概率的乘积称为的乘积称为“风险风险”。科学界大。科学界大多数同意将风险作为安全的度量指标。多数同意将风险作为安全的度量指标。核安全是所有安全问题的组成部分，核安全是所有安全问题的组成部分，也必须按照同样的方式思考问题。也必须按照同样的方式思考问题。5.5.安全是控制风险而不是消除风险安全是控制风险而不是消除风险 既然不存在绝对安全，则安全一定是既然不存在绝对安全，则安全一定是将风险控制在可接受程度，而不是彻底将风险控制在可接受程度，而不是彻底消除风险。消除风险。还必须注意到的是还必须注意到的是“凡事有一利则有凡事有一利则有一弊一弊”。“一件事情带给我们的利益足够一件事情带给我们的利益足够大，而其代价可承受，我们则认为大，而其代价可承受，我们则认为该件事情是安全的该件事情是安全的”。“安全是利益和代价的平衡安全是利益和代价的平衡”。二、核安全的简要历史二、核安全的简要历史 1.SCRAM-1.SCRAM-防止链式反应失控防止链式反应失控 在建设世界上第一座反应堆芝加哥在建设世界上第一座反应堆芝加哥1 1号号时，费米等核物理学家担心的是一旦链时，费米等核物理学家担心的是一旦链式反应被触发，能否得到控制。所以反式反应被触发，能否得到控制。所以反应堆设置了两套自动控制和一套手动控应堆设置了两套自动控制和一套手动控制系统，同时设置了一个安全控制棒斧制系统，同时设置了一个安全控制棒斧头人（头人（S Safety afety C Control ontrol R Rod od A Axe xe M Man,an,SCRAMSCRAM），时刻准备砍断吊挂着安全控制），时刻准备砍断吊挂着安全控制棒的绳索，以棒的绳索，以“防止链式反应失控防止链式反应失控”。2.2.设计裕度设计裕度-纵深防御概念的起源纵深防御概念的起源 在芝加哥在芝加哥1 1号建设时，位于汉福特的号建设时，位于汉福特的军用生产堆也在紧张建设过程中。军用军用生产堆也在紧张建设过程中。军用生产堆的建设是由杜邦公司负责的。虽生产堆的建设是由杜邦公司负责的。虽然核物理学家们对自己的计算都很有信然核物理学家们对自己的计算都很有信心，但承建反应堆的化学工程师们则根心，但承建反应堆的化学工程师们则根据工业经验表示质疑，坚持在工程中保据工业经验表示质疑，坚持在工程中保留设计裕度，采用冗余等手段，这被视留设计裕度，采用冗余等手段，这被视为为“纵深防御纵深防御”概念的起源。概念的起源。3.3.最坏的可想象事故最坏的可想象事故-远距离厂址政策远距离厂址政策 在早期的研究堆和生产堆主要服务于在早期的研究堆和生产堆主要服务于军事用途，且主要位于偏远地区的状况军事用途，且主要位于偏远地区的状况下，为保证公众安全，核安全管理采取下，为保证公众安全，核安全管理采取的是考虑的是考虑“最坏的可想象事故最坏的可想象事故”，即全，即全堆芯熔化，并且不考虑任何包容来评价堆芯熔化，并且不考虑任何包容来评价所需要的禁区半径。所需要的禁区半径。AECAEC推荐的禁区半径推荐的禁区半径是：是：R R（milemile）=0.01=0.01 反应堆堆芯热功率反应堆堆芯热功率（KwKw）0.50.5。这个公式被称为这个公式被称为“指数原则指数原则”。毫无疑问，为满足指数原则，厂址必毫无疑问，为满足指数原则，厂址必须选择在远离居民区的地方，所以这时须选择在远离居民区的地方，所以这时的核安全管理又称为的核安全管理又称为“远距离厂址政策远距离厂址政策”（remote sitremote sitinging）。）。4.4.安全壳安全壳-工程安全设施工程安全设施 1952 1952年，美国要在离纽约州圣莱克迪年，美国要在离纽约州圣莱克迪镇镇1919英里的克诺斯原子能实验室建设一英里的克诺斯原子能实验室建设一座潜艇用原型钠冷反应堆，这不能够满座潜艇用原型钠冷反应堆，这不能够满足远距离厂址概念。因此反应堆采用了足远距离厂址概念。因此反应堆采用了球型钢制球型钢制安全壳作为安全措施，美国原安全壳作为安全措施，美国原委会接受了这一做法，但此时仍然不将委会接受了这一做法，但此时仍然不将这样的措施作为距离隔离概念的有效替这样的措施作为距离隔离概念的有效替代。由于这是采用代。由于这是采用“工程措施工程措施”解决解决“安全安全问题问题”，因而产生了一个术语，因而产生了一个术语“工程安全工程安全设施设施”。5.5.可信事故可信事故-设计基准事故的基础设计基准事故的基础 1953 1953年代，美国开始考虑核电建设。即年代，美国开始考虑核电建设。即使考虑了安全壳这样的使考虑了安全壳这样的“工程安全设施工程安全设施”，后果仍然不能承受（，后果仍然不能承受（AECAEC语：语：“除了离人除了离人口中心几百英里的地方，否则无法选到核口中心几百英里的地方，否则无法选到核电厂址），此时电厂址），此时AECAEC（原委会）（原委会）开始用开始用“可可信事故信事故”的概念替代的概念替代“最坏的可想象事故最坏的可想象事故”。可信事故的选择基于可信事故的选择基于AECAEC专家的判断，但专家的判断，但一个基本前提是只考虑单一设备的损坏，一个基本前提是只考虑单一设备的损坏，如某根管道的破裂或某个泵的故障如某根管道的破裂或某个泵的故障。对于某些人质疑的对于某些人质疑的“多设备故障多设备故障”问题，问题，AECAEC只简单地解释只简单地解释“我们认为不可信我们认为不可信”（概率风险分析概率风险分析技术的发展和三哩岛事故技术的发展和三哩岛事故将改变一些基本认识，后续讨论）。将改变一些基本认识，后续讨论）。可信事故构成了可信事故构成了“设计基准事故设计基准事故”概念概念和和“确定论安全要求确定论安全要求”的重要基础，可信的重要基础，可信事故和工程安全设施概念的采用才使核电事故和工程安全设施概念的采用才使核电的建设成为可能。的建设成为可能。对轻水堆核电厂，由于认为对轻水堆核电厂，由于认为LBLOCALBLOCA（大（大破口失水事故）破口失水事故）导致的后果最严重，导致的后果最严重，LBLOCALBLOCA成为所谓成为所谓“最大可信事故最大可信事故”。6.6.选址源项选址源项-TID-14844-TID-14844 建设核电还有其他需要确定的问题，建设核电还有其他需要确定的问题，如事故工况下的放射性源项。如事故工况下的放射性源项。19621962年，年，AECAEC发表了针对轻水堆的源项报告发表了针对轻水堆的源项报告TID-TID-1484414844，假设在事故工况下堆芯假设在事故工况下堆芯100%100%的惰的惰性气体、性气体、50%50%的放射性碘，以及的放射性碘，以及1%1%的其他的其他放射性产物进入安全壳，而放射性产物进入安全壳，而50%50%的放射性的放射性碘因为沉积等原因去掉碘因为沉积等原因去掉50%50%，按，按0.1%0.1%安全安全壳体积泄漏率释放，用以评价核电厂址壳体积泄漏率释放，用以评价核电厂址的适宜性。的适宜性。7.7.中国综合症中国综合症-应急堆芯冷却系统应急堆芯冷却系统 1960 1960年代中期，年代中期，核电开始向大型化方向核电开始向大型化方向发展发展，这时，这时ACRSACRS开始质疑，开始质疑，即即在堆芯熔化在堆芯熔化后，后，安全壳能否真正起到包容作用。一个安全壳能否真正起到包容作用。一个关心的焦点是堆芯熔融物可能熔穿安全壳关心的焦点是堆芯熔融物可能熔穿安全壳底板。由于开玩笑地说最终会熔穿地球从底板。由于开玩笑地说最终会熔穿地球从而到达中国，这种现象又被称为而到达中国，这种现象又被称为“中国综中国综合症合症”。为了避免中国综合症，需要避免堆芯熔为了避免中国综合症，需要避免堆芯熔化，所以应急堆芯冷却系统非常重要化，所以应急堆芯冷却系统非常重要。大量的试验研究被开展，其中最著名大量的试验研究被开展，其中最著名的是的是“LOFTLOFT”（loss of fluid testloss of fluid test），），即对即对LOCALOCA事故下堆芯冷却剂丧失工况开事故下堆芯冷却剂丧失工况开展试验研究，研究的结果被用于改进应展试验研究，研究的结果被用于改进应急堆芯冷却系统的设计。急堆芯冷却系统的设计。为了进一步改进应急堆芯冷却系统的为了进一步改进应急堆芯冷却系统的可靠性，可靠性，19671967年，在德累斯顿年，在德累斯顿2 2号机的应号机的应急堆芯冷却系统上采用了冗余设计。这急堆芯冷却系统上采用了冗余设计。这种做法最后被发展为确定论安全要求中种做法最后被发展为确定论安全要求中著名的著名的“单一故障准则单一故障准则”。8.8.冗余冗余-单一故障准则的形成单一故障准则的形成 1961967 7年代，在德累司顿年代，在德累司顿2 2号机组堆芯应号机组堆芯应急冷却系统的中，为了提高可靠性，参急冷却系统的中，为了提高可靠性，参考航空航天业的做法，考航空航天业的做法，采用了系统冗余采用了系统冗余设计设计。19711971年，单一故障准则被纳入联年，单一故障准则被纳入联邦法规。邦法规。SBO SBO和和ATWSATWS事故表明，单一故障准则的事故表明，单一故障准则的要求并不平衡，但由于其简明性、可操要求并不平衡，但由于其简明性、可操作性、经济可接受性，目前仍然是确定作性、经济可接受性，目前仍然是确定论安全要求的一个重要准则。论安全要求的一个重要准则。但近些年但近些年美国正在考虑对其进行风险导向基础上美国正在考虑对其进行风险导向基础上的修改的修改。9.9.质量分组质量分组-质量保证要求质量保证要求 1960 1960年代末期，年代末期，ACRSACRS在勃朗在勃朗 费里核电费里核电厂的听证中，开始关注安全系统的可靠厂的听证中，开始关注安全系统的可靠性和质量问题。为此性和质量问题。为此AECAEC借鉴美国军方在借鉴美国军方在核武器研发过程中的经验，提出对安全核武器研发过程中的经验，提出对安全系统和设备的系统和设备的“质量保证质量保证”要求，要求，要求要求核电厂要对安全构筑物和系统进行核电厂要对安全构筑物和系统进行“质质量分组量分组”。19701970年，质量保证条款被正年，质量保证条款被正式列入联邦法规。式列入联邦法规。ASMEASME也制订了相关的也制订了相关的“安全级安全级”设备标准以满足设备标准以满足“质量分组质量分组”要求。要求。10.10.GDC-GDC-确定论安全要求的形成确定论安全要求的形成 1971 1971年代，美国联邦法规年代，美国联邦法规10CFR50 10CFR50 APPENDIX AAPPENDIX A正式颁布。正式颁布。APPENDIX AAPPENDIX A确立了确立了5858个个GDC(general design criterion)GDC(general design criterion)，这标志着这标志着“确定论安全要求确定论安全要求”基本形成。基本形成。安全要求演化到此时，人们的认识是堆安全要求演化到此时，人们的认识是堆芯熔化的事故已经不可能发生，芯熔化的事故已经不可能发生，或着说或着说不不可信，直到三哩岛事故才开始改变认识。可信，直到三哩岛事故才开始改变认识。11.11.WASHWASH-1400-1400-概率风险评价的奠基石概率风险评价的奠基石 1974 1974年，年，AECAEC发表了发表了WASH1400WASH1400“反应堆安反应堆安全研究全研究”。WASH1400WASH1400率先全面使用概率风险率先全面使用概率风险评价评价（PRAPRA）方法来研究核电厂的安全，其方法来研究核电厂的安全，其主要结论包括核电厂的风险主要来自于严主要结论包括核电厂的风险主要来自于严重事故的剩余风险，多重故障可能导致堆重事故的剩余风险，多重故障可能导致堆芯熔化，小破口事故可能风险更大等。芯熔化，小破口事故可能风险更大等。由于概率风险评价方法与确定论安全要由于概率风险评价方法与确定论安全要求有着很大差异，且其本身存在着不确定求有着很大差异，且其本身存在着不确定性（其实确定论安全要求也存在很大不确性（其实确定论安全要求也存在很大不确定性），因而定性），因而WASHWASH-14001400引起了很大的争引起了很大的争议，后续成立的议，后续成立的NRCNRC（核管会）（核管会）被迫宣布被迫宣布收回收回WASHWASH-14001400报告。报告。但概率风险评价方法为观察核安全问题但概率风险评价方法为观察核安全问题提供了一个全新的、系统的和更全面的视提供了一个全新的、系统的和更全面的视角，时至今日产生了广泛、深刻的影响。角，时至今日产生了广泛、深刻的影响。12.12.AECAEC的解体的解体-核安全监管的独立性核安全监管的独立性 LOFT LOFT试验的结果表明，早期核电厂应急试验的结果表明，早期核电厂应急堆芯冷却系统的注入水可能被破口大量旁堆芯冷却系统的注入水可能被破口大量旁路，以至于堆芯不能得到足够的冷却。路，以至于堆芯不能得到足够的冷却。这个结果使这个结果使AECAEC陷入困境，因为已有数十陷入困境，因为已有数十个核电机组建成或在建。个核电机组建成或在建。AECAEC质疑试验结果质疑试验结果的的合理性合理性，要求将结果保密，但结果还是，要求将结果保密，但结果还是被泄漏，被泄漏，AECAEC丧失了社会公信力。丧失了社会公信力。1974 1974年，美国通过年，美国通过“能源重组法能源重组法”将将AECAEC分解为分解为ERDAERDA（今（今DOEDOE）和）和NRCNRC。13.13.三哩岛事故三哩岛事故-严重事故是可信的严重事故是可信的 1979 1979年，美国宾西法尼亚州的三哩岛核年，美国宾西法尼亚州的三哩岛核电厂发生了严重事故，事故导致了约电厂发生了严重事故，事故导致了约2/32/3的的堆芯熔毁。虽然三哩岛事故并没有导致堆芯熔毁。虽然三哩岛事故并没有导致“可可察觉的厂外影响察觉的厂外影响”，但三哩岛事故严重冲击，但三哩岛事故严重冲击了以往的信念，即堆芯熔化事故是不可能了以往的信念，即堆芯熔化事故是不可能发生的。发生的。三哩岛事故后，安全研究的重点集中在三哩岛事故后，安全研究的重点集中在SBLOCASBLOCA（小破口失水事故）（小破口失水事故）、人因、规程、人因、规程等方面，特别是核电厂严重事故的研究。等方面，特别是核电厂严重事故的研究。由于由于WASH1400WASH1400中曾经预言了与三哩岛事中曾经预言了与三哩岛事故相类似的事故序列，特别是作为严重事故相类似的事故序列，特别是作为严重事故研究必不可少的工具，故研究必不可少的工具，PRAPRA技术再次得技术再次得到高度重视。美国在三哩岛事故后开展了到高度重视。美国在三哩岛事故后开展了三哩岛行动计划、三哩岛行动计划、IPEIPE（independent independent plant evaluationplant evaluation）和）和IPEEEIPEEE（IPE for IPE for external eventsexternal events计划），为了支持计划），为了支持IPEIPE计计划的开展，美国划的开展，美国NRCNRC发表了发表了NUREGNUREG-11501150报报告，选取了告，选取了5 5个典型核电厂完成了个典型核电厂完成了PRAPRA。这。这个报告成为个报告成为PRAPRA的经典报告，也为许多安的经典报告，也为许多安全要求的制订提供了基础。全要求的制订提供了基础。14.14.ATWSATWS和和SBO-SBO-确定论安全要求的困境确定论安全要求的困境 1980 1980年代，由于发生了若干起控制棒下年代，由于发生了若干起控制棒下落故障，人们开始研究落故障，人们开始研究ATWSATWS（未能紧急停（未能紧急停堆的预期瞬态）问题。堆的预期瞬态）问题。ATWSATWS表明，即使保表明，即使保护系统满足了安全分级、冗余的要求，其护系统满足了安全分级、冗余的要求，其可靠性仍然不足。可靠性仍然不足。ATWSATWS发生的频率约发生的频率约每每堆堆年年1010-4-4，大大高于设计基准事故发生频率，大大高于设计基准事故发生频率的下限，但由于设计基准事故基于单一设的下限，但由于设计基准事故基于单一设备失效的考虑，特别是为避免核电厂设计备失效的考虑，特别是为避免核电厂设计的极端复杂化，对的极端复杂化，对ATWSATWS的缓解的缓解提出了变通提出了变通的要求。的要求。SBO SBO（丧失全部交流电源）（丧失全部交流电源）的情况也类的情况也类似。如果将似。如果将SBOSBO划为设计基准事故，按照划为设计基准事故，按照确定论安全要求的保守处理，则需设置额确定论安全要求的保守处理，则需设置额外的安全级、冗余的应急电源。外的安全级、冗余的应急电源。这些事例表明，确定论安全要求存在内这些事例表明，确定论安全要求存在内在的逻辑缺陷和不自恰，但是改变确定论在的逻辑缺陷和不自恰，但是改变确定论安全要求又存在极大的困难和挑战。安全要求又存在极大的困难和挑战。确定论安全要求为主，概率论方法做补确定论安全要求为主，概率论方法做补充的思想是这一段时间所产生的。充的思想是这一段时间所产生的。15.15.切尔诺贝利事故切尔诺贝利事故-安全文化的诞生安全文化的诞生 1986 1986年，前苏联切尔诺贝利核电厂发生年，前苏联切尔诺贝利核电厂发生了严重事故，事故导致极其严重的环境和了严重事故，事故导致极其严重的环境和人员后果。人员后果。IAEAIAEA专家组在调查切尔诺贝利专家组在调查切尔诺贝利核电厂事故原因时，认为前苏联从体制层核电厂事故原因时，认为前苏联从体制层面到人员观念上存在着极大的欠缺，这种面到人员观念上存在着极大的欠缺，这种体制和人员观念的欠缺被委婉地称之为缺体制和人员观念的欠缺被委婉地称之为缺乏乏“安全文化安全文化”。19881988年，年，IAEAIAEA在在75-75-INSAG-3INSAG-3核电安全的基本原则核电安全的基本原则中明确提中明确提出了出了“安全文化安全文化”的概念。的概念。16.16.安全目标安全目标-多安全是足够的？多安全是足够的？三哩岛事故表明，由于不存在绝对安全，三哩岛事故表明，由于不存在绝对安全，期望使用一种期望使用一种“确定的确定的”表述方法向人们表达表述方法向人们表达核电厂的安全水平最终会陷入困境。对于政核电厂的安全水平最终会陷入困境。对于政府、核电建设者以及公众，都需要一种合理府、核电建设者以及公众，都需要一种合理的度量，为核电厂确定一个可接受的安全水的度量，为核电厂确定一个可接受的安全水平。平。19861986年，年，NRCNRC发表了有关安全目标的政发表了有关安全目标的政策声明，确定了两个策声明，确定了两个“千分之一千分之一”附加风险的附加风险的定量安全目标，用以衡量可接受的安全水平定量安全目标，用以衡量可接受的安全水平（风险）风险），而所谓，而所谓“熔堆频率熔堆频率”、“大规模放大规模放射性释放频率射性释放频率”成为辅助指导值。成为辅助指导值。美国的定量安全目标美国的定量安全目标 对对紧邻核电厂的正常个体成员紧邻核电厂的正常个体成员来说，由于反应堆事故所导致立即来说，由于反应堆事故所导致立即死亡的风险不应该超过美国社会成死亡的风险不应该超过美国社会成员所面对的其它事故所导致的立即员所面对的其它事故所导致的立即死亡风险总和的千分之一；死亡风险总和的千分之一；对对核电厂邻近区域的人口来说，核电厂邻近区域的人口来说，由于核电厂运行所导致的癌症死亡由于核电厂运行所导致的癌症死亡风险不应该超过其它原因所导致癌风险不应该超过其它原因所导致癌症死亡风险总和的千分之一。症死亡风险总和的千分之一。17.17.PRAPRA技术政策技术政策-从风险的角度看问题从风险的角度看问题 1995 1995年，年，NRCNRC发表了有关在核安全监管中发表了有关在核安全监管中更多使用更多使用PRAPRA的政策声明，鼓励在核安全事的政策声明，鼓励在核安全事物中更多地采用物中更多地采用PRAPRA技术，技术，19901990年代末，年代末，NRCNRC发布了发布了RG1.174RG1.1741.1781.178，对风险准则、，对风险准则、在役检查、质量保证、维修、在役试验、在役检查、质量保证、维修、在役试验、技术规格书等方面使用技术规格书等方面使用PRAPRA技术给出指导。技术给出指导。目前目前NRCNRC正致力于建立正致力于建立performance-based performance-based and risk-informedand risk-informed的核安全法规体系。的核安全法规体系。从从风险的角度看问题将引起核安全理念和管风险的角度看问题将引起核安全理念和管理模式的巨大改变理模式的巨大改变。18.18.福岛核事故福岛核事故-再一次需要转变？再一次需要转变？外部事件导致的严重事故外部事件导致的严重事故、事故对环境事故对环境影响的可接受程度、影响的可接受程度、？19.19.研究性反应堆研究性反应堆 巨大的设计差异、简单粗略的法规和标巨大的设计差异、简单粗略的法规和标准、准、。如何合理地确定具体安全要求？如何合理地确定具体安全要求？概率风险分析技术是否应起到更大的作概率风险分析技术是否应起到更大的作用？用？三、确定论核安全要求三、确定论核安全要求 1.1.什么是确定论安全要求什么是确定论安全要求 “确定论安全要求确定论安全要求”是英文是英文“Deterministic approach”Deterministic approach”或或“Deterministic requirements”Deterministic requirements”的翻译。的翻译。这个翻译容易引起误导，更准确的译法应这个翻译容易引起误导，更准确的译法应该是该是“已确定的安全要求已确定的安全要求”。确定论安全要求是以纵深防御概念为基确定论安全要求是以纵深防御概念为基础，以保证三项基本安全功能为目的，针础，以保证三项基本安全功能为目的，针对一套确定的设计基准工况，采用保守的对一套确定的设计基准工况，采用保守的假设和分析方法，以确认满足特定验收准假设和分析方法，以确认满足特定验收准则的一套方法。则的一套方法。2.2.纵深防御概念纵深防御概念 纵深防御概念是核电厂安全所遵循的基纵深防御概念是核电厂安全所遵循的基本核安全理念，它的基本点就是使核电厂本核安全理念，它的基本点就是使核电厂中所有与安全有关的事项都置于多重防御中所有与安全有关的事项都置于多重防御措施之下，即使一道措施失效，还有另外措施之下，即使一道措施失效，还有另外的措施来补偿。纵深防御概念一个最广为的措施来补偿。纵深防御概念一个最广为人知的应用是多道屏障。人知的应用是多道屏障。目前核电厂总体上通常设置五道纵深防目前核电厂总体上通常设置五道纵深防御的层次：御的层次：（1 1）第一个层次是采用保守的设计、可）第一个层次是采用保守的设计、可靠的质量和严格的运行来预防偏离正常运靠的质量和严格的运行来预防偏离正常运行和预防系统失效；行和预防系统失效；（2 2）第二个层次是设置必要的监测系统）第二个层次是设置必要的监测系统和保护系统来纠正可能的偏离正常运行；和保护系统来纠正可能的偏离正常运行；（3 3）第三个层次是设置必要的工程安全）第三个层次是设置必要的工程安全设施和事故规程来对付可能性极低，但假设施和事故规程来对付可能性极低，但假想会发生的设计想会发生的设计基准事故；基准事故；（4 4）第四个层次是采用合理可行的措施，）第四个层次是采用合理可行的措施，包括必要的硬件和软件来对付超设计包括必要的硬件和软件来对付超设计基准事故，以进一步提高核电厂的安全基准事故，以进一步提高核电厂的安全水平水平；（5 5）第五个层次，也是最后一个层次）第五个层次，也是最后一个层次是采用应急计划来对工作人员和公众提是采用应急计划来对工作人员和公众提供最后的保护。供最后的保护。如前所述，纵深防御概念是美国在核安全如前所述，纵深防御概念是美国在核安全的实践中所建立的，被国际上广泛接受的，的实践中所建立的，被国际上广泛接受的，被证明行之有效的核安全理念。美国三哩岛被证明行之有效的核安全理念。美国三哩岛核电厂在严重堆芯熔化的情况下，厂外后果核电厂在严重堆芯熔化的情况下，厂外后果微乎其微，没有发现对公众健康的实际影响，微乎其微，没有发现对公众健康的实际影响，证明了纵深防御概念的有效性。反之，前苏证明了纵深防御概念的有效性。反之，前苏联长期脱离国际核安全的主流理念，在核电联长期脱离国际核安全的主流理念，在核电厂中没有有效地贯彻纵深防御概念，切尔诺厂中没有有效地贯彻纵深防御概念，切尔诺贝利核电厂事故则造成了惨重的人员和环境贝利核电厂事故则造成了惨重的人员和环境后果。后果。由于纵深防御概念已被广泛接受，并在实由于纵深防御概念已被广泛接受，并在实践中证明行之有效，所以近些年来美国在发践中证明行之有效，所以近些年来美国在发展展Risk-informed and performance-basedRisk-informed and performance-based的的管理要求时，仍然提出要维持纵深防御原则，管理要求时，仍然提出要维持纵深防御原则，当然当然从从PRAPRA的观点看，对某些纵深防御具体措的观点看，对某些纵深防御具体措施的解释可能会产生一些变化。施的解释可能会产生一些变化。3.3.三项基本安全功能三项基本安全功能 反应堆堆芯的热量来自于裂变元素的核裂反应堆堆芯的热量来自于裂变元素的核裂变反应，核裂变反应的同时会放出射线，同变反应，核裂变反应的同时会放出射线，同时产生裂变产物。时产生裂变产物。核裂变反应同时放出的射线采用屏蔽措施核裂变反应同时放出的射线采用屏蔽措施可以得到比较好的防护，但裂变产物的衰变可以得到比较好的防护，但裂变产物的衰变所放出的射线和衰变热（所放出的射线和衰变热（余热）却是麻烦余热）却是麻烦的主要来源。在裂变反应停止后，衰变热还的主要来源。在裂变反应停止后，衰变热还会长期的释放，如果不能将其导出，则衰变会长期的释放，如果不能将其导出，则衰变热的积累最终会破坏各道放射性屏障，从而热的积累最终会破坏各道放射性屏障，从而导致裂变产物（即放射性物质）向环境的大导致裂变产物（即放射性物质）向环境的大规模释放，危害人员和环境。规模释放，危害人员和环境。从一个核电厂的角度看，只要能够按要求从一个核电厂的角度看，只要能够按要求及时地停闭反应堆、排出余热并且保证至少及时地停闭反应堆、排出余热并且保证至少一道放射性屏障的完整，安全就有保证。一道放射性屏障的完整，安全就有保证。因而，反应性控制、余热排出、包容放射因而，反应性控制、余热排出、包容放射性通常被称为三项基本安全功能，而保证这性通常被称为三项基本安全功能，而保证这三项基本安全功能的系统和设备需要采用多三项基本安全功能的系统和设备需要采用多重性、多样性、独立性和安全级设备等方式重性、多样性、独立性和安全级设备等方式等来保证其高度的可靠性。其实反应性控制等来保证其高度的可靠性。其实反应性控制和余热排出的最终目的也是为了保证屏障的和余热排出的最终目的也是为了保证屏障的完整性，而实现可靠的余热排出是保证核安完整性，而实现可靠的余热排出是保证核安全的主要因素，核电厂的大部分安全系统都全的主要因素，核电厂的大部分安全系统都是围绕余热排出设计的。是围绕余热排出设计的。4.4.设计基准工况设计基准工况 前面已经从核安全发展的历史角度介绍前面已经从核安全发展的历史角度介绍了设计基准工况的来源，下面对其做一个了设计基准工况的来源，下面对其做一个更详细的介绍。更详细的介绍。所谓设计基准工况，就是在设计中必须所谓设计基准工况，就是在设计中必须考虑措施加以应对的事件。为了保证高度考虑措施加以应对的事件。为了保证高度的安全性，核电厂除了必须考虑正常的发的安全性，核电厂除了必须考虑正常的发电功能外，还必须考虑发生概率极低电功能外，还必须考虑发生概率极低，实，实践中可能并未出现过，但践中可能并未出现过，但在理论上预测或在理论上预测或推测出的一些事故或事件。推测出的一些事故或事件。在核电厂设计时，要仔细评估核电厂可在核电厂设计时，要仔细评估核电厂可能发生的一些故障或事件，包括内部和外能发生的一些故障或事件，包括内部和外部的事件，然后根据其可能发生的频率将部的事件，然后根据其可能发生的频率将其分类，选取包络性的作为设计中加以分其分类，选取包络性的作为设计中加以分析和评价的工况，则形成设计基准工况析和评价的工况，则形成设计基准工况（但事故分析主要针对内部事件）。（但事故分析主要针对内部事件）。对轻水堆核电厂，一种设计基准工况的对轻水堆核电厂，一种设计基准工况的划分方式为：划分方式为：（1 1）正常运行（）正常运行（10100 0 1010-1-1/堆年）；堆年）；（2 2）预计运行事件（）预计运行事件（10100 0 1010-2-2/堆年）；堆年）；（3 3）稀有事故（）稀有事故（1010-2-2 1010-4-4/堆年）；堆年）；（4 4）极限事故（）极限事故（1010-4-4 1010-6-6/堆年）。堆年）。其中（其中（3 3）和（）和（4 4）类又称为设计基准事故。）类又称为设计基准事故。前面已经提到，由于设计基准事故是从可信前面已经提到，由于设计基准事故是从可信事故发展而来，所以其特点是主要考虑单一事故发展而来，所以其特点是主要考虑单一失效，如某个管道的破裂、泵的卡死等失效，如某个管道的破裂、泵的卡死等等。等。设计基准事故的另一个叫法是设计基准事故的另一个叫法是“假想事故假想事故”。而预计运行事件加设计基准事故又称为。而预计运行事件加设计基准事故又称为“假设始发事件假设始发事件”。对于压水堆和沸水堆核电厂对于压水堆和沸水堆核电厂，长期以来，长期以来已经形成了一套已经形成了一套“标准标准”的设计基准事故的设计基准事故清单，后续电厂多简单加以参照，而并不清单，后续电厂多简单加以参照，而并不再从头进行分析。再从头进行分析。5.5.保守假设和分析方法保守假设和分析方法 在确定了设计基准工况后，需要对预计在确定了设计基准工况后，需要对预计运行事件和设计基准事故进行分析和评价，运行事件和设计基准事故进行分析和评价，以确定其安全影响。在评价时，要采用一以确定其安全影响。在评价时，要采用一套保守的假设，如事件和事故的初始状态套保守的假设，如事件和事故的初始状态应选取对后果最不利的参数、只考虑安全应选取对后果最不利的参数、只考虑安全级系统和设备对缓解事故的作用、非安全级系统和设备对缓解事故的作用、非安全级系统只能考虑对级系统只能考虑对安全的不利作用而安全的不利作用而不能考虑有利作用、要考虑事故发生时不能考虑有利作用、要考虑事故发生时同时丧失了厂外电源、最大价值控制棒同时丧失了厂外电源、最大价值控制棒卡棒等，同时在缓解事故的安全系统和卡棒等，同时在缓解事故的安全系统和设备中还要假设发生了单一随机故障设备中还要假设发生了单一随机故障（即著名的单一故障准则）。（即著名的单一故障准则）。对于分析和评价所使用的计算机程序，对于分析和评价所使用的计算机程序，一般都要得到良好验证，并得到核安全一般都要得到良好验证，并得到核安全监管当局的认可。监管当局的认可。6.6.验收准则验收准则 评价各个设计基准工况能否满足安全要求评价各个设计基准工况能否满足安全要求的判据是验收准则。从风险的概念出发，为的判据是验收准则。从风险的概念出发，为各个运行工况确定了所必须满足的放射性释各个运行工况确定了所必须满足的放射性释放准则，发生频率高的工况放射性释放必须放准则，发生频率高的工况放射性释放必须小，而发生频率很低的事件或事故则放射性小，而发生频率很低的事件或事故则放射性后果可以允许大一些。后果可以允许大一些。由于针对每个事故都分析放射性后果通常由于针对每个事故都分析放射性后果通常很复杂，所以还确立了一些次级准则，如针很复杂，所以还确立了一些次级准则，如针对预计运行事件的对预计运行事件的DNBRDNBR准则等。次级准则中准则等。次级准则中又包含了一些保守假设，通常满足次级准则又包含了一些保守假设，通常满足次级准则则能保证满足放射性准则。则能保证满足放射性准则。7.7.关于确定论安全方法的地位关于确定论安全方法的地位 现有的大多数核电厂都是按照确定论的安现有的大多数核电厂都是按照确定论的安全要求设计的，确定论安全要求对于保证大全要求设计的，确定论安全要求对于保证大量核电厂多年的安全运行起到了重要作用。量核电厂多年的安全运行起到了重要作用。在承认确定论安全方法的重要作用时，也在承认确定论安全方法的重要作用时，也要避免将确定论安全方法要避免将确定论安全方法“神圣化神圣化”的倾向。的倾向。实际上，确定论安全要求是在早期实际上，确定论安全要求是在早期“有限的有限的试验、经验和知识试验、经验和知识”（NRCNRC语）的基础上建语）的基础上建立的，是在应对已发现和新发现问题的