核安全的簡要歷史和若干基本概念湯搏2013年10月

1、核安全的簡要歷史和若干基本概念湯 搏2013年10月,序 言 “他們說航海有危險，但實際上生活中總是充滿危險。他們不懂得船，所以他們不懂得航海?！?— 獨自駕帆船環(huán)球航海的16歲荷蘭小姑娘勞拉·德克爾,一、安全的基本概念 1.安全是人類永恒的問題 自人類誕生以來，人類就一直面臨著安全問題。遠古的人類面臨的是食物短缺、野獸和疾病威脅等自然災害，近代人類又面臨著戰(zhàn)爭、環(huán)境問題等附加人為災害。未來

2、的人類是否會考慮小行星撞擊以及其它現在未知的威脅？ 2.安全是一個相對的概念 既然人類要永恒面對安全問題，則安,全一定是一個相對的概念，而絕對的安全是不存在的。 衡量一件事情是否安全，只能放在其所處環(huán)境中，與其它事情比較才有意義。孤立地討論一件事情的安全與否無法得出有意義的結論。 3.安全是一個變化的概念 隨著人類所處環(huán)境的變化，人們對一件事情的安全評判也會發(fā)生變化。如處于饑餓狀態(tài)的人更多地考慮的是食物的獲得，而不是

3、食物的衛(wèi)生。現在的人類,也不會更多地考慮小行星的撞擊，但未來很可能會。 4.需要為安全建立度量 為了比較不同事情的安全水平，一定要建立一個安全的度量。 如果一件事情的不利后果已發(fā)生，我們將其稱為“災難”。當然災難之間是可以比較的，但存在的問題是僅僅考慮災難的話，人類的生活將是悲觀的。如已知的約6500萬年前的小行星撞擊導致了包括恐龍在內的大多數生物滅絕，未來,不能排除發(fā)生類似的撞擊，那么人類的生活還有何意義呢？ 當然我們

4、直觀地意識到雖然撞擊后果很嚴重，但可能性很低。這樣我們就可以看到，我們通常考慮安全是從后果和可能性兩方面考慮的。 我們將一件事情可能的不利后果和發(fā)生概率的乘積稱為“風險”?？茖W界大多數同意將風險作為安全的度量指標。 核安全是所有安全問題的組成部分，也必須按照同樣的方式思考問題。,5.安全是控制風險而不是消除風險 既然不存在絕對安全，則安全一定是將風險控制在可接受程度，而不是徹底消除風險。 還必須注意到的是“凡事有一利則有

5、一弊”。 “一件事情帶給我們的利益足夠大，而其代價可承受，我們則認為該件事情是安全的”。 “安全是利益和代價的平衡”。,二、核安全的簡要歷史 1.SCRAM-防止鏈式反應失控 在建設世界上第一座反應堆芝加哥1號時，費米等核物理學家擔心的是一旦鏈式反應被觸發(fā)，能否得到控制。所以反應堆設置了兩套自動控制和一套手動控制系統(tǒng)，同時設置了一個安全控制棒斧頭人（Safety Control Rod Axe Man, SCRAM），時

6、刻準備砍斷吊掛著安全控制棒的繩索，以“防止鏈式反應失控”。,2.設計裕度-縱深防御概念的起源 在芝加哥1號建設時，位于漢福特的軍用生產堆也在緊張建設過程中。軍用生產堆的建設是由杜邦公司負責的。雖然核物理學家們對自己的計算都很有信心，但承建反應堆的化學工程師們則根據工業(yè)經驗表示質疑，堅持在工程中保留設計裕度，采用冗余等手段，這被視為“縱深防御”概念的起源。,3.最壞的可想象事故-遠距離廠址政策 在早期的研究堆和生產堆主要服務于軍事

7、用途，且主要位于偏遠地區(qū)的狀況下，為保證公眾安全，核安全管理采取的是考慮“最壞的可想象事故”，即全堆芯熔化，并且不考慮任何包容來評價所需要的禁區(qū)半徑。AEC推薦的禁區(qū)半徑是： R（mile）=0.01×[反應堆堆芯熱功率（Kw）]0.5。,這個公式被稱為“指數原則”。 毫無疑問，為滿足指數原則，廠址必須選擇在遠離居民區(qū)的地方，所以這時的核安全管理又稱為“遠距離廠址政策”（remote siting）。,4.安全殼-工程

8、安全設施 1952年，美國要在離紐約州圣萊克迪鎮(zhèn)19英里的克諾斯原子能實驗室建設一座潛艇用原型鈉冷反應堆，這不能夠滿足遠距離廠址概念。因此反應堆采用了球型鋼制安全殼作為安全措施，美國原委會接受了這一做法，但此時仍然不將這樣的措施作為距離隔離概念的有效替代。由于這是采用“工程措施”解決“安全問題”，因而產生了一個術語“工程安全設施”。,5.可信事故-設計基準事故的基礎 1953年代，美國開始考慮核電建設。即使考慮了安全殼這樣的“工

9、程安全設施”，后果仍然不能承受（AEC語：“除了離人口中心幾百英里的地方，否則無法選到核電廠址），此時AEC（原委會）開始用“可信事故”的概念替代“最壞的可想象事故”。 可信事故的選擇基于AEC專家的判斷，但一個基本前提是只考慮單一設備的損壞，如某根管道的破裂或某個泵的故障。 對于某些人質疑的“多設備故障”問題，,AEC只簡單地解釋“我們認為不可信”（概率風險分析技術的發(fā)展和三哩島事故將改變一些基本認識，后續(xù)討論）。 可信事

10、故構成了“設計基準事故”概念和“確定論安全要求”的重要基礎，可信事故和工程安全設施概念的采用才使核電的建設成為可能。 對輕水堆核電廠，由于認為LBLOCA（大破口失水事故）導致的后果最嚴重，LBLOCA成為所謂“最大可信事故”。,6.選址源項-TID-14844 建設核電還有其他需要確定的問題，如事故工況下的放射性源項。1962年，AEC發(fā)表了針對輕水堆的源項報告TID-14844，假設在事故工況下堆芯100%的惰性氣體、50%

11、的放射性碘，以及1%的其他放射性產物進入安全殼，而50%的放射性碘因為沉積等原因去掉50%，按0.1%安全殼體積泄漏率釋放，用以評價核電廠址的適宜性。,7.中國綜合癥-應急堆芯冷卻系統(tǒng) 1960年代中期，核電開始向大型化方向發(fā)展，這時ACRS開始質疑，即在堆芯熔化后，安全殼能否真正起到包容作用。一個關心的焦點是堆芯熔融物可能熔穿安全殼底板。由于開玩笑地說最終會熔穿地球從而到達中國，這種現象又被稱為“中國綜合癥”。 為了避免中國綜

12、合癥，需要避免堆芯熔化，所以應急堆芯冷卻系統(tǒng)非常重要。,大量的試驗研究被開展，其中最著名的是“LOFT”（loss of fluid test），即對LOCA事故下堆芯冷卻劑喪失工況開展試驗研究，研究的結果被用于改進應急堆芯冷卻系統(tǒng)的設計。 為了進一步改進應急堆芯冷卻系統(tǒng)的可靠性，1967年，在德累斯頓2號機的應急堆芯冷卻系統(tǒng)上采用了冗余設計。這種做法最后被發(fā)展為確定論安全要求中著名的“單一故障準則”。,8.冗余-單一故障準則的形成

13、 1967年代，在德累司頓2號機組堆芯應急冷卻系統(tǒng)的中，為了提高可靠性，參考航空航天業(yè)的做法，采用了系統(tǒng)冗余設計。1971年，單一故障準則被納入聯(lián)邦法規(guī)。 SBO和ATWS事故表明，單一故障準則的要求并不平衡，但由于其簡明性、可操作性、經濟可接受性，目前仍然是確定論安全要求的一個重要準則。但近些年美國正在考慮對其進行風險導向基礎上的修改。,9.質量分組-質量保證要求 1960年代末期，ACRS在勃朗?費里核電廠的聽證中，開始

14、關注安全系統(tǒng)的可靠性和質量問題。為此AEC借鑒美國軍方在核武器研發(fā)過程中的經驗，提出對安全系統(tǒng)和設備的“質量保證”要求，要求核電廠要對安全構筑物和系統(tǒng)進行“質量分組”。1970年，質量保證條款被正式列入聯(lián)邦法規(guī)。ASME也制訂了相關的“安全級”設備標準以滿足“質量分組”要求。,10.GDC-確定論安全要求的形成 1971年代，美國聯(lián)邦法規(guī)10CFR50 APPENDIX A正式頒布。APPENDIX A確立了58個GDC (gene

15、ral design criterion)，這標志著“確定論安全要求”基本形成。 安全要求演化到此時，人們的認識是堆芯熔化的事故已經不可能發(fā)生，或著說不可信，直到三哩島事故才開始改變認識。,11.WASH-1400-概率風險評價的奠基石 1974年，AEC發(fā)表了WASH1400“反應堆安全研究”。WASH1400率先全面使用概率風險評價（PRA）方法來研究核電廠的安全，其主要結論包括核電廠的風險主要來自于嚴重事故的剩余風險，多重

16、故障可能導致堆芯熔化，小破口事故可能風險更大等。 由于概率風險評價方法與確定論安全要求有著很大差異，且其本身存在著不確定性（其實確定論安全要求也存在很大不確,定性），因而WASH-1400引起了很大的爭議，后續(xù)成立的NRC（核管會）被迫宣布收回WASH-1400報告。 但概率風險評價方法為觀察核安全問題提供了一個全新的、系統(tǒng)的和更全面的視角，時至今日產生了廣泛、深刻的影響。,12.AEC的解體-核安全監(jiān)管的獨立性 LOFT試

17、驗的結果表明，早期核電廠應急堆芯冷卻系統(tǒng)的注入水可能被破口大量旁路，以至于堆芯不能得到足夠的冷卻。 這個結果使AEC陷入困境，因為已有數十個核電機組建成或在建。AEC質疑試驗結果的合理性，要求將結果保密，但結果還是被泄漏，AEC喪失了社會公信力。 1974年，美國通過“能源重組法”將AEC分解為ERDA（今DOE）和NRC。,13.三哩島事故-嚴重事故是可信的 1979年，美國賓西法尼亞州的三哩島核電廠發(fā)生了嚴重事故，事故導

18、致了約2/3的堆芯熔毀。雖然三哩島事故并沒有導致“可察覺的廠外影響”，但三哩島事故嚴重沖擊了以往的信念，即堆芯熔化事故是不可能發(fā)生的。 三哩島事故后，安全研究的重點集中在SBLOCA（小破口失水事故）、人因、規(guī)程等方面，特別是核電廠嚴重事故的研究。,由于WASH1400中曾經預言了與三哩島事故相類似的事故序列，特別是作為嚴重事故研究必不可少的工具，PRA技術再次得到高度重視。美國在三哩島事故后開展了三哩島行動計劃、IPE（indep

19、endent plant evaluation）和IPEEE（IPE for external events計劃），為了支持IPE計劃的開展，美國NRC發(fā)表了NUREG-1150報告，選取了5個典型核電廠完成了PRA。這個報告成為PRA的經典報告，也為許多安全要求的制訂提供了基礎。,14.ATWS和SBO-確定論安全要求的困境 1980年代，由于發(fā)生了若干起控制棒下落故障，人們開始研究ATWS（未能緊急停堆的預期瞬態(tài)）問題。ATWS

20、表明，即使保護系統(tǒng)滿足了安全分級、冗余的要求，其可靠性仍然不足。ATWS發(fā)生的頻率約每堆年10-4，大大高于設計基準事故發(fā)生頻率的下限，但由于設計基準事故基于單一設備失效的考慮，特別是為避免核電廠設計的極端復雜化，對ATWS的緩解提出了變通的要求。,SBO（喪失全部交流電源）的情況也類似。如果將SBO劃為設計基準事故，按照確定論安全要求的保守處理，則需設置額外的安全級、冗余的應急電源。 這些事例表明，確定論安全要求存在內在的邏輯缺陷

21、和不自恰，但是改變確定論安全要求又存在極大的困難和挑戰(zhàn)。 確定論安全要求為主，概率論方法做補充的思想是這一段時間所產生的。,15.切爾諾貝利事故-安全文化的誕生 1986年，前蘇聯(lián)切爾諾貝利核電廠發(fā)生了嚴重事故，事故導致極其嚴重的環(huán)境和人員后果。IAEA專家組在調查切爾諾貝利核電廠事故原因時，認為前蘇聯(lián)從體制層面到人員觀念上存在著極大的欠缺，這種體制和人員觀念的欠缺被委婉地稱之為缺乏“安全文化” 。1988年，IAEA在75-I

22、NSAG-3《核電安全的基本原則》中明確提出了“安全文化”的概念。,16.安全目標-多安全是足夠的？ 三哩島事故表明，由于不存在絕對安全，期望使用一種“確定的”表述方法向人們表達核電廠的安全水平最終會陷入困境。對于政府、核電建設者以及公眾，都需要一種合理的度量，為核電廠確定一個可接受的安全水平。1986年，NRC發(fā)表了有關安全目標的政策聲明，確定了兩個“千分之一”附加風險的定量安全目標，用以衡量可接受的安全水平（風險），而所謂“熔堆

23、頻率”、“大規(guī)模放射性釋放頻率”成為輔助指導值。,美國的定量安全目標 ·對緊鄰核電廠的正常個體成員來說，由于反應堆事故所導致立即死亡的風險不應該超過美國社會成員所面對的其它事故所導致的立即死亡風險總和的千分之一； ·對核電廠鄰近區(qū)域的人口來說，由于核電廠運行所導致的癌癥死亡風險不應該超過其它原因所導致癌癥死亡風險總和的千分之一。,17.PRA技術政策-從風險的角度看問題 1995年，NRC發(fā)表了有

24、關在核安全監(jiān)管中更多使用PRA的政策聲明，鼓勵在核安全事物中更多地采用PRA技術，1990年代末，NRC發(fā)布了RG1.174～1.178，對風險準則、在役檢查、質量保證、維修、在役試驗、技術規(guī)格書等方面使用PRA技術給出指導。目前NRC正致力于建立performance-based and risk-informed的核安全法規(guī)體系。從風險的角度看問題將引起核安全理念和管理模式的巨大改變。,18.福島核事故-再一次需要轉變？

25、外部事件導致的嚴重事故、事故對環(huán)境影響的可接受程度、………？ 19.研究性反應堆 巨大的設計差異、簡單粗略的法規(guī)和標準、 ……… 。 如何合理地確定具體安全要求？ 概率風險分析技術是否應起到更大的作用？,三、確定論核安全要求 1.什么是確定論安全要求 “確定論安全要求”是英文“Deterministic approach”或“Deterministic requirements”的翻譯。這個翻譯容易引起誤導，更

26、準確的譯法應該是“已確定的安全要求”。 確定論安全要求是以縱深防御概念為基礎，以保證三項基本安全功能為目的，針對一套確定的設計基準工況，采用保守的假設和分析方法，以確認滿足特定驗收準,則的一套方法。 2.縱深防御概念 縱深防御概念是核電廠安全所遵循的基本核安全理念，它的基本點就是使核電廠中所有與安全有關的事項都置于多重防御措施之下，即使一道措施失效，還有另外的措施來補償。縱深防御概念一個最廣為人知的應用是多道屏障。 目前

27、核電廠總體上通常設置五道縱深防御的層次：,（1）第一個層次是采用保守的設計、可靠的質量和嚴格的運行來預防偏離正常運行和預防系統(tǒng)失效； （2）第二個層次是設置必要的監(jiān)測系統(tǒng)和保護系統(tǒng)來糾正可能的偏離正常運行； （3）第三個層次是設置必要的工程安全設施和事故規(guī)程來對付可能性極低，但假想會發(fā)生的設計基準事故； （4）第四個層次是采用合理可行的措施，包括必要的硬件和軟件來對付超設計,基準事故，以進一步提高核電廠的安全水平； （5

28、）第五個層次，也是最后一個層次是采用應急計劃來對工作人員和公眾提供最后的保護。,如前所述，縱深防御概念是美國在核安全的實踐中所建立的，被國際上廣泛接受的，被證明行之有效的核安全理念。美國三哩島核電廠在嚴重堆芯熔化的情況下，廠外后果微乎其微，沒有發(fā)現對公眾健康的實際影響，證明了縱深防御概念的有效性。反之，前蘇聯(lián)長期脫離國際核安全的主流理念，在核電廠中沒有有效地貫徹縱深防御概念，切爾諾貝利核電廠事故則造成了慘重的人員和環(huán)境后果。,由于縱深防

29、御概念已被廣泛接受，并在實踐中證明行之有效，所以近些年來美國在發(fā)展Risk-informed and performance-based的管理要求時，仍然提出要維持縱深防御原則，當然從PRA的觀點看，對某些縱深防御具體措施的解釋可能會產生一些變化。 3.三項基本安全功能 反應堆堆芯的熱量來自于裂變元素的核裂變反應，核裂變反應的同時會放出射線，同時產生裂變產物。,核裂變反應同時放出的射線采用屏蔽措施可以得到比較好的防護，但裂變產物

30、的衰變所放出的射線和衰變熱（～余熱）卻是麻煩的主要來源。在裂變反應停止后，衰變熱還會長期的釋放，如果不能將其導出，則衰變熱的積累最終會破壞各道放射性屏障，從而導致裂變產物（即放射性物質）向環(huán)境的大規(guī)模釋放，危害人員和環(huán)境。 從一個核電廠的角度看，只要能夠按要求及時地停閉反應堆、排出余熱并且保證至少一道放射性屏障的完整，安全就有保證。,因而，反應性控制、余熱排出、包容放射性通常被稱為三項基本安全功能，而保證這三項基本安全功能的系統(tǒng)和設

31、備需要采用多重性、多樣性、獨立性和安全級設備等方式等來保證其高度的可靠性。其實反應性控制和余熱排出的最終目的也是為了保證屏障的完整性，而實現可靠的余熱排出是保證核安全的主要因素，核電廠的大部分安全系統(tǒng)都是圍繞余熱排出設計的。,4.設計基準工況 前面已經從核安全發(fā)展的歷史角度介紹了設計基準工況的來源，下面對其做一個更詳細的介紹。 所謂設計基準工況，就是在設計中必須考慮措施加以應對的事件。為了保證高度的安全性，核電廠除了必須考慮正常

32、的發(fā)電功能外，還必須考慮發(fā)生概率極低，實踐中可能并未出現過，但在理論上預測或推測出的一些事故或事件。,在核電廠設計時，要仔細評估核電廠可能發(fā)生的一些故障或事件，包括內部和外部的事件，然后根據其可能發(fā)生的頻率將其分類，選取包絡性的作為設計中加以分析和評價的工況，則形成設計基準工況（但事故分析主要針對內部事件）。 對輕水堆核電廠，一種設計基準工況的劃分方式為： （1）正常運行（100 ～ 10-1/堆年）；,（2）預計運行事件（10

33、0 ～ 10-2 /堆年）； （3）稀有事故（10-2 ～ 10-4 /堆年）； （4）極限事故（10-4 ～ 10-6 /堆年）。 其中（3）和（4）類又稱為設計基準事故。前面已經提到，由于設計基準事故是從可信事故發(fā)展而來，所以其特點是主要考慮單一失效，如某個管道的破裂、泵的卡死等等。 設計基準事故的另一個叫法是“假想事故”。而預計運行事件加設計基準事故又稱為“假設始發(fā)事件”。 對于壓水堆和沸水堆核電廠，長期以來,

34、已經形成了一套“標準”的設計基準事故清單，后續(xù)電廠多簡單加以參照，而并不再從頭進行分析。 5.保守假設和分析方法 在確定了設計基準工況后，需要對預計運行事件和設計基準事故進行分析和評價，以確定其安全影響。在評價時，要采用一套保守的假設，如事件和事故的初始狀態(tài)應選取對后果最不利的參數、只考慮安全級系統(tǒng)和設備對緩解事故的作用、非安全級系統(tǒng)只能考慮對安全的不利作用而,不能考慮有利作用、要考慮事故發(fā)生時同時喪失了廠外電源、最大價值控制

35、棒卡棒等，同時在緩解事故的安全系統(tǒng)和設備中還要假設發(fā)生了單一隨機故障（即著名的單一故障準則）。 對于分析和評價所使用的計算機程序，一般都要得到良好驗證，并得到核安全監(jiān)管當局的認可。,6.驗收準則 評價各個設計基準工況能否滿足安全要求的判據是驗收準則。從風險的概念出發(fā)，為各個運行工況確定了所必須滿足的放射性釋放準則，發(fā)生頻率高的工況放射性釋放必須小，而發(fā)生頻率很低的事件或事故則放射性后果可以允許大一些。 由于針對每個事故都分析

36、放射性后果通常很復雜，所以還確立了一些次級準則，如針對預計運行事件的DNBR準則等。次級準則中又包含了一些保守假設，通常滿足次級準則則能保證滿足放射性準則。,7.關于確定論安全方法的地位 現有的大多數核電廠都是按照確定論的安全要求設計的，確定論安全要求對于保證大量核電廠多年的安全運行起到了重要作用。 在承認確定論安全方法的重要作用時，也要避免將確定論安全方法“神圣化”的傾向。實際上，確定論安全要求是在早期“有限的試驗、經驗和知識

37、”（NRC語）的基礎上建立的，是在應對已發(fā)現和新發(fā)現問題的過程中逐步“堆砌”起來的。用今天的眼光看，其也存在許多不合理之處。,四、概率論安全方法簡介 概率論安全方法即眾所周知的概率風險分析（PRA，美國習慣性的叫法）或概率安全分析（PSA，IAEA習慣的用法），它是一套系統(tǒng)性地研究核設施安全問題的方法。 概率風險分析最常用的方法是事件數和故障樹方法。事件樹是從已分析到或發(fā)現的核設施每個可能的失效（通常稱為始發(fā)事件）開始，分析事故

38、的各種可能的進程，找到所有可能導致某種后果（如堆芯嚴重損壞）的事故途徑的一種事故景象模型化的方法。,而故障樹則將某個系統(tǒng)或設備的失效作為頂事件，通過分析各個設備、子設備或部件與系統(tǒng)或設備失效的邏輯關系，將系統(tǒng)或設備的失效模式模型化，進而可計算出系統(tǒng)或設備執(zhí)行某項功能的可靠度（或失效概率）。 通過概率風險分析，可以定量地評估出一個核設施出現某種不期望后果（如堆芯嚴重損壞、大規(guī)模放射性釋放、對居民的放射性影響等）的概率，從而將,風險定量

39、化。將核設施的風險定量化后，就便于與其它社會風險（如火電廠、水庫大壩等）進行比較，從而明確地告知公眾有關的風險信息，促進核電的社會可接受性。 其實從概率的角度考慮問題是一種根本的科學觀點，問題出現于將某件事情模型化過程中可能存在的困難以及對結果的置信程度，特別是對復雜系統(tǒng)而言。 近些年來，隨著PRA技術的發(fā)展和數據積累的增加，PRA技術應用越來越廣，特別是在美國。,一個典型的事件樹,,,,,,,,,,,,,,Y,N,Y,N,Y,

40、N,Y,N,CD,,CD,CD,CD,1.03?10-9,7.60?10-9,3.34?10-8,,5.08?10-7,CD：core damage,,,,,,,,,,一個典型的故障樹,,,,,,,,,,,,,,,,泵,閥門A,閥門B,閥門C,,,,,,,到閥門C的流量不夠,與,,或,閥門C未打開,,,,,,,從閥門A來的流量不夠,從閥門B來的流量不夠,,,,,或,或,閥門A未打開,從泵來的流量不夠,閥門B未打開,從泵來的流量不夠,,,

41、,,,,,,,閥門C輸出的流量不夠,總 結 考察一個安全問題時，需要關注三個方面： （1）什么可能發(fā)生？ （2）它發(fā)生的可能性有多大？ （3）它的后果是什么？ 確定論安全方法解決了（1）和（3），而PRA技術的發(fā)展使我們也能考察（2）。只有三個方面的問題都解決了，我們才能夠回答一件事情的風險問題，或者對一件事情的風險給出合理的度量。,“在生產斗爭和科學實驗范圍內，人類總是不斷發(fā)展的，自然界也總是不斷發(fā)展的，永