规范等均涉及“设计上实际消除大量放射性物质释放”的概念。福岛事故后，我国核安全监管当局在2012年发布了《核安全和放射性污染防治十二五规划及2020年远景目标》[1]，文中提出将“十三五”及以后新建核电机组力争实现从设计上实际消除大量放射性物质释放的可能性作为2020年的远景目标之一。
“实际消除大量放射性物质释放”的概念已经被核工业界广泛认同，各国的核安全监管当局对新建核电厂都对此提出了期望或要求，因此有必要对此概念进行深入的研究，并将此概念合理的应用到核电厂的设计中，提高核电厂的安全性。
1 概念理解
“实际消除大量放射性物质释放”的概念首次由法国与德国的核安全监管当局的技术支持单位IPSN和GRS在1997年联合起草的《IPSN-GRS Proposals for the development of technical guideline for future PWRs》[2]提出，其主张“实际消除早期大规模放射性释放”。国际原子能机构（IAEA）随后也接受此概念，在1999年出版的INSAG-12[3]中提出：“对未来核电厂的另一个目标是能够导致早期大规模放射性释放的事故序列被实际地消除，而使用现实假设和最佳估算评价，导致安全壳晚期失效的严重事故只需要在区域和时间上有限的保护措施”，在2004年出版的安全导则文件NS-G-1.10[4]中对“实际消除”给出了具体定义：“如果某些工况物理上不可能发生，或以高置信度认为某些工况极不可能出现，则可以认为这些工况发的可能性已被实际消除”。2013年西欧核能监管机构（WENRA）发布的《Safety of new NPP designs》[5]和2013年加拿大核安全委员会（CNSC）发布REGDOC-2.5.2[6]进一步提出需要对“实际消除”给出一个量化的判断依据，但判断“实际消除”不能只根据截断概率，对发生概率很小的事故序列，依然需要进一步考虑降低风险需增加的设计功能、运行措施或事故管理规程。
从“实际消除”的定义可以发现它是从概率角度诠释的一个概念，对于“物理上不可能”可以认为是不发生的概率为100%，“高置信度的极不可能”即发生概率极低，而此概率值是极度可信的。因此“实际消除”不能完全等同于“绝对不发生”，而应该是发生的概率极低。“实际消除”对于发生概率极低的工况要求高置信度，因此由于外部灾害的不确定性太大，从概率论角度针对外部灾害是否满足“实际消除”评估方法应该与内部事件有所区分。
当“实际消除”理解为发生的概率极低以后，可以发现“设计上实际消除大量放射性释放”不再是一个新的概念，而是与早期的导则或法规中对于核电厂的技术安全目标的阐述是一致的。IAEA在1999年发布的INSAG-12[3]和我国2004发布的HAF102[7]《核动力设计安全规定》中对于核电厂技术安全目标为“采取一切合理可行的措施防止核动力厂事故，并在一旦发生事故时减轻其后果；对于在设计该核动力厂时考虑过的所有可能事故，包括概率很低的事故，要以高可信度保证任何放射性后果尽可能小且低于规定限值；并保证有严重放射性后果的事故发生的概率极低。”另外在HAF102的2.1.5节中还对核动力厂的安全设计原则进行了阐述“核动力厂的安全设计适用以下原则：能导致高辐射剂量或大量放射性释放的核动力厂状态的发生概率极低；具有大的发生概率的核动力厂状态只有较小或者没有潜在的放射性后果。”
“实际消除”是对“技术安全目标”的沿续，“实际消除”应该理解为安全目标。“实际消除”作为安全目标应该具备明确指标判断依据，因其内涵为概率论的概念，可以考虑给出一个量化的评估概率。“实际消除”的对象为核电厂的事件序列，因此其量化的评估概率也是针对单个事件序列，是单个“点”的评估，与大量放射性释放的概率（LRF）有所区别，“LRF”表征的是核电厂发生大量放射性释放事件的概率积分值，是一个总体的概率安全目标。“实际消除”的安全目标应该是与LRF安全目标处于相同地位，其体现个体与整体目标的有机结合，因此对于“实际消除”的量化目标建议与LRF值处于同一量级。另外，从合理可行尽量高的提高核电厂的安全性角度，不能仅凭评估概率而进行截断考虑，需进一步考虑降低风险需要增加的设计功能、运行措施或事故管理规程，做到合理可行降低放射性物质释放的可能性。
2 设计中的考虑
“实际消除大量放射性物质释放”其目的是为了在设计上实现纵深防御的强化。从强化纵深防御的角度，设计上需要考虑的防护的多层级和这些层级间的相互独立性。多层级的防御的理念体现了尽可能降低放射性物质释放的可能性，设计上考虑多重的实体屏障以及为保障这些实体屏障的有效性配置的设备和规程等。需要注意的是多层级的防御并不能成为依赖其他层级有效性而削弱自身层级有效性的正当理由。在合理平衡的设计中，每个防护层级应该用和它的安全重要性相称的可靠性来衡量。各层级之间的相互独立可以避免一个层级的失效减弱了其它层级的有效性。虽然很难做到各层级之间的完全独立（如外部灾害的影响），因此纵深防御各层级之间应该在尽可能的切实可行的基础上相互独立。独立性要求设计上避免的情况有：共因失效模式；系统或者部分系统所执行的安全功能要满足一个以上纵深防御层级的要求。在设计上尽量做到各个层级的相互独立性，但是在实际运行过程中可以根据需要，合理可行的采取相应预防缓解手段对核电厂的状态进行控制，IEAE在INSAG-12给出了如表1所示的纵深防御响应示意图。
表1 IAEA 纵深防御响应示意图
设计上考虑纵深防御的各层级与电厂状态的对应关系，一般核电厂在设计中考虑的电厂状态参见表2，纵深防御的层级参见表3。从设计上考虑缓解措施以达到纵深防御各层级的安全目标，降低放射性物质释放的可能性。针对第三层级以下的纵深防御措施，在核电厂设计已经考虑相对比较成熟，因此本文主要针对第四层级的堆芯未熔化和堆芯熔化（严重事故）两类扩展工况进行论述。
核电厂可能产生大量放射性物质释放的来源包括反应堆和乏燃料水池，所以“实际消除”需要考虑的范围需涵盖反应堆和乏燃料水池发生可能导致大量放射性物质释放的事故序列。
表3 纵深防御层次
2.1 堆芯未熔化的设计扩展工况的考虑
设计上考虑堆芯未熔化的设计扩展工况的缓解措施，首先需要识别设计扩展工况的类别然后通过相应的预防缓解措施来消除或缓解这些工况。堆芯未熔化的设计扩展工况是多重失效引起的序列所诱发的工况，通常依据假想发生多重失效的系统考虑三种多重失效的情况：
— 导致超出应对单一始发事件的安全系统性能的始发事件，如压水堆蒸汽发生器多根传热管断裂。
—妨碍安全系统控制假想始发事件的多重失效（如冗余系列的共因失效），如安注未投入运行的LOCA事故。支持系统的失效隐含在安全系统失效的原因中。
—安全系统在正常运行状态下执行基本安全功能时，引起安全系统丧失的多重失效，如同时用于事故工况和停堆的排热系统的设计。
目前国际上对于堆芯未熔化的设计扩展工况的选择尚无统一的认知，设计扩展工况的确定需要依赖于工程判断、确定论评价和概率论评价。表4给出了可能发生的堆芯未熔化的设计扩展工况及其相应采取的缓解措施。
表4 设计扩展工况的预防缓解措施
2.2 严重事故的考虑
严重事故是导致“大量放射性物质释放”风险最高的工况，针对严重事故的设计考虑，首先需要识别确认可能导致大量放射性物质的严重事故工况，然后通过相应的预防缓解措施来消除这些工况。
对于乏燃料水池可能导致“大量放射性物质释放”的严重事故为乏燃料水池冷却丧失导致乏燃料裸露和熔化，因此针对乏燃料水池的严重事故缓解措施应该是从防止乏燃料元件的裸露角度，确保乏燃料不会发生裸露，从而切实消除乏燃料水池的严重事故的威胁。针对乏燃料水池首先需考虑是结构上保证乏燃料水池的高置信度不失效，防止水池破裂或泄漏导致的冷却剂丧失事故，其次需设置可靠的补水手段，确保乏燃料水池的冷却，另外需要设置乏燃料水池的水位监测和应急补水接口及手段。
对于反应堆可能导致大量放射性物质释放的严重事故可以分为三类假想事故序列：第一类序列可能引发堆芯迅速损坏从而造成安全壳早期失效。这类事故不能通过合理的技术手段予以缓解，必须从产生源头上予以“实际消除”；第二类无法确保用于维持安全壳完整性的技术手段有效的严重事故工况；第三类包括安全壳丧失密封性的严重事故。
根据严重事故的三类分类原则，设计中需要考虑的严重事故至少包括以下情形：
—可能引发堆芯迅速损坏从而造成安全壳早期失效的事件：
a）反应堆冷却剂系统中大部件的失效
b）反应性失控事故
—无法确保用于维持安全壳完整性的技术手段有效的严重事故工况：
a）高压熔堆
b）蒸汽爆炸
c）氢气爆炸
d）安全壳超压失效
e）安全壳边界熔穿
—安全壳丧失密封性
a）安全壳旁通情形下的严重事故
表5给出了压水堆核电厂针对三类严重事故的可能采取的预防缓解措施，以实现“实际消除大量放射性物质释放”的事件序列。
表5 严重事故的预防缓解措施
3 结论与建议
本文通过对“实际消除大量放射性物质释放”进行了研究，形成初步的结论与建议：
（1）“实际消除大量放射性物质释放”是核电厂技术安全目标沿续与补充，“实际消除大量放射性物质释放”为一个概率安全目标，其对象为发生大量放射性物质释放的事件序列或状态，与LRF的概率安全目标是个体与总体的关系，概率目标应处于同等地位，建议其概率安全的量化目标与LRF处于同一个量级。
（2）设计上考虑“实际消除大量放射性物质释放”应该采用确定论、概率论、工程判断的方式考虑预防或缓解措施，不能仅凭评估概率而进行截断考虑，需进一步考虑降低风险需要增加的设计功能、运行措施或事故管理规程，实现“实际消除”，提高核电厂的安全性。
（3）“实际消除大量放射性物质释放”其目的是为了强化纵深防御，设计上从纵深防御的角度考虑应重点关注设计扩展工况的预防缓解措施，对于堆芯熔化的严重事故目前根据可能失效的类型，已经有一个相对统一的认识和考虑，但是对于堆芯未熔化的设计扩展工况目前尚未有一个统一的认识，需进一步研究。
【参考文献】
[1]核安全局，核安全和放射性污染防治 十二五规划及2020年远景目标[R].中国，2012.
[2]IPSN-GRS，Proposals for the development of technical guideline for future PWRs[R]. 1997.
[3]IAEA， Basic safety principles for nuclear power plants[R]. INSAG-12， Vienna， 1999.
[4]IAEA， Design of reactor containment systems for nuclear power plants[R]. NS-G-1.10， Vienna， 2004.
[5]WENRA， Safety of new NPP designs[R]. 2013.
[6]CNSC， Design of Reactor Facilities： Nuclear Power Plants[R]. REGDOC-2.5.2， Canada， 2014.
[7]核安全局.核动力设计安全规定[R].中国，2004.
[责任编辑：杨玉洁]