關于核電廠設計擴展工況的初步探討

楊志義，種毅敏，張佳佳，馮進軍，陳越超，李 春，柴國旱

（環境保護部核與輻射安全中心，北京 100082）

關于核電廠設計擴展工況的初步探討

楊志義，種毅敏，張佳佳，馮進軍，陳越超，李 春*，柴國旱

（環境保護部核與輻射安全中心，北京 100082）

福島事故后，為進一步提高核電廠核安全水平，主要核電國家和組織正在開展新核安全目標和理念的研究。本文結合當前國際上核安全要求的發展趨勢，對“設計擴展工況”（Design Extension Conditions，簡稱DEC）這一概念進行了初步探討，主要包括其意義、內涵、可接受準則、對縱深防御原則的影響，以及設計擴展工況安全設施的設計要求等，希望為國內建立新的核安全要求起到拋磚引玉的作用。

核電廠；設計擴展工況；縱深防御原則

福島事故［1］后，很多核電國家和組織開始探索和建立新的核安全目標和核安全要求，如我國發布的《核安全與放射性污染防治“十二五”規劃及2020年遠景目標》［2］，西歐核監管協會（WENRA）發布的《Safety of new NPP designs》［3］，國際原子能機構（IAEA）正在升版的《Safety ofNuclear Power Plants：Design》［4］，英國核監管辦公室（ONR）發布的《Safety AssessmentPrinciples for Nuclear Facilities》［5］，以及美國核管會（NRC）發布的《Recommendation on Enhancing Reactors Safety in the21stCentury》［6］等。在這些新的核安全要求及相關解讀文件［7］中，一個重要的變化就是設計擴展工況（DEC）的應用，設計擴展工況將之前超設計基準事故（BDBA）的一部分納入考慮范圍，并對應對設計擴展工況的安全設施提出相應的設計要求和接受準則，這有助于進一步拓展設計考慮的范圍，從而提高核電廠處理比設計基準事故更嚴重的事故的能力，因此具有重要的意義。

本文結合國際上主要的新核安全要求的發展現狀，對設計擴展工況的概念進行了初步探討，包括其由來與發展、主要內涵、工況的分析驗收準則、對縱深防御原則的影響，以及設計擴展工況對應的設計要求等，希望為國內建立新的核安全要求起到拋磚引玉的作用。

1 設計擴展工況概念的發展

核電廠狀態一般與發生頻率相關（見表1），在目前運行和新建核電廠的設計和監管要求中，已將核電廠一些安全系統的多重失效的情況考慮在內，如全廠斷電（SBO）和未能停堆的預期瞬態（ATWS），這些工況超越了核電廠傳統的始發事件疊加單一故障的設計基準工況范疇。此外，核電廠對于可能發生的堆芯熔化的嚴重事故序列也已有所考慮。然而，傳統核電廠針對這些工況的認知有一定的局限性，主要表現在沒有系統的完善的工況清單、安全分析的驗收準則，以及用于應對這些工況的系統和設備的詳細設計要求和接受準則。

表1 電廠狀態與發生頻率Table1 Plant states and frequency

在歐洲用戶要求（EUR）［8］中首次引用了設計擴展工況這一術語，定義為通過確定論和概率論選擇的，超過設計基準事故的特定事故序列組，包括“復雜序列”和“嚴重事故”，“復雜序列”和“嚴重事故”均由于安全系統的多重失效而導致，復雜序列在采取現有安全措施后避免了事故的進一步惡化，沒有導致堆芯熔化，嚴重事故則是發生了堆芯熔化的事故序列。

歐洲壓水堆EPR在設計中遵循的技術導則《Technical Guidelines for the Design and Construction of the Next Generation of NPPs with PWR》［9］，將設計擴展工況分為DEC-A“復雜序列”和DEC-B“嚴重事故”，并給出了需考慮的設計擴展工況清單。

國際原子能機構對設計擴展工況的定義為“不在設計基準事故考慮范圍但在設計過程中根據最佳估計方法加以考慮的事故工況。出現這種工況時，放射性物質的釋放應被保持在可接受限值以內。設計擴展工況包括堆芯未損傷和堆芯已熔化的事故工況”［4］。

西歐核監管協會提出考慮某些選定的多重失效序列，作為縱深防御第三層次的一部分（3b），但是與設計基準事故的防御層次（3a）有明顯的區別，其內涵與設計擴展工況是類似的［3］。表2給出了歐洲用戶要求文件、國際原子能機構以及西歐核監管協會關于設計擴展工況的對照情況。可以看出，3個組織發布的安全要求中針對堆芯熔化的事故規定基本相同。對于未產生堆芯熔化的超設計基準事故，西歐核監管協會定義為假設多重失效事件，歐洲用戶要求文件中定義為復雜序列，國際原子能機構則定義為未堆熔的設計擴展工況，并初步給出了建議作為未堆熔的設計擴展工況清單［10］。

綜上所述，自國際原子能機構2012年發布新的設計安全要求（SSR-2/1）以來，設計擴展工況這一概念已被廣泛的應用和引用，成為新核安全要求中的討論熱點［11］。部分新制訂或正在制訂的核安全要求中對設計擴展工況給出了一些規定，但大部分國家的法規還沒有開始更新，隨著國際社會對于設計擴展工況的討論逐步深入，后續將逐漸形成針對設計擴展工況的明確規定，并用于指導各國核電廠的設計。

表2 西歐核監管協會、歐洲用戶要求文件與國際原子能機構對設計擴展工況的考慮對比Table2 Com parison and exam p lesof DECs in W ENRA，EUR and IAEA

2 設計擴展工況與電廠運行狀態

在現行核動力廠設計安全要求中全面地考慮了設計基準事故（DBA），以及個別的超設計基準事故（如全廠斷電、未能停堆的預期瞬態）等，設計擴展工況使核電廠的設計考慮范圍進一步擴展，這將影響對核電廠狀態的劃分。在HAF 102［12］中電廠狀態如圖1所示，在SSR-2/1［4］中，考慮了設計擴展工況核電廠狀態如圖1所示，在國際原子能機構SSR-2/1中，考慮了設計擴展工況后的電廠狀態如圖2所示。

SSR-2/1中簡單的使用設計擴展工況替代了超設計基準事故。然而，考慮到目前的認知水平，不可能在核電廠設計中預計所有的事故狀態。因此，在設計擴展工況之外還應有一部分工況，無法預計和準確認知，這在國際原子能機構相關文件［9］中也有提及（圖3中的超設計基準），這部分工況在設計中無法準確考慮，一個可行的做法是將設計擴展工況之外的工況列為實際消除工況（即剩余風險）［11］，在設計中無需對這些工況進行考慮。本文建議的核電廠運行狀態劃分如圖4所示，運行狀態與之前相同，而事故工況包括設計基準事故、設計擴展工況，以及剩余風險，設計擴展工況是將之前超設計基準事故中的一部分納入設計的考慮范圍，除此之外的統稱為剩余風險。

圖1 HAF 102（2004）中的電廠狀態Fig.1 Plant statesof HAF 102（2004）

圖2 國際原子能機構SSR-2/1（2012）中（在設計中考慮）的電廠狀態Fig.2 Plant states（considered in design）of IAEA SSR-2/1（2012）

圖3 國際原子能機構技術文件中對電廠狀態的描述Fig.3 Plantstatesdiscussed in IAEA technical docum ent

圖4 考慮剩余風險的電廠狀態Fig.4 Plantstates including residual risk

圖4所示的電廠狀態，增加了設計擴展工況和剩余風險兩個概念，前者包括選定的多重失效和嚴重事故序列兩部分，后者可能發生的概率極低，也是目前嚴重事故中由于認知不確定性而難以準確考慮的部分。

3 對縱深防御層次的影響

在早期縱深防御概念僅包含3個層次，三哩島和切爾諾貝利事故后，由于對超設計基準事故的重視，增加到5個層次的縱深防御。設計擴展工況的引入對縱深防御層次將有進一步的補充和完善［13］。西歐核監管協會在其報告中提出的新的縱深防御層次見表3，將原來的第3層次細分為3a和3b，3b即需考慮的多重失效事故，第4層次為堆芯熔化的嚴重事故，第3b層次和第4層次即本文所討論的設計擴展工況。

本文所推薦的新的縱深防御層次見表3，在保持原來5個層次的基本框架不變的情況下，把原來第4個層次細分成兩部分，用于應對設計擴展工況，同時把第5個層次加強，用于應對剩余風險。這比西歐核監管協會提出的縱深防御層次可能更加合理，主要是因為。

表3 西歐核監管協會考慮多重失效后的縱深防御層次Table3 Refined structureof the levels of defense in depth proposed byW ENRA

（1）在INSAG 10［13］或HAF 102中，第4層次的縱深防御包括了嚴重事故的預防和緩解，而多重失效正是嚴重事故預防的范疇，將多重失效放入第4層次并與之前的縱深防御原則保持一致，更具有沿承性。

（2）本文所推薦的縱深防御層次劃分相對于西歐核監管協會，更加明確使用了設計擴展工況的概念，其范圍與第4層次一致，使得工況分類與縱深防御層次相對應（而西歐核監管協會的設計擴展工況跨越了第3和第4層次）。同時也是考慮到設計擴展工況與第3層次設計基準事故的分析方法、應對措施以及安全要求方面有著較大的差異。

事實上，將多重失效序列放在第3層次或第4層次并沒有本質的區別，通過明確應對這些工況的設計要求和接受準則，可達到同樣的目的。

從表4中可以看出，調整后的縱深防御體系中“專設安全設施”和事故規程用于應對設計基準事故，“附加安全設施”和事故管理用于應對設計擴展工況，“補充安全措施”和特別的事故管理用于極端工況下的工程搶險，并減輕剩余風險的后果。對于剩余風險，是通過合理可達到的提高安全裕量、采取補充安全措施和縱深防御措施等減輕剩余風險的后果。

表4 考慮設計擴展工況和剩余風險后的縱深防御層次Table4 Refined structure of the levelsofdefense in depth contains DEC and residual risk

4 設計擴展工況清單的確定及安全分析接受準則

4.1 多重失效的序列清單及接受準則

SSR-2/1認為需要結合概率論、確定論安全分析和工程判斷的方法確定一組設計擴展工況，這給出了確定多重失效清單原則的方法；西歐核監管協會和國際原子能組織均認為需要考慮以下3種多重失效。

（1）始發事件導致的事故序列，超出了應對單一始發事件的安全系統的能力，如多根蒸汽發生器傳熱管破裂（SGTR）；

（2）多重失效（如共因失效導致冗余列失效）導致安全系統不能應對假設始發事件，如破口事故（LOCA）發生后高壓安注未能啟動，支持系統的失效是導致安全系統失效的主要原因之一。

（3）多重失效導致安全系統的喪失，安全系統用于正常運行和事故工況的安全功能，例如，用于正常運行和事故工況的最終熱阱全部喪失。

對于我國當前運行的二代改進型核電廠，在核電廠設計中已經考慮了典型超設計基準事故的序列，包含了喪失全部最終熱阱、喪失全部給水、全廠斷電、安噴或安注全部失效等。然而先進反應堆的設計和新的核安全要求中的考慮多重失效清單是遠遠多于這些序列的，如國際原子能機構初步推薦的未堆熔設計擴展工況清單［10］為14個，EPR對一級PSA中所有CDF＞1E-7的事故序列均進行了考慮，這些可以用作國內制訂新的安全要求時的參考。需要明確的是，對于多重失效序列，考慮到復雜性和必要性，其選取必須遵守確定論、概率論以及工程判斷的原則。

對于選定的不允許發生堆芯熔化的多重失效事故序列，其可接受準則與設計基準事故類似，但其分析方法可以是基于現實的、最佳估算方法。如在第三代原子能反應堆EPR的設計中，這類序列的可接受準則就與其設計基準事故Ⅳ類極限事故工況保持一致。

4.2 嚴重事故的清單及接受準則

嚴重事故是嚴重性超過設計基準事故并造成堆芯明顯惡化的事故工況，由于可能導致堆芯熔化的嚴重事故序列數量較多，不確定性也較大，始發事件疊加多重失效無法全面給出這些設計擴展工況清單。然而，考慮到嚴重事故后安全殼成為放射性包容的最終和最重要的屏障，目前已認知的影響安全殼完整性的嚴重事故現象已經在國際上有所共識，這些現象包括［14-16］：

（1）快速硼稀釋事故；

（2）高壓熔堆及安全殼直接加熱；

（3）蒸汽爆炸；

（4）氫氣燃燒和爆炸；

（5）熔融物—混凝土相互作用；

（6）安全殼旁通；

（7）安全殼緩慢超壓。

因此，確定設計擴展工況中嚴重事故清單時，宜先確定嚴重事故現象清單，在No.NS-G-1.10［15］等技術文件中列出的也是嚴重事故現象清單。確定完嚴重事故現象清單后，再根據每個嚴重事故現象的特點確定重要的事故序列。

嚴重事故的可接受準則是保證安全殼的完整性，對于每個嚴重事故現象，又有對應的可接受準則，比如對于高壓熔堆，國際研究通常使用在壓力容器失效前將一回路壓力降至2.0MPa以下可認為避免了高壓熔堆；對于氫氣燃燒和爆炸，我國發布的《福島事故后核電廠改進行動通用技術要求（試行）》［17］中要求“燃料活性區包殼金屬100%與冷卻劑反應產生的氫氣在安全殼內均勻分布時，氫氣濃度應小于10%。應避免安全殼完整性因局部區域氫氣積聚后可能產生的燃燒或爆炸而破壞，同時盡可能減少對嚴重事故緩解系統或設備功能的影響”。嚴重事故清單以及相應的可接受準則的確定，將指導核電廠通過合理的設計增強其緩解嚴重事故的能力。

此外，還有一類情況需要在設計擴展工況中考慮，即選定的極端外部事件，如超過設計基準的地震等。

5 設計擴展工況安全設施的設計要求

核電廠系統或設備的安全設計基準是與其承擔的安全功能相對應的，應對不同事故工況的安全設施應制訂不同的設計要求。可以從專設安全設施、附加安全設施以及補充安全措施3方面來考慮。

專設安全設施用于應對設計基準事故，如應急堆芯冷卻系統是安全級系統，抗震I類，需用保守分析證明滿足安全要求。

附加安全設施用于應對設計擴展工況，舉例如下。

（1）應對選定的多重失效序列的安全設施，如用于應對全廠斷電工況而設計的全廠斷電附加柴油機、應對未能停堆的預期瞬態工況而設計的應急注硼系統；

（2）應對選定的嚴重事故工況的安全設施，如避免高壓熔堆而設計的嚴重事故專用卸壓閥，避免氫氣燃爆而設計的氫氣復合器或點火器等；

（3）應對選定極端外部事件的例子包括，提升應急控制中心的抗震能力，設計擴展工況預防和緩解措施的抗震能力提升，增強防水封堵、抗大型商用飛機撞擊等。

這些附加安全設施可以設計為非安全級，但須具備與所要求功能相稱的可靠性，需要高置信度的表明能在設計擴展工況有關的環境條件下發揮作用，這就需要保證其在設計擴展工況下的可用性和可達性。應主要考慮以下幾個方面。

（1）抗震能力，附加安全設施應有一定的抗震能力，如國內新增加的氫氣復合器等嚴重事故緩解措施已滿足抗震I類要求；

（2）可用性要求，在高溫、高壓、輻照以及氣溶膠等環境條件下的可用性，可以通過設備鑒定或試驗、分析的方式進行論證；

（3）調試、質量保證、定期試驗、在役檢查以及在電廠運行技術規范的管理等要求，用以保證在電廠運行過程中的維護和維修，保證其可用性；

（4）適當地考慮多重性和多樣性。

補充安全設施主要用于應對剩余風險，其設置是以避免對正常運行以及預計運行瞬態和設計基準事故的應對功能造成不利影響為主要原則。如用于核電廠大范圍損傷狀態后果緩解的核電廠專門配置的移動電源、移動泵、貯水池，集團級的應急支援中心，以及場外應急準備等。這些設施須保證其在設計和安全分析中并不需要使用，但事故管理中包括設計基準事故和設計擴展工況下可以充分考慮其作用，用以避免核電廠狀態進一步惡化和盡可能緩解嚴重事故的后果。

6 總結

設計擴展工況的概念被廣泛地討論，且已應用在部分核電廠設計中。設計擴展工況的引入以及相應的設計要求和接受準則的提出可以進一步提高核電廠應對超設計事故的能力，本文對國際上主要新的核安全要求進行了分析和比較，對設計擴展工況內涵、對核電廠狀態以及縱深防御層次的影響，設計擴展工況清單及可接受準則、應對設計擴展工況的安全設施的設計要求等方面進行了初步探討，并給出以下建議。

（1）國內在制訂新的核安全要求時，可以借鑒設計擴展工況的概念，對新建核電廠在超設計基準事故應對方面提出更加合理的安全要求，這有利于實現“核安全規劃”給出的新的安全目標——實際消除大量放射性物質釋放；

（2）應考慮集中核安全監管當局和工業界的力量，對國際原子能機構和歐洲等提出的設計擴展工況清單基礎上結合國內特點進行修改和完善，建立具有核電廠設計特點的設計擴展工況清單的確定方法；

（3）對于核電廠設計中用于應對設計擴展工況的附加安全設施，應在抗震能力、環境可用性、定期維護、多重性與多樣性等方面提出設計準則，并提出關于設計擴展工況的技術見解。

［1］環境保護部核與輻射安全監管二司，環境保護部核與輻射安全中心.日本福島核事故［M］.北京：中國原子能出版社，2014.

［2］國家核安全局，國家發展改革委，財政部，等.核安全與放射性污染防治“十二五”規劃及2020年遠景目標［R］.北京：國家核安全局，國家發展改革委，財政部，2012.

［3］WENRA RHWG.Report Safety of new NPP designs［R］. Europe：WENRA，2013.

［4］IAEA.Safety of Nuclear Power Plants：Design，IAEA No. SSR-2/1［S］.Vienna：IAEA，2012.

［5］Office for Nuclear Regulation.Safety Assessment Principles for Nuclear Facilities［R］.Bootle：ONR，2014.

［6］NRC，Recommendation on Enhancing Reactors Safety in the 21stCentury［R］.Washington DC：NRC，2011.

［7］董毅漫，張弛，宋大虎，等.我國核電安全目標發展取向的思考［J］.核安全，2012（4）：10-15.

［8］Electricity de France.European Utility Requirements（EUR）Document.Rev.C［S］.France：EDF，2003.

［9］Groupe PermanentchargédesRéacteursnucléaires，Technical Guidelines for the Design and Construction of the Next Generation of NPPsw ith PWR［S］.Berlin：GPR，2000.

［10］IAEA.Considerationson the Application of the IAEA Safety Requirements［R］.Vienna：IAEA，2014.

［11］柴國旱.后福島時代對我國核電安全理念及要求的重新審視與思考［J］.環境保護，2015，43（7）：21-24.

［12］國家核安全局.核動力廠設計安全規定［S］.北京：國家核安全局，2004.

［13］IAEA.Defense in depth in nuclear safety.75-INSAG-10［R］.Vienna：IAEA，1996.

［14］湯博.“實際消除大規模放射性釋放”概念的探討［J］.核安全，2013（S1）：15-20.

［15］IAEA.Design of the Reactor Containments for Nuclear Power Plants，No.NS-G-1.10［R］.Vienna：IAEA，2004.

［16］王中堂.加強嚴重事故研究，提高核電廠安全水平［J］.核安全，2014（1）：1-3.

［17］國家核安全局.福島核事故后核電廠改進行動通用技術要求（試行）［S］.北京：國家核安全局，2012.

Prelim inary Study on the Conceptof Design Extension Conditionsof New NPPDesigns

YANGZhiyi，CHONGYimin，ZHANG Jiajia，FENG Jinjun，CHENYuechao，LIChun*，CHAIGuohan
（Nuclearand Radiation SafetyCenter，MEP，Beijing100082，China）

A fter Fukushima Dai-ichinuclearaccident，new nuclearsafety objectivesand principlesarebeing studied inmain nuclearpower countriesand organizations，to further improve thesafety levelofnuclear powerplant.In thispaper，a prelim inary discussion on the conceptofdesign extension condition（DEC）was conducted，mainly including itssignificance，connotation，acceptance criteria，the influenceon the defense in depth principle，and design requirementofDEC safety featuresetc.Thisstudymay be valuable in thedevelopmentofdomesticnew nuclearsafety requirements.

new NPPdesigns；design extension conditions；defense in depth

TL364+.4

：A

：1672-5360（2015）04-0064-06

2015-03-13

2015-04-20

環保公益性行業科研專項，項目編號201309054；哈爾濱工程大學專項科研基金項目，項目編號HEUFN1303

楊志義（1985—），男，河北衡水人，工程師/碩士，現主要從事核安全審評與研究工作

*通訊作者：李 春，E-mail：lichun@chinansc.cn