核電廠設計上實現實際消除論證方法研究

邢 繼，魏 瑋，劉 靜，喻新利

(中國核電工程有限公司，北京 100840)

鑒于核電技術的復雜性，特別是多起核電事故發生后，公眾對核能利用的安全性提出了質疑。隨著核電的發展，國內外對核電廠的安全性更加重視，尤其針對可能導致大量放射性釋放的嚴重事故工況的應對提出更高的設計要求，要求設計上必須實現實際消除。《核動力廠設計安全規定》(HAF102—2016)提出必須實際消除可能導致早期放射性釋放或大量放射性釋放的事件序列[1]。HAF102—2016以IAEA SSR2/1—2016為基礎，吸納了國際最高設計要求，對乏燃料水池設計、設計擴展工況、外部災害等方面分別提出了實際消除相關要求。我國《核安全與放射性污染防治“十二五”規劃及2020年遠景目標》要求“十三五”及以后新建核電機組力爭實現從設計上實際消除大量放射性物質釋放的可能性[2]。核安全監管部門于2019年借鑒IAEA TECDOC-1791等技術文件、結合國內核安全審評實踐經驗，發布《“華龍一號”融合方案核電項目核安全審評原則》(簡稱華龍一號審評原則)，對實際消除的概念和應用給出了更具體的要求。

HAF102—2016明確要求發生頻率高的事故序列沒有或僅有微小的潛在放射性后果、嚴重事故下僅需在區域和時間上采取有限的防護行動，但國內監管部門對區域、時間尚無明確要求，國際上各國準則也不盡相同。法國要求場址邊界5 km外不需要防護行動，芬蘭有限距離為20 km，俄羅斯為25 km。印度允許可以執行場外干預行動，但要求必須有足夠時間[3]。西歐核監管協會(WENRA)要求實現3 km應急撤離區、5 km隱蔽區域。歐洲用戶要求(EUR)中提出有限影響準則(CLI)，要求場址邊界800 m外不需要撤離、3 km外不需要隱蔽。核電廠設計上實現實際消除采用確定論、概率論方法進行論證。目前國際上概率準則也不盡相同，美國、加拿大要求內部事件、外部事件導致的大量放射性釋放頻率(LRF)小于1×10-6/堆年，芬蘭要求小于5×10-7/堆年，羅馬尼亞、俄羅斯要求小于1×10-7/堆年，美國要求安全殼條件失效概率小于0.1，芬蘭要求早期失效占比較少[3]。我國針對新建核電廠要求全范圍堆芯損壞頻率(CDF)小于1×10-5/堆年，LRF小于1×10-6/堆年。外部災害導致的早期或大量放射性釋放也需要被實際消除。由于概率安全分析(PSA)的局限性，外部事件PSA不確定性較大，根據國內外實踐，外部事件的實際消除論證不建議采用概率論方法，主要通過核電廠針對超設計基準外部事件進行設防并有足夠裕量來保證。本文主要研究內部事件導致的早期或大量放射性釋放的實際消除的論證方法，提出實際消除的定量驗收準則及核電廠設計上實現實際消除的論證方法和流程，并以華龍一號為例，對其設計上實現實際消除開展論證分析。

1 實際消除技術要求

國內外核電廠設計與運營要求應能有效應對嚴重事故以實現實際消除，將嚴重事故區分為設計中考慮的嚴重事故和不需要在設計中考慮的嚴重事故。對設計中考慮的嚴重事故，作為設計擴展工況的一部分，放射性后果是有限的，要求在嚴重事故下僅需要在區域和時間上采取有限的防護行動，且有足夠的時間實施這些防護行動；對設計中不再考慮的嚴重事故(通過設計中采取的措施實際消除這些工況后從而不再在設計中考慮)提出實際消除的要求。HAF102—2016要求核動力廠實際消除的范圍包括：1) 導致早期放射性釋放或大量放射性釋放的核動力廠事故序列；2) 放射性釋放源需考慮堆芯和乏燃料水池；3) 針對外部災害要求設計有適當裕量，在超設計基準自然災害事件發生時，保護用于防止早期或大量放射性釋放所需的物項。

早期放射性釋放為在預期時間內不能全面有效執行必要的場外防護行動的放射性釋放；大量放射性釋放為需要廠外防護行動，但這些行動受到時間長度和使用區域的限制，不足以保護人員和環境而導致的放射性釋放[1,4]。根據國內外實踐及要求，需要實際消除的可能導致早期或大量放射性釋放的事故工況包括：1) 導致堆芯快速損傷及安全殼早期失效的事件(反應堆冷卻劑系統中大的承壓設備失效，不可控的反應性事故)；2) 導致安全殼早期失效的嚴重事故工況(安全殼直接加熱，氫氣爆炸，蒸汽爆炸)；3) 導致安全殼晚期失效的嚴重事故工況(堆芯熔融物-混凝土相互作用(MCCI)導致的底板熔穿，喪失安全殼長期排熱導致安全殼晚期超壓)；4) 安全殼旁通的嚴重事故工況；5) 停堆工況安全殼開口的嚴重事故工況；6) 燃料儲存池中的燃料嚴重降級和不可控釋放。

實際消除早期或大量放射性釋放是對核電廠安全設計提出的更高要求，但實際消除不是沒有放射性釋放，而是發生頻率高的事故工況放射性后果有限。實際消除定義為物理上不可能發生或高置信度極不可能發生，對核電廠設計來說，必須滿足：1) 可能導致早期或大量放射性釋放的事故工況由于固有安全性物理上不可能發生或通過設計應對措施使該工況高置信度極不可能發生；2) 發生頻率高的事故工況，屬于未被實際消除的工況，應當在設計中考慮，必須確保放射性后果有限。

2 實際消除驗收準則及論證方法

2.1 實際消除驗收準則

三哩島事故發生了堆芯損壞，但由于安全殼的有效包容使最終釋放到環境的放射性物質非常有限，對周圍公眾的健康影響輕微。因此只要保證嚴重事故下安全殼的完整性并防止安全殼被旁通，就可將大量放射性物質包容在內。同時要求發生頻率高的嚴重事故工況向環境的放射性釋放是有限的，即僅需在有限時間和區域采取有限的操作且時間足夠。因此核電廠設計上要實現實際消除就必須設置完善的嚴重事故緩解措施確保即使發生堆芯損壞的嚴重事故(設計中考慮的)也可保證安全殼的有效包容，避免發生早期或大量放射性釋放。實際消除論證主要采用確定論和概率論方法，驗收準則包括確定論驗收準則和概率論驗收準則。確定論驗收準則包括放射性和安全殼屏障完整性驗收準則。

1) 確定論驗收準則

(1) 安全殼屏障完整性驗收準則

設計上滿足實際消除需要確保安全殼的完整性，根據現有嚴重事故現象、嚴重事故管理及PSA的研究，主要關注的參數包括一回路壓力、安全殼壓力、堆芯熔融物可冷卻性、安全殼內氫氣濃度等。需要針對可能導致早期或大量放射性釋放的嚴重事故情景設置充分的設計措施確保安全殼屏障完整性相關參數滿足驗收準則以保證安全殼完整性。對于安全殼屏障完整性驗收準則國內外沒有較大分歧，具體驗收準則和電廠設計相關，如堆芯損壞時一回路壓力必須低于2 MPa避免發生高壓熔堆，但為保證壓力容器堆內或堆外成功滯留，部分電廠要求一回路壓力低于1 MPa。

(2) 放射性驗收準則

HAF102—2016要求在技術上實現減輕放射性后果的場外防護行動是有限的，甚至是可取消的，即要求放射性釋放對公眾和環境的影響有限。放射性驗收準則可表述為工作人員或公眾的有效劑量，以便于和應急防護行動相對應；也可將核電廠設計特征與環境特性解耦，表達為劑量的放射性驗收準則可轉換為不同放射性核素的可接受活度水平，以便于新堆型設計之初缺少特定廠址、氣象等條件下也可進行實際消除的論證研究及嚴重事故緩解措施的總體設計工作。

WENRA和法國要求實現3 km的應急撤離區、5 km的隱蔽區域。法國提出隨著核電安全技術的提升，CLI的安全目標是可以變化的。我國煙羽應急計劃區范圍為以反應堆為中心、半徑7～10 km，分為內區和外區，其中內區為半徑3～5 km范圍，在內區做好在緊急情況下立即采取隱蔽、服用穩定碘和緊急撤離等緊急防護行動[5-6]。參照國際實踐及我國應急準備和響應相關要求，建議現階段我國有限影響定量準則為場區邊界3 km外不需要撤離、5 km外不需要隱蔽，即為實際消除放射性驗收準則。

嚴重事故的驗收準則通常以概率論安全準則和確定論驗收準則的形式表達。確定論驗收準則通常包括嚴重事故后137Cs的長期健康效應/釋放應低于規定的限值[7]。對于長期釋放，137Cs的釋放量應低于指定的限值(如100 TBq)，對于其他核素，在規定時間(3個月內)不應造成更大的危險[8]。根據實際消除的放射性驗收準則建議，要求滿足場區邊界3 km外不需要撤離、5 km外不需要隱蔽。隱蔽的通用優化干預水平是在2 d內可防止的劑量為10 mSv，臨時撤離的通用優化干預水平是在不長于1周的期間內可防止劑量為50 mSv[5-6]。將核電廠設計特征與廠址及環境特性解耦，通過典型事故工況環境后果分析可推導出137Cs等效放射性活度。

根據典型事故工況環境放射性評估，場址邊界3 km處7 d有效劑量為0.191 mSv、場址邊界5 km處2 d有效劑量為0.065 7 mSv時對應的安全殼釋放為6.0 TBq等效137Cs[9-10]。根據隱蔽、撤離的通用優化干預水平，可推算出場址邊界3 km外不需要撤離對應的放射性釋放要求小于1 500 TBq等效137Cs，場址邊界5 km外不需要隱蔽對應的放射性釋放要求小于1 000 TBq等效137Cs。實際消除的放射性驗收準則為3 km外不需要撤離且5 km外不需要隱蔽，因此放射性釋放要求小于1 000 TBq等效137Cs。為滿足實際消除安全要求需要在設計上將部分嚴重事故工況作為堆芯熔化的設計擴展工況(DEC-B)，在設計中考慮并設置完善的應對措施。綜合考慮國內廠址、氣象條件的不確定性，考慮一定裕量，建議DEC-B設計要求為小于100 TBq等效137Cs，該準則也是二級PSA分析中大量放射性釋放的準則。

2) 概率論驗收準則

實際消除定義為在物理上不可能發生或高置信度極不可能發生。對于核電廠需要實際消除的事故工況來說，論證原理上不可能發生是最好的，需要通過核動力廠基本原理設計的選擇來消除或排除固有危害而實現固有安全，對于輕水堆核電廠來說，比較難實現。對于無法在原理上排除不可能的事故序列，應采取充分的設計和運行措施確保極不可能發生。因此新增概率準則為：每個早期或大量放射性釋放事故工況發生頻率(ELRF)小于10-8/堆年(點值)。華龍一號審評原則中推薦以每堆年發生概率小于10-7/堆年作為一種實際消除的輔助概率判斷值[11]，工程實踐中通常考慮高置信度。

采用確定論、概率論方法論證實際消除可能導致早期或大量放射性釋放的事故工況，并考慮因對一些物理現象認識的局限性而導致的不確定性。在使用概率論評價認為已經實際消除了每個特定的事故工況時，需要考慮所有不同情況的累積貢獻，不得超過監管機構規定的早期或大量放射性釋放的目標值。因此，對于我國新建核電廠，實際消除還需要滿足CDF小于10-5/堆年、LRF小于10-6/堆年，范圍為功率運行和低功率停堆工況下的內部、外部事件。根據IAEA核電廠設計工況F-C曲線(圖1，其中NO為正常運行，AOO為預計運行事件，DBA為設計基準事故)及放射性驗收準則的討論，實際消除作為安全目標，其要求實際消除的大量釋放和堆芯熔化的設計擴展工況(DEC-B)設計要求中的放射性釋放有一定的裕量，為避免陡變效應，建議新增概率準則：更大量放射性釋放(MLRF)的累積頻率低于10-7/堆年。

圖1 核電廠設計工況F-C曲線Fig.1 F-C curve of design condition for nuclear power plant

基于上述分析，設計上滿足實際消除需要確保設計中考慮的嚴重事故工況在堆芯損壞情景下仍可保證安全殼的完整性，同時不發生安全殼旁通，另外，實際消除要求每個工況有應對措施且高置信度不可能發生，實際消除驗收準則為：(1) 安全殼屏障完整性，實際消除工況設計上有可靠、有效的應對措施，包括設計措施和運行管理措施；(2) 每個實際消除工況發生頻率(點值)ELRF<10-8/堆年；(3) 累積頻率CDF<10-5/堆年、LRF<10-6/堆年、MLRF<10-7/堆年；(4) 發生頻率高的事故序列放射性后果有限，滿足DEC-B設計要求(小于100 TBq等效137Cs)及實際消除安全目標(3 km外不需要撤離、5 km外不需要隱蔽)。

2.2 實際消除論證方法

實際消除的論證主要采用確定論和概率論方法，基于本文中確定的實際消除驗收準則，形成實際消除的論證方法和流程，該分析流程針對物理上可能發生的事故工況的實際消除論證，主要包括以下內容。

1) 確定實際消除工況，闡述實際消除工況在設計上有應對措施。實際消除工況必須設置相應的預防和緩解措施，包括設計及運行管理措施。對于壓力容器破裂、安全殼旁通等事故情景主要從預防角度進行考慮。

2) 論證實際消除工況的應對措施可靠有效，選取典型事故工況論證實際消除工況應對措施的有效性。驗收準則主要關注安全殼屏障完整性相關參數，包括一回路壓力、堆芯熔融物可冷卻性、安全殼壓力、安全殼內氫氣濃度等。

3) 論證每個實際消除工況發生頻率ELRF<10-8/堆年，開展二級PSA分析計算單個工況發生頻率。

4) 論證累積頻率CDF<10-5/堆年、LRF<10-6/堆年、MLRF<10-7/堆年。開展全范圍PSA分析計算CDF、超過DEC-B驗收準則的放射性釋放累積頻率LRF、超過實際消除放射性驗收準則的累積頻率MLRF。

5) 論證發生頻率高的事故序列放射性后果有限，僅需要在有限的區域和時間上采取有限的防護行動。發生頻率高的嚴重事故工況作為設計中考慮的工況，該工況需要滿足放射性驗收準則，即滿足DEC-B設計要求及實際消除安全目標(3 km外不需要撤離、5 km外不需要隱蔽)。通過二級PSA分析識別發生頻率高于10-8/堆年的事故工況，并選取典型事故序列進行環境輻射后果評價。

3 華龍一號設計上實現實際消除論證

根據上文提出的實際消除具體工況、驗收準則及論證方法和流程進行華龍一號設計上實現實際消除的論證。

3.1 實際消除工況有應對措施且可靠、有效

以安全殼直接加熱導致安全殼早期失效的嚴重事故工況的實際消除論證為例進行闡述。本事故的事故情景是壓力容器失效時的高壓熔噴，這種事件可能因安全殼直接加熱、可能同時發生氫氣燃燒或熔融物直接沖擊安全相關設備和安全殼，對安全殼完整性造成早期威脅。

1) 設計上有應對措施

使用冗余和多樣化系統通過縱深防御來預防高壓熔堆。提供高度可靠的熱量導出功能，通過電動、氣動輔助給水、大氣釋放閥進行二次側充排及二次側余熱排出系統以受控和可靠方式使一次側卸壓。另外，通過一回路快速卸壓系統對一次側直接卸壓，防止高壓熔堆現象的發生。

2) 應對措施可靠、有效

喪失全部給水疊加多重安全功能失效的事故序列為典型高壓熔堆事故，華龍一號針對該事故進行一回路快速卸壓計算分析。結果表明：當堆芯出口溫度達到650 ℃，手動打開一列快速卸壓閥，壓力容器下封頭失效時反應堆冷卻劑系統壓力低于發生高壓熔噴事故的壓力限值，可有效避免高壓熔堆事故。另外，一回路快速卸壓閥經過嚴重事故環境鑒定，可確保在嚴重事故下可用。

3) 發生頻率低于10-8/堆年

對DCH事故進行確定論計算分析，計算安全殼壓力，并與安全殼失效概率曲線相比，導致安全殼失效的可能性很低。通過PSA分析表明，高壓熔堆導致安全殼失效造成早期大量放射性釋放的可能性低于10-8/堆年。因此華龍一號該事故工況可認為已被實際消除。針對每個實際消除工況，華龍一號有可靠有效設計措施(表1)，并經過嚴重事故鑒定確保惡劣環境下可用，同時設置完善的事故管理程序，包括應急運行規程(EOP)、嚴重事故管理導則(SAMG)、大范圍損傷管理導則(EDMG)、應急計劃。因此，華龍一號設計滿足安全殼屏障完整性驗收準則。

表1 華龍一號實際消除工況應對措施Table 1 Countermeasure for practical elimination condition for HPR1000

3.2 每個實際消除工況發生頻率論證

通過開展二級PSA計算導致早期或大量放射性釋放的事故工況發生頻率及放射性釋放量(表2)。分析結果表明，華龍一號滿足驗收準則ELRF<10-8/堆年。

3.3 累積頻率論證

對華龍一號開展了內部事件、外部事件、功率運行和低功率停堆工況全范圍PSA分析，計算不同事故工況放射性釋放量(表2)，得到華龍一號累積頻率。分析結果表明，華龍一號滿足CDF<10-5堆年、LRF<10-6/堆年、MLRF<10-7/堆年的累積頻率準則。

表2 華龍一號每個事故工況發生頻率及放射性釋放量Table 2 Frequency and quantity of radioactive release of each accident condition for HPR1000

3.4 發生頻率高的事故序列放射性后果有限

通過二級PSA分析識別大于10-8/堆年的事故序列為堆芯損壞后嚴重事故緩解措施有效、最終安全殼完好的事故序列，根據表2，安全殼完好事故類放射性釋放遠小于DEC-B設計要求(小于100 TBq等效137Cs)。選取典型工況開展了環境放射性后果分析，全廠斷電始發的嚴重事故放射性后果在非居住區邊界(500 m)的有效劑量為2.73 mSv[12]，遠小于隱蔽和撤離的通用優化干預水平。因此對于發生頻率高的事故工況，華龍一號放射性后果有限，滿足實際消除的安全目標，即場址邊界3 km外不需要撤離、5 km外不需要隱蔽的CLI。

4 實際消除驗收準則敏感性研究

對不同場址邊界不需要隱蔽、撤離對應的放射性釋放量進行了敏感性分析，結果列于表3。

表3 放射性釋放量敏感性分析Table 3 Sensitivity analysis for quantity of radioactive release

華龍一號目前設計滿足場址邊界500 m外不需要緊急防護行動。綜合考慮不同廠址特征、氣象條件、計算不確定性及國際實踐，建議現階段我國CLI為3 km外不需要撤離、5 km外不需要隱蔽。隨著核電安全技術的提升，有限時間有限空間采取有限操作的安全目標是可以變化的。

5 結論與展望

本文對實際消除的技術要求、我國現階段定量驗收準則及核電廠設計上實現實際消除的論證方法進行了研究，得到如下主要結論。

1) 實際消除是對核電廠安全設計提出的更高要求，但不是要求沒有釋放而是可能導致早期或大量放射性釋放的事故工況被實際消除，未被實際消除的工況需要在設計中充分考慮使其放射性后果有限。

2) 首次提出我國現階段實際消除的確定論、概率論驗收準則建議，明確了實際消除放射性驗收準則和DEC-B設計要求。本文提出的實際消除定量驗收準則可識別核電廠嚴重事故預防和緩解薄弱環節、指導核電廠嚴重事故緩解措施總體設計以提高安全性，同時在滿足安全目標前提下可精簡設計提高經濟性。

3) 提出核電廠內部事件導致的早期或大量放射性釋放實際消除的論證方法和流程，并以華龍一號為例進行分析，結果表明，華龍一號更加充分考慮了嚴重事故預防與緩解措施，即使發生設計中考慮的嚴重事故也可保證安全殼的有效包容，設計上實現了實際消除。

本文提出的實際消除相關見解和華龍一號的應用實踐具有較好的理論研究價值和工程實踐意義，相關研究結果也可推廣應用于其他類型核動力廠。實際消除不是絕對安全而是放射性釋放影響有限，建議后續業界共同研究，綜合考慮核電廠安全性和經濟性，提出“有限空間有限時間執行有限防護行動”既現實又滿足核安全法規及應用需求的設計要求，為先進核電廠總體設計提供基礎。