1、对 纵深防 御的思考 范育茂 朱 宏 （环境保护部西南核与辐射安全监督站，成都，610041） 摘要： 日本福岛核事故是世界 核电运行史上首个由于极端自然灾害导致多个反应堆堆芯损坏的严重事故， 将对全球核能发展产生深刻的影响。本文对作为核安全基本原则的纵深防御进行了梳理和讨论，概述了纵 深防御的涵义及其发展，描述了其实施过程；在分析福岛核事故暴露出的问题和带来的挑战之基础上，对 后福岛时代的纵深防御体系给出了几点初步思考。 关键词： 福岛核事故 纵深防 御 核安全 设计基准 1 引言 2011 年 3 月 11 日 ，日 本 东北 地 区发 生里氏 9.0 级特 大地震 ， 加上 随之 而来
2、的 巨大海 啸， 导致福 岛第一 核电 站(Fukushima Dai-ichi Nuclear Power Station) 发生严 重事 故，成 为 世界 核电 五十多年 运行 历史 上首 个由 于 极端 外部 自然 事件 导致 多个 反 应堆 堆芯 损坏 的核电站 。 福 岛核 事故反 映出 当前 人类 社会 对极端 自然 灾害 的认 识还 存在局 限性 ， 直接 挑战 了核能 界 对核 事故 风险的 传统 认识 ，人 们不 能再以 福岛 核事 故前 的思 维来对 待核 安全 问题 了。 福岛核 事故 ， 正在 促使 各国 重新审 视现 有的 核安 全监 管框架 ， 反思 对核 安全 的
3、本 质认识 ， 加紧研 究很 多过 去未 曾考 虑或忽 视的 核安 全议 题， 如一址 多堆 核电 机组 的相 互影响 、 极 端外 部事件 叠加 导致 的多机 组严重事 故预 防与 缓解 、实 体屏障 发生 共模 失效 的概 率及应 对措 施 等。 在 此背 景下， 有必 要对纵 深 防御(Defense-In-Depth) 这一核安 全的 基本 原则 和根 本 理念 进 行重新 梳理 和讨 论， 总结 经验、 吸取 教训 ，以 “亡 羊补牢 ” ， 真正 确保 后福 岛 时代的 核安 全 “ 万 无一 失” 。本 文即 是对此 议 题的 初步 思考 。 2 纵深防御 2.1 涵义 及其 发
4、展 纵深防 御是 上世 纪50 年代 逐步发 展起 来的 一种 核安 全策略 。 对 于纵 深防 御的 概念， 迄今为止还 没有 一个 权威 的官 方定义 ， 但 全世 界核 能界 对之的 理解 和应 用基 本一 致， 都 视之 为核 安全的 基本 原则 ， 核 心理 念是依 次设 置一 系列 多层 次的保 护 ， 以 保持反 应性 控制 、 堆芯 冷却 和放射 性包 容三 项基 本安 全功能 ， 进而 确保工 作人 员、 公众 和环 境安全 。 它 贯彻于 安全 有关 的全部 活动 ， 包括与 组织 、 人 员行 为或 设计有 关的 方面 ， 以 保证 这些活 动均 置于重 叠措 施 的 防
5、御之 下， 即使 有一 种故 障发生 ，它 将由 适当 的措 施探测 、补 偿或 纠正 1 。 因此， 可以 说， 应用纵 深防 御原 则之 根本 目的是 为了 补偿 由于 认识 不足而 在人 类活 动中 产生 的不确 定性 2 。 在今天 ， 纵 深防 御不 仅仅 是一个 安全 概念 ， 也 是一 种原则 、 一 种方 法， 更是 一种理念、一 种 体系 3 。 众所周 知， 从技 术层 面度 量风险 的大 小或 程度 时， 风险等 于事 故后 果乘 以事 故的发 生概 率。 因此 ， 要 降低 核能 发 展可能 带来 的风 险， 就需 要采取 尽可 能的 措施 降低 事故发 生概 率和 （
6、或） 事故 后果 。 前 者就 是我们 通常 所说 的事 故预 防范畴 ， 后 者则 属于 后果 缓解范 畴。1967 年 ， 美国 原子 能委 员会(U.S. AEC) 的一 个内 部研 究报 告首先 提出 了核 反应 堆纵 深防御 的三 个 基本层 次： 事故 预防 、 保 护和缓 解， 并强 调应 把安 全投入 和措 施主 要集 中于 事故预 防上 ； 随 后，美 国核 管理 委员 会(U.S. NRC) 将之 调整 为事 故预 防、缓 解和 应急 准备 三个 防御层 次 4 。 随着上 世纪 两起 严重 核事 故的发 生， 人类 对核 事故 的认识 和研 究逐 步加 深， 相应的 安全
7、 措 施 日渐 成熟， 便 形成 了今 天 的纵 深防 御体 系： 四道 实 体屏 障和 五个 连续 的防 御 层次。 就典 型的水 冷反 应堆 而言 ， 四 道实体 屏障 分别 是燃 料基 体、 燃料 包壳 、 反 应堆 冷 却剂系 统压 力边 界和安 全壳 。五 个连 续的 防御层 次见 下表 所示 ： 表1 纵 深防 御的 层次 5防御层 次 目 标 基本方 法或 手段 层次 1 防止偏 离正 常运 行及 防止 系统失 效 保守设 计、 高质 量的 建造 和运行 层次 2 纠正偏 离正 常运 行及 探测 系统失 效 控制和 保护 系统 及其 他监 督设施 层次 3 把事件 控制 在设 计
8、基 准事 故范围 内 专设安 全设 施和 事故 处理 程序 层次 4 控制严 重事 故进 程和 缓解 事故后 果 补充措 施和 事故 管理 层次 5 缓解放 射性 物质 大量 释放 所致的 放射 后果 厂外应 急响 应 为使纵 深防 御得 以有 效实 施， 各个 防御 层次都 包含 如下的 基 本前 提： 适当 的保 守 性、 质量保证 和安 全文 化。 在表示 每个 防御 层次 的可 靠性 要求时 ， 虽然 没有通 用的 定量指 标 ， 但 第 一层次 无疑 应视 作重 点 1 。 实 践中 ， 一般 应用 冗余性 、 多 样性 和独 立性原 则 来确保 各防 御层 次的可 靠性 。 2.2
9、 实施 过程 从表 1 可 知， 纵深 防御 的每 个 层次 都 有其 特定 的目 标， 包 括实 体屏 障的 保护 和实现 这种 保护的 方式 。 要确 保各 防御 层次目 标的 实现 ， 就需 要执 行和维 持三 项基 本安 全功 能及导 出（ 或 辅助） 的安 全功 能。 因 此 ，为 应 对给 基本 安全 功能 带来的 可能 挑战 （由某 些机 理 、 过程 或条 件所引 起） ， 需要 在给 定的防御层 次上 采 取纵 深防 御的 规 定（ 或措 施） ，包 括固有 安 全特 征、 安全裕 量、 （非 ）能 动系 统 、程序 、操 纵员 动作 、组 织措施 和安 全文 化等 ，如 下
10、图所 示 6 。 图1 为达 成安 全目 标所 应采取 的防 御措 施 3 问题与挑战 如三里 岛和 切尔 诺贝 利核 事故一 样 ， 福 岛核 事故 再次 清晰地验 证了 纵深 防御 的至 关 重要 性， 同 时也 暴露 了现 存的 纵深防 御体 系存 在的 漏洞 和不足 ， 即 对确 保核 安全 所起到 的必 要而 远不充 分的 作用 。 依 据纵 深防御 原则 ， 只 有当 连续 且互相 独立 的各 级保 护全 部失灵 后才 会出现损害 ； 从 目前 掌握 的情 况分析 ， 福岛 第一 核电 站的各层 （级 ） 保 护并 没有 实现真 正的 相互 独立， 它们 都被 同一 串事 件影响
11、甚至 损坏 ，属 于典 型的共模 失效 。 在福岛 核事 故中 ， 由 于地 震及随 后的 海啸 导致 核电 站出现 （长 时间 的） 全 厂 断电(SBO) 事故 ， 堆 芯冷 却和最 终热 阱丧失 ， 使得 堆芯余 热无 法及时 导出 ， 进而对 各道 实体屏 障的 放 射 性包容 功能 构成 重大 威胁 。 正是 由于 全厂 断电 这一 共因使 得各 层保 护屏 障出 现漏洞 ， 最 后导 致燃料 元件 部分 熔化 、 放 射性物 质主 动或 被动 释放 到环境 中 。 由 此， 为防 范 核事故 或降 低事 故后果 ， 全过 程运 用纵 深防 御理念 远不 够 ， 更 重要 的是 要始
12、终 确保 各个 防御 层次 的可靠 性 （主 要表现 为完 整性 和有 效性 ） 。 更重要 的是 ， 福岛 核事 故揭示 了 我们 对纵 深防 御的 认识 尚 不够 全面， 过分 注重 事故 预 防， 而对严 重事 故 （尤其 是极 端外部 事件 导致 的超 设计 基准事 故 ） 的 后果缓 解研 究不够 ， 导致 一 旦发生 严重 事故 时， 常常 措手不 及、 应对 不力 。 换 句话说 ， 在 贯彻 和实 施纵 深防御 原则 过程 中，要 始终 注意 和强 调“ 安全措 施的 均衡 性” ，后 果 缓解（ 包括 应急 ）功 能和 事故预 防同 等 重要， 每一 道防 线都 不可 或缺且
13、 须同等 “坚 固” ， 并作 为 “最 后一 道防 线” 来认 识 与落 实 7 。 4 几点思考 前车之 鉴 ， 后 事之师 。 福 岛核事 故之 后 ， 要使 公众 真正接 受核 能的 发展 应用 和恢复 对核 安全的 充分 信心 ， 需 要全 球核能 界在 现 有基 础上 实施 较 大的 安全 改进 和 作出 持续的 努力。笔 者以为 ，后 福岛 时代 的纵 深防御 可能 会面临 和呈 现以下变化 和特 征： 4.1 公 众能 接受 的核 安全和 核 安全 目标 从辐射 的角 度看 ， 福 岛核 事故并 没有 导致 急性 的辐 射死亡 ， 预 期也 不会 给公 众造成 重要 的延迟 辐
14、射 健康 效应 8 ；但 造 成的 政 治、 社会 和经 济方面 的后 果 （ 如大 面积 的土地 污染、事 故后大 量居 民的 重新 安置 、 巨额 的经 济损 失 等 ） 却相 当 严重， 尤 其是一 起严 重核事 故将造 成 公众普 遍减弱 甚至 丧 失对 核电发 展的 信心 。 因此， 由 于 核事 故所 具有 的影 响的 全 球性、 后果 的难于 恢复 性 、 公众 的极 度敏感 性等 特点 ， 可以 预见 在 将来 如福 岛这 样的 核事 故 （ 即使 是由 极端自 然灾 害所 致） 公众 是不能 接受 的。 在后福 岛时 代 ， 对 公众 而言 什么是 安全 的核 电站 ？如 果
15、在增强 的纵深 防御 体系 的有效 作用下 ， 核 电站 在正常 运行 或事故 情况 下 ， 都不 会向 环境释 放过 量的 放射 性物 质； 即使 在发 生 极端事 件 （ 包括 堆芯 损毁 ） 时， 我们 有充 分的 把握 保护民 众的 健康 ， 并 使环 境受到 的影 响是 有限、 暂时 、 可恢 复的 ， 则此时 的核 安全 可以 说是 有充分 保障 的， 也是 公众 能接受 的。 在未 来， 保 护公 众健 康和 安全 免受辐 射伤 害仍 然是 核安 全的首 要任 务， 同 时也 应 防止或 最小 化事 故情况 下放 射性 物质 大量 释放所带 来的 社会- 政治- 经济后果 和环
16、境方 面的 影响 9 。为此 ，可 能需要 变革 现有 的核 安全 框架体 系， 而作 为实 现安 全目标 的具 体过 程和 措施 ， 纵深 防御 亦将 面临重大 调整 和加 强。 4.2 设计 基准 的 扩展 50 多年 以来 ，纵深 防御 对 保证核 安全 的重 要作 用已 被大量 实践 所证 实， 仍将 继续得到 贯彻 10 。在后 福岛 时代 ， 纵深防 御在 各国 核安 全监 管框架 中的 基础 地位 不会 动摇， 并得 到 巩固， 充分 性和 可靠 性将 增强， 尤其 是设 计基 准的 适用范 围将 扩展 。 过去 ， 设计基 准已 成为 核安全 管理 理论 中的 一个 中心要 素
17、， 现役 的核 反应 堆均是 依照 设计 基准 方法 被设计 、 许 可和 运行 。 设 计基 准的概 念等 同于足 够的 保护 ， 而 超设 计基准 则属 于安 全的 进一 步提升 ， 属于 过 分或额 外的 保护 范畴 11 。 可以预 见， 现在 属于 超设 计基准 事故 范畴 的一 些事 故在将 来可 能 会被调 整进 入设 计基 准事 故范畴 ，以 进一 步加 强纵 深防御 体系 中的 事故 预防 功能。 事实上 ，如 未能 紧急 停堆 的预期 瞬变(ATWS) 和 全厂 断电(SBO) 事 故，在 1980 年代以 前 被 NRC 排除 在设 计基 准外， 后来 （由 于核 安全研
18、 究的 发现） 均被 调整 入设 计基 准事故(DBA) 的范畴 9 ，并 在美 国联 邦法 规（10 CFR 50.62 和 10 CFR 50.63） 中有 明确 的要 求。 另 外， 为 吸取福 岛核 事故 的教 训 （ 如共模 失效 和多 重事 故叠 加的影 响） ， NRC 正在酝 酿 对核电 厂的 通 用设计 准则(General Design Criteria) 进行修 订， 建立 一 个更“ 坚固 ”的 设计 基准 以增强 在运 和在建 核电 站的 安全 。 4.3 缓解 措施 的 增强 几十年 来， 人们 在降 低事 故发生 概率 （即 事故 预防 ） 方面 取得 了长 足的
19、 进步 ， 但在 事故 后果的 缓解 方面 还存 在较 大的不 足 12 。福岛 核事 故 一方面 让我 们对 现有 核电 机组的 设计 安 全裕量 抱有 信心 （在 超设 计基准 条件 下仍 有一 定的 抵御能 力） ，另 一方 面也 提 醒我们 应 高度 重视来 自极 端外 部事 件 （ 如地震 、 洪 水） 所带 来的 严峻挑 战和 潜在 的严重 后果 （ 机组 出现 共模失效 甚至 导致 多机 组事 故） 。 借助 于概 率安 全评 价(PSA) 技术， 人 们对 事故 （尤其 严重 事故 ） 的发生 概率 和后 果有更 深入 的 认识， 但至 今仍 难 于准 确预测 极端 自然 灾害
20、 的发 生概率 和严 重 性。 因 此 ，要 完全 防 止堆芯 熔 化 和 放射 性物 质大 量释 放， 仅 仅依 赖于传 统的 设计基 准策 略并 不充分 ， 需 要给 予事 故后 果缓解 措施 （包 括应 急） 同等的 重视 ， 并 力求 在事 故预防 和后 果缓 解功能 之间 达成 更恰 当的 平衡。 但是 ， 极 端自 然灾害 及其 次生灾 害的叠 加， 或者 恐怖 袭 击与人 为破 坏， 往往 具有很 大 的 不确定 性； 如何 采取 有效 的技术 策略 处置 这些 初因 事件诱 发产 生的 严重 事故 ， 是福岛 核事 故 给全球 核能 界带 来的 现实 挑战 。 据 研究 ， 所
21、 有内 外 部事件 引发 的严 重事 故， 其技术 方面 的后 果 ， 都可 以由 “全厂 断电” 或 “失去 热阱 ” 来 包络 ， 因此 现有 严重 事故 对策 中， 有 关处 置全 厂断电 和失 去热 阱的 一切 手段都 是继 续有 效的 7 。 一方面 ，NRC 认为 福 岛核事 故 验证 了美 国自 9/11 恐怖 袭击 事件 后为 应 对超 设计 基准 事件 （如 火 灾或 爆炸 ） 而采 取的 B.5.b 缓解 策略 （2009 年被 写入 联邦 法规 10 CFR 50.54(hh)(2) ） 的潜 在重要 性和 有效 性 ， 故继续 运 营和 审批 核电项 目不 会对 公众
22、健康 和安全 造成 立即 不可 接受 之风险 11 ；另一 方面 ，NRC 在福 岛核 事 故一周 年之 际发 布监 管指 令， 要求 立即 修改 许可 证中 关于应 对超 设计 基准 外部 事件缓 解策 略 的要求 ，并认 可核 能研 究所(NEI)发 布的 实施 导则 （Diverse and Flexible Coping Strategies(FLEX) Implementation Guide ）可作 为营 运单位 落 实上 述要 求的 具体 参考 13 。概括 起来，FLEX 的 思想 是： 不 论事故 初因 和损 害状 态的 变化， 关键 在于 采取 一切 可行之 措施 和 可用
23、之 设备 保持 或恢 复堆 芯冷却 、 安 全壳 完整 性和 乏燃料 冷却 等的 关键 安全 功能； 缓解 严重 事故用 之措 施和 设备 的 投入 遵循 先厂 内后 厂外 、先 固定后移 动的 原则 14 。换 言之， 这种 基 于安全 功能(Safety Function-based) 的缓解策 略与 现有 征兆导 向(Symptom-oriented) 的 应急运 行程序(EOP) 是 一致 的， 在 缓解严 重事 故后 果方 面具 有普适 性。 5 结束语 人类的 发展 不会 止步 于各 种事故 ， 相 反会 激发 我们 更加重 视技 术进 步， 更加 完善安 全措 施。 福 岛核 事
24、故 提醒 我们 ， 在核 安全 领域 ， 任 何谨 慎都不 为过 ， 需 要考 虑一 切难以 考虑 的因 素。 毫无 疑问 ， 后 福岛 时 代的反 应堆 将更 加安 全。 这有赖 于我 们更 加重 视纵 深防御 在核 安全中的绝 对主 导地 位， 更加 注重各 防御 层次 的可 靠性 ， 更加 注重 事故 预防 与事 故缓解 之间 的良 好平衡 。 参考文献 1 国家核安全局. 核动力厂设 计安全规定（HAF102）， 2004 版 2 U.S. NRC. Feasibility Study for a Risk-Informed and Performance-Based Regulato
25、ry Structure for Future Plant Licensing ，NUREG-1860. 2007 3 Nils J. Diaz. The Very Best-Laid Plans (The NRCs Defense-in Depth Philosophy). The 3rd Annual Homeland Security Summit. 2004 4 N. Sorensen, G. E. Apostolakis, T. S. Kress, D. A. Powers. On the Role of Defense in Depth in Risk- Informed Regu
26、lation. International Topical Meeting on Probabilistic Safety Assessment. 1999 5 IAEA. Defence in depth in nuclear safety ，INSAG-10. 1996 6 IAEA. Assessment of Defence in Depth for Nuclear Power Plants, Safety Reports Series No. 46. 2005 7 濮继龙. 守护核安全，坚守 “终极安全”底线. 中国核能 ，2011 年第 3 期 8 Investigation Co
27、mmittee on the Accident at Fukushima. Interim Report of the Japanese Government Investigation Committee on the Accidents at Fukushima Nuclear Power Stations of Tokyo Electric Power Company. 2011 9 American Society of Mechanical Engineers. Forging a New Nuclear Safety Construct. 2012 10 国家核安全局. 技术政策
28、：概率安全分析技术在核安全领域中的应用（试行）. 2010 11 U.S. NRC. Recommendations for Enhancing Reactor Safety in the 21st Century, The Near-team Task Force Review of Insights from the Fukushima DAI-ICHI Accident. 2011 12 Karl N. Fleming, Fred A. Silady. A Risk Informed Defense-In-Depth Framework for Existing and Advanced
29、 Reactors. Reliability Engineering & System Safety ，V olume 78, 2000, Issue 3: 205-225 13 U.S. NRC. Order Modifying Licenses With Regard to Requirements for Mitigation Strategies for Beyond-Design Basis External Events(EA-12-049). 2012 14 Nuclear Energy Institute. Diverse and Flexible Coping Strategies(FLEX) Implementation Guide(NEI 12-06). 2012
