核电厂定量安全目标溯源及其存在问题剖析

王不二，汪 振，陈 超，陈珊琦，戈道川，陈志斌，王 芳

（1.中国科学院合肥物质科学研究院，中子输运理论与辐射安全重点实验室，合肥 230031；2.中国科学技术大学，合肥 230026）

核能发电的优势与风险并存，为了应对“多安全才足够安全”的问题，核电厂定量安全目标在美国三哩岛核事故之后被提出来，至今已成为整个核安全管理体系的重要组成部分。现有安全目标主要分为3个层次［1］，每个层次之间相辅相成，低层次与高层次目标保持一致，共同构成安全目标的有机整体，其整体框架如图1所示。

基于两个“千分之一”的堆芯损伤频率（CDF）、大量早期放射性释放频率（LERF）等定量安全目标已在大部分有核国家内得到了广泛应用，并对新建核电厂CDF、LERF 的限值普遍降低一个量级，以期提高其安全性。概率指标在核安全监管中的作用可分为3类［2］，具体内容如图2所示。

图1 安全目标的层次结构Fig.1 The hierarchical structure of safety goals

图2 概率指标在核安全监管中的作用分类Fig.2 Classification of the role of subsidiary objectives in nuclear safety supervision

但是，在实践中，监管机构通常不会给不满足概率安全标准的新建堆发放营业执照。所以，概率安全目标（尤其是CDF 标准）实际上成了对新建堆的强制要求。

然而，福岛核事故的发生使人们开始重新审视现有安全目标的合理性。即便发生了严重事故，福岛核电厂仍满足两个“千分之一”安全目标，但是其造成的政治、社会经济方面的后果难以被公众所接受。此外，面对33 年间发生3 次重大核事故，仅用两个概率指标CDF、LERF 来表征核电安全水平的合理性和可信性引发了公众的广泛质疑。因此，一味地沿着两个“千分之一”思想唯数字论地降低概率指标，对恢复公众对核电的信心是无益的，必须从源头上探索更加合理的安全目标。

为此，本文追溯核电厂定量安全目标的制订历程，从源头上考查了安全目标的制订原则和考虑因素、两个“千分之一”与CDF、LERF的关系，以及安全目标制订过程中的公众参与情况，并剖析现有定量安全目标存在的问题，为更加先进、合理的核安全目标制订提供参考。

1 核电厂定量安全目标溯源

1.1 核电厂定量安全目标的早期探索

在核电发展之初，判断核电厂是否安全是一项带有主观性的活动，当时的研究更多的是关注安全评价，而不是识别反应堆的风险水平以及定量化可接受的风险［3］。由于不清楚反应堆安全的边界在哪，“只要为了使反应堆更加安全，任何事情都是被鼓励的”是当时普遍默认的接受原则［4］。

20 世纪60 年代末，两篇学术论文的发表将核电厂可接受的安全水平推向了核工程的前沿。第一篇是1967 年Farmer 发表的题为《反应堆安全与选址:提出的风险准则》的文章。此文首次提出将可接受后果发生率与相关放射性物质释放量联系起来，建立核反应堆的一个定量安全标准［5］。另 一 篇 是1969 年Starr 发表在《Science》杂志上的文章《Social Benefit vs.Technological Risk》。文章认为，足够充分的历史数据可以揭示人们在一定时期内相对稳定的生活方式与理念，进而可以得到不同风险的社会接受度，并且首次指出非自愿接受的风险与自愿接受的风险相差1 000倍［6］。因此，文章提出基于历史数据法建立核电厂的“可接受风险”，并指出核电属于非自愿接受的风险。这两篇学术论文将核电厂安全理念从“设计安全”开始向“可接受风险”转变。

另一项具有里程碑意义的研究是1975 年发布的WASH-1400，这是国际首次采用概率论方法全面研究压水堆和沸水堆安全问题的报告，标志着人们对核安全的认识到了一个全新的高度，为后续定量安全目标及辅助安全目标的提出提供了方法论。

1.2 定量健康目标与辅助目标的提出

1979 年，三哩岛核事故发生后不久，美国反应堆安全保障咨询委员会（ACRS）和总统委员会都相继提出了建立核动力反应堆定量安全目标，完善安全原则的建议。美国核管委会（NRC）于1980年发布了制订核电厂安全目标的计划作为对这个建议的响应［7］。

随后，NRC 邀请了核电、社会、伦理、经济等多个行业的专家对制订安全目标进行了两次研讨［8］。第一次研讨提出并阐释了安全目标的制订原则，同时还重点讨论制订安全目标中需要考虑的技术、社会、政治、经济等因素，以及制订定量安全目标的可行性。第二次研讨目标更具体，旨在形成一份关于核电厂安全目标制订方案的文件［9］。

1981 年，基于以上讨论的结果，NRC 制订了核电厂安全目标政策声明草案［10］，其中，提出了两个定性安全目标和4 个数值指南。1982 年，经过广泛地征求公众意见和4 次为期一天的公开会议讨论后，NRC 对政策声明草案进行了修改，保留了定性和定量安全目标的框架，同时调整了定性安全目标的表述以及数值指南内容，并于1983 年发布了正式核安全目标政策声明［11］。为确保安全目标的合理性，NRC保留了两年的评估期，直到1986 年，最终政策声明发布，给出了两个定性安全目标和与之对应的两个定量安全目标［12］。

第一个定量安全目标是早期定量健康目标（EQHO），第二个定量安全目标是晚期定量健康目标（LQHO）。由于定量安全目标不便于实施，CDF和LERF被提出用作辅助安全目标，并在后来的实施中经评估确认，在美国的厂址、环境和人口条件下，当CDF 小于10-4/(r·y),LERF小于10-5/(r·y)时，在运核电厂即满足两个千分之一的定量安全目标［13］。美国安全目标制订的关键事件如图3所示。

图3 核电厂安全目标制定过程关键事件Fig.3 Critical events in the nuclear power plant safety goal setting process

1.3 定量安全目标和辅助目标的关系

1.3.1 EQHO的证明过程

据当时的调查数据显示，美国人口中每年约有5×10-4人死于他们普遍面临的其他所有事故，如致命的汽车事故等［14］。则千分之一的早期定量健康目标意味着反应堆事故造成的个人风险应小于5×10-7/（反应堆∙年）（reactor∙year，r·y）。

按照事故发生频率加权，1 mile（1.6 km）内因核电厂事故所面临的个人早期死亡风险（Individual early risk，简称IER）可表示为:

式中，EFn——事故序列n发生造成核电厂1英里（1英里=16 km）内早期死亡人数；

LERFn——能够导致早期大量释放死亡的事故序列“n”的发生频率/（r∙y）；

TP（1）——距离核电厂1 mile内的总人口数。

那么，某人群TP（1）预期发生事故的早期死亡人数（EFn）表示如下:

式中，CPEFn——早期死亡的条件概率，是指一个人在发生有放射性泄漏的核事故时早期死亡的条件概率。

因此，通过合并式（1）和式（2），则个人风险可表示为:

CPEF 在文件NUREG-1150 中估算为0.03，这个值是基于大量早期释放，即对应于安全壳的大破口且假定在周围人口得到有效撤离之前就已经发生非常大的释放。这与事故情景“n”的最坏情况假设是一致的。由此可以看出，如果一个核电厂的LERF为10-5/（r∙y）或以下，EQHO就得到验证。使用上述CPEF值并假设LERF目标为10-5/（r ∙y），则个体早期死亡风险可估计为3×10-7/（r∙y）。这意味着当LERF取10-5/（r∙y）时，核电厂IER 是他们普遍面临的其他所有事故风险的千分之一。因此，使用10-5/（r∙y）的LERF替代安全目标通常可以确保EQHO被满足。

1.3.2 LQHO的证明过程

美国癌症死亡率是指所有其他原因引起的人群癌症风险，每年约为2×10-3。基于“千分之一”的LQHO意味着核电厂附近区域居民因核电厂运行而患致命癌症的概率应低于2×10-6/（r∙y）；这里的“区域”被理解为距工厂场地边界半径10 mile 的范围。在区域内，核事故造成的人群平均个人癌症死亡风险（Individual Late Risk，简称ILR）可由所有事故序列导致的期望死亡人数（序列导致的死亡人数乘以序列发生的频率）除以总人数得到。ILR可表示为:

式中，LFm——在发生事故序列m条件下，10 mile范围内的人群因癌症死亡人数；

LLRFm——大量迟发性释放频率/（r∙y）；

TP(10)——10mile内总人口数。

则事故发生后特定人群［TP(10)］中预计发生的癌症死亡人数(LFm)计算如下:

式中，CPLFm——发生事故序列m导致个体癌症死亡的条件概率。

因此，通过合并式（4）和式（5），个体癌症死亡风险可表示为:

由式（6）可以看出，如果一个核电厂的CDF 是10-4/（r∙y）或更低，基于“千分之一”的LQHO，即晚期（癌症）死亡风险通常会被满足。具体证明过程为:

（1）假设一个事故序列m 对应特定潜在死亡风险和LLRF；

（2）假设主导风险的事故序列是最坏的情况:安全壳上出现一个大破口，在有效疏散周围居民(即没有早期死亡发生)后发生辐射释放；

（3）假设事故发生在开放式的安全壳中，则发生大量迟发性释放（CLLRPm）的条件概率为1.0，即，

则式（6）可进一步化简为:

计算CPLF 值具有很大的不确定性。因此，采用的方法是选择CPLF的保守估计，从不确定度范围中的严重后果——低频率部分选择CPLF值。该CPPLF 值对应的事故序列是安全壳内的大破口释放。因此，这与事故序列m 的最坏情况假设是一致的。CPLF 在文件NUREG-1150 中估算为0.004。假设CDF<10-4/（r∙y），可应用式（9）估算核电厂附近区域居民个体癌症死亡风险ILRm为4×10-3×10-4= 4×l0-7/（r ∙y）。显然，这个值是“千分之一”的晚期定量健康目标［2×10-6/( r∙y)］的1/5 左右。因此，使用CDF<10-4/（r∙y）替代安全目标通常可以确保满足晚期定量健康目标［14］。CDF、LERF和QHO之间的关系如图4所示。

图4 CDF、LERF和QHO关系图Fig.4 Relation among CDF、LERF and QHO

2 核电厂定量安全目标存在问题剖析

2.1 定量安全目标的设定需要考虑具体国情

在QHO 量化为社会急性死亡、癌症死亡率“千分之一”的假设下，还需要式（3）、式（7）和式（8）中的CPEE、IEFR 阈值、CLLRPm和CDF 阈值等这些具体国家的统计数据才能建立起辅助安全目标。换言之，辅助安全目标的输入与特定社会中核电的发展状况有关，包括运行的反应堆机组数量、反应堆类型、气象条件、人口密度、事故应急疏散和医疗处理水平等因素。现有CDF、LERF 满足美国千分之一的条件却不一定满足其他有核国家两个千分之一要求。每个国家应该根据自身条件合理地制订出适合自己国情的辅助安全目标。

此外，在核安全目标制订早期，美国开始让公众参与到核安全目标的制订和修订中，并且产生了积极的效果，如1983 年制订核安全目标期间，公众对核能的支持率仅为49%［15］，到1994年，美国公众的核电接受度上升到57%［16］。而目前，很多有核电厂的国家都是直接引用或借鉴美国的安全目标［17］，在缺乏和公众的直接沟通下发展核能会增加公众对潜在核事故的恐慌。

2.2 现有定量安全目标的理念存在缺陷，生命健康风险不能作为唯一考量指标

两个“千分之一”安全目标的理念基础是“不明显引入对生命和健康的附加风险”，仅着眼于人员的健康和安全层面，忽略了核电风险多维度的特点。例如，重大核事故的影响往往作用区域广，时间长，后果是灾难性的，甚至威胁未来几代人，不仅会对人员造成影响，还会造成清洁水源和生产土地的丧失等一系列的生态问题和经济损失［18］，如图5所示。

图5 安全目标结构框图Fig.5 Safety goals structure diagram

福岛核事故就是典型例证，其放射性后果被定性为INES 7 级，但此次事故并没有因辐射导致急性死亡。并且由于人口被及时撤离，预计由于辐照导致癌症致死人数也不会超过其他原因致癌死亡人数的千分之一［19］。同时，福岛事故产生的放射性核素扩散到北半球多个国家，但是被检测出的量极低，世界卫生组织（WHO）已明确表示对其他国家的民众暂不构成健康风险［20］。因此，即使发生如此大量放射性物质释放的福岛第一核电厂仍能满足两个“千分之一”安全目标。

然而，福岛事故还造成了其他严重影响。事故发生2 年后，仍有近150 000 人未能返回家园［21］，清理和净化土地中放射性的费用高达上千亿美元，众多移民者都产生了不同程度的心理创伤等［22］。除此之外，自福岛发生七级核事故之后，周边许多国家对生态风险颇为担忧，并相继开展了海洋放射性生态风险评估工作［23-25］，也展现出生态风险研究的必要性和紧迫性［26］。

正如美国NRC研究小组在报告“Recommendations for Enhancing Reactor Safety in the 21st Century”中指出的那样，虽然福岛事故对人影响不显著，但其对生态环境的严重影响仍然是不可接受的［27］。有学者还指出“生态安全标准空白是目前核电安全发展面临的重大挑战”，并且提出应“进一步研究生态安全标准的第三个千分之一”的建议，即“对于核电周边的生态系统，因核电发展所引发的生态安全风险，不应超过其他原因导致的同类风险总和的千分之一”［28］。因此，建立核电厂生态安全标准，从多维度确保核安全是核电工业实现生态文明转型的关键一步。

2.3 现有定量安全目标的实施依赖概率风险分析技术，其可信度遭受质疑

核安全的最终目标是保护人类和环境，建立的安全目标应被公众理解和接受。但是基于概率风险分析技术得到的CDF、LERF 等指标，仅是用逻辑分析方法计算出的概率，这类概率无法经过实验验证，当CDF/LERF与经验统计数据存在很大差异时，基于其实施的定量安全目标也就难以为公众所理解和接受。从公众角度讲，堆芯损坏频率应为历史上发生核事故的次数除以总的运行堆年数，严格意义上讲，这种按照堆年数量直接累加估算多堆年的CDF 是不准确的，但可以用于粗略估算。照此估算，截至2019 年，世界范围内已经具有超过17 000 堆年的运行经验［29］。2016年国际学者整理的216起核事故数据库中，发生核电厂熔堆事故的有10 起［30］，具体见表1。由此推测出熔堆的历史数据统计频率约为10/17 000=1/1 700/（r · y），显然这并不满足上述CDF概率指标的值（10-4），由此引发了公众对核电厂运行风险的质疑和担忧。

表1 核电厂熔堆事故统计表Table 1 Statistics of meltdowns in nuclear power plants

虽然概率风险分析（PSA）对衡量相对安全提供了一种可用的办法，但是由于许多假设条件、输入数据等不确定性大，应评估利用PSA技术判断核电反应堆安全的合理性和局限性。目前，核电的发展离不开PSA 技术，因此，提高PSA 技术可靠性是实现核电安全的一个重要保证。

2.4 现有定量安全目标未考虑厂址多堆间的相互影响，同时对革新核能系统的适用性不足

根据定义可知，CDF 是基于单个反应堆堆芯损坏并且每个反应堆相互独立得到的，而现实中往往是一址多堆，2016 年国际原子能机构的年度报告显示［31］:在全球在运的反应堆中，一址多堆的情况高达90.4%。然而，起初从定量安全目标推导CDF 限值时，人们并没有考虑厂址多堆间的相互影响，同时多机组反应堆事故风险并非单个反应堆风险的简单线性叠加。图6简单列举了初始事件的影响关系。

图6 IE之间的影响关系Fig.6 Correlation among initiating event

另外，在安全目标政策声明中，定量健康目标QHO 限制的是整个厂址所有机组带来的风险。所以，基于单个反应堆PSA 得到的CDF 不能确保满足QHO。NRC 对这一问题非常重视，并展开了研究。而早在福岛事故前，已有学者针对多机组事故风险开展初步研究［32-35］。福岛第一核电厂共6台机组，其中，1号、3号、2号机组相继发生爆炸和严重的堆芯损坏，这让业界人士再次意识到评估多机组电厂总体风险的重要性［36］，引发越来越多的学者关注。学者们分别提出了各机组之间的依赖关系及分类、量化依赖关系的方法、综合评估多堆芯损害频率（SCDF）的方法等［37-39］。然而，目前多机组PSA的模型（如始发事件分类、各机组之间的级联效应等）和参数（如来自不同机组的源项释放时间和数量）存在不足，对于“一址多堆”情况下安全目标的建立仍然是个难题。

此外，随着革新型核能系统的快速发展及其在技术层面的革命性进步，“加强反应堆固有安全特性，而非强调概率安全”成为重要的安全理念。例如，熔盐堆根本不存在“堆芯熔化”的概念，铅冷堆的“堆芯熔化”现象与PWR 差异很大，其熔融物可漂浮冷却，而对于聚变堆而言，存在等离子“堆芯”及核包层，但其“堆芯”的概念又与裂变堆不同。因此，CDF 概率指标不再适用于革新核能系统［40］，需要开发新的安全目标。

3 总结与展望

核电厂定量安全目标的建立为核电监管机构和企业提供了安全投入的界定标准，有效地提高了核电厂安全运行和管理的水平，同时也促进了公众对核电安全水平的理解。但是伴随着3次重大核事故的发生，特别是最近的福岛事故，核安全目标暴露出很多问题，具体体现在以下几点:

（1）定量安全目标未完全体现高层次定性目标的价值取向，只考虑人员生命健康风险，缺乏对环境、政治、经济以及人员心理影响的考虑；

（2）起初定量安全目标的制订充分考虑了美国国情，并进行了大量的公众沟通，而其他很多核电国家只是照搬照抄安全目标的具体数值，忽略了本国国情以及安全目标制订是可接受风险决策的实质；

（3）现有定量安全目标的实施依赖于概率风险分析技术，其可信度遭受质疑，概率指标与统计得到的事故频率量级相差较大；

（4）现有定量安全目标未考虑厂址多堆间的相互影响，并且对先进核能系统的适用性较差，需要重新定义能够满足核电新形势下的定量目标。

福岛事故之后，核工业界对大量放射性物质释放的关注上升到一个新的高度，未来定量安全目标需重点考虑核事故后果多维度的影响，并完善公众参与机制，开展深入的公众沟通，最终建立符合自身国情的核电厂定量安全目标，进而恢复公众对核电的信心。