核安全导则 核动力厂确定论安全分析 2021年（国家核安全局 2021年5月19日批准发布）

设始发事件和事故序列的识别、

3.1.1本导则确定论安全分析中考虑的核动力厂状态包括： （1）正常运行； （2）预计运行事件； （3）设计基准事故： （4）设计扩展工况，包括没有造成堆芯明显损伤的工况和 堆芯熔化（严重事故）工况。 3.1.2确定论安全分析应涵盖核动力厂所有假设始发事件， 这些始发事件源于核动力厂的任何部分，由于事件本身或叠加其 也可能的失效（如保护系统和控制系统以及相关安全功能），可 能导致放射性物质释放到环境。这些始发事件导致的放射性物质 释放可能源自反应堆堆芯，也可能是其他相关来源（如核动力厂 内贮存的燃料元件、放射性物质处理系统等）。 3.1.3对于给定厂址，如果有多个机组、乏燃料贮存单元或 其他可能的放射性释放源，应考虑单一事件引起若于或所有机

玩具标准核动力厂确定论安全分析

组、之燃料贮存单元或其他放射性释放源同时发生始发事件的可 能性。 3.1.4确定论安全分析应涵盖核动力厂所有正常运行模式下 可能发生的假设始发事件。在始发事件发生前，初始条件应假设 正常运行的设备处于稳定状态。 3.1.5应考虑每个停堆模式（包括换料和维修）的电厂配置。 对于这些模式，应考虑停堆期间可能发生的导致风险上升的故障 或其他因素，例如： （1）某些安全系统不能自动或手动启动； （2）自动系统功能丧失； （3）设备处于维修期间： （4）一回路冷却剂装量较少（某些模式下二回路装量较少）; （5）仪表关闭或不工作，导致无法测量） （6）一回路处于开口状态； （7）安全壳处于开口状态。 3.1.6对于乏燃料水池相关的假设始发事件，应考虑与燃料 操作和贮存相关的特定运行模式。 3.1.7如果核动力厂运行模式的持续时间很短，且定量分析 表明在此期间发生的假设始发事件对总风险（包括可能导致早期 放射性释放或大量放射性释放的风险）的贡献可以忽略，则确定 论安全分析中可以不考虑这些假设始发事件。然而，仍然需要根 据具体情况通过合适的程序或措施来预防或缓解这些事件

核动力厂确定论安全分析

3.2.1确定论安全分析应包括正常运行分析。一般来说，止 常运行包括如下运行工况： （1）从停堆状态的正常启堆，达到临界和达到额定功率； （2）功率运行，包括额定功率和低功率运行： （3）反应堆功率变化，包括负荷跟踪模式，以及低功率运 行一段时间后重返额定功率（如果适用）； （4）功率运行时反应堆停堆： (5）热停堆； （6）冷却过程； (7）冷停堆; （8）停堆期间换料或不停堆换料（如果适用）； （9）换料或维修停堆模式下，一回路或安全壳处于开口状 态； （10）之燃料池正常运行模式； （11）燃料贮存和操作。 3.2.2在核动力厂正常运行期间，还应考虑由于运行模式或 功率输出的变化导致的核动力厂主要参数的变化。对于止常运行 期间发生的瞬态，分析的主要自的是论证核动力参数可以维持 在规定的运行限值和条件范围内

3.3.1应基于核动力厂特定的假设始发事件清单来预测非正 常运行条件（包括：预计运行事件、设计基准事故和设计扩展工 况）下的核动力厂行为，对于特定事故序列可能叠加额外的设备

核动力厂确定论安全分析

故障或人员差错。 3.3.2应提供一套全面的假设始发事件清单，确保对核动力 厂行为分析尽可能完整，以在设计中考虑所有可预见的具有严重 后果的事件和发生频率高的事件。 3.3.3假设始发事件清单应考虑运行经验反馈，包括可利用 的相关数据、实际核动力厂或类似核动力厂的运行经验。 3.3.4假设始发事件应涵盖所有可信的失效，包括： （1）核动力厂的构筑物、系统和设备失效（或部分失效） 包括可能的误触发； （2）操纵员失误导致的失效，包括有缺陷或不完整的维修 操作，以及控制设备限值错误设置或操纵员错误操作： 3.3.5对核动力厂响应进行分析时，应将继发效应视为假设 始发事件的一部分。这些继发效应包括： （1）如果电力系统故障是始发事件的继发效应，那么在预 计运行事件、设计基准事故或设计扩展工况分析时应假设该电力 系统供电的所有设备不可用； （2）如果始发事件是一个释能事件，例如承压系统故障导 致热水释放或管道用击，那么在预计运行事件、设计基准事故和 设计扩展工况分析时应考虑潜在的可能受该事件影响的设备失 效； （3）对于内部危险（如火灾或水淹）或外部危险（如地震 引起的故障，假设始发事件应包括所有相关设备失效。这些相关 设备是指设计上既不具备抵御上述事件的影响，也没有采取保护 措施免受上述事件影响的设备。 10一

核动力厂确定论安全分析

3.3.6确定论安全分析中，除始发故障和继发故障外，还从 呆守角度（如设计基准事故中的单一故障准则）或纵深防御角度 （如共因失效）假设其他故障。应区分上述故障与假设始发事件 本身或继发的故障。此外，为了减少分析数量，分析时可增加 些故障来包络一组类似事件。 3.3.7确定论安全分析中，假设始发事件只需包括直接挑战 安全功能并最终威胁放射性屏障完整性的故障，包括始发的或继 发的故障。因此，内部或外部危险（自然的或人为的）本身不作 为确定论安全分析的假设始发事件。但是，应考虑这些危险的载 荷的影响，包括这些危险引起的多重故障，它们是假设始发事件 的潜在诱因。 3.3.8如果由工程判断、确定论安全分析和概率论安全分析 的结果表明事件组合将可能导致预计运行事件或事故工况，则必 须主要根据其发生的可能性，将这些事件组合纳入设计基准事故 或设计扩展工况。 3.3.9必须在工程判断、确定论和概率论评价相结合的基础 上系统性地识别假设始发事件。包括通过结构化的方法识别假设 始发事件，例如： （1）采用危险影响评估和系统可运行性影响分析、故障模 式和影响分析、工程判断和主逻辑图等分析方法； （2）与类似核动力厂安全分析中假设的始发事件清单进行 比较； （3）分析类似核动力厂的运行经验数据：

核动力厂确定论安全分析

（4）采用概率安全分析的结果和见解。 3.3.10某些极限故障在确定论安全分析中通常作为设计基 准事故考虑（例如：大破口丧失冷却剂事故，主蒸汽或主给水管 道破裂事故，压水堆弹棒事故）。它们是反应堆必须抵御的代表 性事故。 3.3.11如果支持系统发生的故障影响核动力厂正常运行，并 最终要求触发反应堆保护系统或安全系统，也应考虑为假设始发 事件。 3.3.12在设计和安全评价过程中应审查假设始发事件清单， 并且在设计和安全评价中进行送代。在整个核动力厂寿期内也应 定期审查假设始发事件（例如作为核动力厂定期安全评价的一部 分），以确保它们仍然有效

3.4预计运行事件和设计基准事故假设始发事件的识另

3.4.1结合事件后的物理进程，应将假设始发事件划分为若 十具有代表性的事件序列组。每个组内的事件序列对安全功能和 屏障带来相似的挑战，并且需要相似的缓解系统使核动力厂达到 安全状态。因此，某个具有代表性的事件序列可以包络所有同类 事件，在处理事件序列组时通常是指该代表性的事件序列。也可 以根据发生频率对这些事件序列组进行分类。该方法允许组内所 有假设始发事件采用相同的验收准则、初始条件、假设条件和分 析方法。例如，一般情况下，“停运一台主给水泵”，“停运所有 主给水泵”和“可隔离的主给水系统管道破裂”这些假设始发事件 都被分组到“丧失主给水"这一代表性的事件序列

核动力厂确定论安全分析

核动力厂确定论安全分析

组内假设始发事件最大发生频率进行分类。在确定假设始发事件 频率范围时，应采用合适的方法进行核实。 3.4.6根据事件类型，预计运行事件应包括下列典型的假设 始发事件（下列事件主要用于示例，实际清单与反应堆类型和实 际设计有关）： （1）反应堆冷却剂系统排热增加：蒸汽释放阀误升启，压 力控制故障导致蒸汽流量增加，给水系统故障导致排热能力增 加，余热排出系统误投入； （2）反应堆冷却剂系统排热减少：给水泵停运，各种原因 （控制故障、主蒸汽阀关闭、汽机停机、丧失外电负荷和其他列 电网扰动、失电、丧失冷凝器真空）引起的蒸汽流量下降： （3）反应堆冷却剂系统流量增加：一台停运的冷却剂泵启 动； （4）反应堆冷却剂系统流量减少：一台或多台冷却剂泵停 运，一条主冷却剂环路误隔离（如果适用）； （5）堆芯反应性和功率分布异常：控制棒组失控提升，化 学和容积控制系统故障导致的硼稀释（压水堆），燃料组件装错 位置； （6）新燃料或乏燃料贮存时反应性异常：乏燃料池硼稀释： （7）丧失慢化剂循环，慢化剂热阱能力下降或丧失（重水 堆）； （8）反应堆冷剂系统装量增加：化学和容积控制系统故 障，应急堆芯冷却系统误运行；

核动力厂确定论安全分析

（9）反应堆冷却剂系统装量减少：仪表管线故障导致的非 常小的丧失冷却剂事故； （10）乏燃料池燃料冷却能力下降或丧失：丧失场外电源： 衰变热排出系统故障，乏燃料池水泄漏； （11）反应堆冷却剂系统泄漏并可能旁通安全壳，从而导致 放射性物质释放 （12）子系统或设备泄漏导致的放射性物质释放：放射性废 物处理系统或污水系统小泄漏。 3.4.7应识别可能导致设计基准事故的假设始发事件。识别 为预计运行事件的所有假设始发事件也应采用设计基准事故规 则进行分析，即证明“通过安全系统的自动响应并结合所规定的 操纵员动作”能够管理预计运行事件和设计基准事故。虽然假设 始发事件通常不包含发生频率很低的事件，但是确定频率下限时 应考虑特定反应堆的安全目标。 3.4.8根据事故类型，设计基准事故应包括下列典型假设始 发事件（下列事件主要用于示例，实际清单与反应堆类型和实际 设计有关）： （1）反应堆冷却剂系统排热增加，如蒸汽管道破裂： （2）反应堆冷却剂系统排热减少，如给水管道破裂： （3）反应堆冷却剂系统流量减少，如反应堆冷却剂泵卡转 子或断轴，所有反应堆冷却剂泵停运； （4）反应性和功率分布异常，如单束控制棒失控提升，弹 棒（压水堆），非运行环路启动导致的硼稀释（压水堆）；

核动力厂确定论安全分析

（5）反应堆冷却剂系统装量减少，如各种破口谱的丧失冷 却剂事故，一回路系统卸压阀误升启，一回路向二回路泄漏： （6）乏燃料池燃料冷却能力下降或丧失，如与水池相连的 管道破裂； （7）功率运行换料期间燃料丧失冷却（重水堆）; （8）丧失慢化剂循环，慢化剂热阱能力下降或丧失（重水 堆）； （9）反应堆冷却剂系统、子系统、设备的泄漏并可能旁通 安全壳，从而导致放射性物质释放，如在运输过程中或贮存时： 乏燃料过热或损坏，废气或废液处理系统破口； （10）端屏蔽冷却失效（重水堆）。 3.4.9为证明根据事件发生频率对假设始发事件进行分类的 合理性，应采用概率论分析方法支持确定论安全分析。频率计算 应考虑可能发生假设始发事件的核动力厂运行状态（例如额定功 率运行或者热停堆）的时间份额。应特别注意，有可能降低屏障 完整性的瞬态的分类应与该瞬态对屏障可能的影响相一致。 3.4.10每个事件类别应选取一些极限工况（即包络情景）。 选取的极限工况应最可能挑战相关的验收准则，并且使得安全相 关设备的性能参数达到极限。为包络该组内所有可能的假设始发 事件，在包络情景范围内，多个假设始发事件可以组合，以使得 它们的后果更恶劣。安全分析需确认始发事件的分组和选取的包 络情景可接受。 3.4.11针对不同的验收准则，单个事件可以从不同角度开展 分析（如压水堆核动力厂丧失冷却剂事故，该事故应针对堆芯冷 16

核动力厂确定论安全分析

却恶化、安全壳升压、放射性物质迁移并释放到环境等多个方面 升展分析）。 3.4.12应评价新燃料和辐照后的燃料操作期间的事故。该类 事故可能发生在安全壳内和安全壳外。 3.4.13还有其他一些假设始发事件可能导致放射性物质释 放到安全壳外，这类事件包括： （1）位于安全壳外的乏燃料水池中的燃料冷却能力降低或 丧失； （2）新燃料或乏燃料反应性增加： （3）任何处理固体、液体或气体放射性物质的辅助系统意 外排放； （4）正常运行时，用于过滤或缓解放射性物质释放的系统 或设备（如过滤器或衰变箱）失效： （5）换料或维修期间反应堆或安全壳开口状态下发生的事 故。 3.4.14预计运行事件或设计基准事故的包络工况的频率取 值应包络该组内所有假设始发事件的发生频率

3.5识别设计扩展工况的总体考虑

3.5.1必须在工程判断、确定论和概率论安全评价的基础上 得出一套设计扩展工况，自的是增强核动力厂应对比设计基准事 故更严重的或包含多重故障的事故的承受能力，避免不可接受的 放射性后果，以进一步改进核动力厂的安全性。设计必须考虑这 些设计扩展工况来确定额外的事故情景，并针对这类事故制定切

核动力厂确定论安全分析

实可行的预防和缓解措施。 3.5.2应识别两类设计扩展工况： （1）没有造成堆芯明显损伤的设计扩展工况； （2）堆芯熔化的设计扩展工况，即严重事故。 这两类设计扩展工况的确定论安全分析可采用不同的接受 准则和方法，

有造成堆芯明显损伤的设计扩展工

3.6.1在初步选取没有造成堆芯明显损伤的设计扩护展工况 时，需考虑发生频率很低的单一始发事件或多重故障，这些工况 需满足防止堆芯损伤的接受准则。 3.6.2应得出一套确定的没有造成堆芯明显损伤的设计扩展 工况清单。相关的设计扩展工况应包括： （1）始发事件导致的工况可能超出用来缓解设计基准事故 的安全系统的能力（如压水堆核动力厂蒸汽发生器多根传热管破 裂。 （2）预计运行事件或设计基准事故叠加多重故障（如共因 失效），这些故障导致安全系统不能执行其预期功能（如丧失冷 却剂事故叠加安注失效）。支持系统失效也是导致安全系统失效 的起因之一。应通过分析任一安全系统完全失效对核动力厂的影 问来系统性识别这些序列，这些安全系统在预计运行事件或设计 基准事故（尤其是较可能发生的预计运行事件和设计基准事故） 安全分析时认为有效。

核动力厂确定论安全分析

（3）可信的假设始发事件包含多重故障导致的执行一部分 正常运行功能的某个安全系统丧失。该情况适用于某些设计（如 在事故期间或停堆期间使用相同的排热系统）。应通过分析正常 运行所需的任一安全系统完全失效对核动力厂的影响来系统性 识别这些序列。 3.6.3设计扩展工况在很大程度上取决于具体的技术和设 计，但是，没有造成堆芯明显损伤的设计扩展工况可初步参考下 列清单，并应根据核动力厂的类型和设计进行选取： （1）通常不作为设计基准事故的发生频率很低的始发事 件： 一蒸汽发生器多根传热管破裂（压水堆，重水堆）： 一主蒸汽管道破裂和继发的蒸汽发生器传热管破裂（压水 堆，重水堆）。 （2）预计运行事件或设计基准事故叠加安全系统多重故 障： 一未能紧急停堆的预期瞬态：预计运行事件叠加控制棒插 入堆芯失效； 一全厂断电：丧失场外电源叠加应急柴油发电机或备用应 急电源失效； 一丧失全部给水：丧失主给水叠加丧失全部应急给水； 一丧失冷却剂事故叠加完全丧失一类应急堆芯冷却设施 （高压或低压应急堆芯冷却系统）; 一假设始发事件后维持长期稳定阶段丧失所需的安全系

核动力厂确定论安全分析

3.7堆芯熔化设计扩展工况的识别

3.7.1根据核动力厂安全目标，应选取一系列堆芯熔化的序 列（严重事故）开展分析，以建立用于缓解该类事故后果的安全 设施的设计基准。这些序列可代表所有堆芯熔化序列的主要物理 现象（例如：一回路压力、堆芯衰变热或安全壳状态）。 3.7.2应假设防止堆芯熔化的系统失效或无法充分发挥作

核动力厂确定论安全分析

用，从而使得事故发展至严重事故。应在设计基准事故、设计扩 展工况以及概率安全分析中识别出的主导事故序列的基础上，考 虑额外的故障或操纵员错误响应，从而选取具有代表性的序列。 3.7.3应分析每条接受准则相对应的堆芯熔化设计扩展工况 的代表性序列，以确定极限工况（尤其是可能挑战安全壳完整性 的序列），为安全壳和缓解事故后果所需的安全设施的设计提供 输入。 3.7.4设计扩展工况在很大程度上取决于具体的技术和设 计，但是，堆芯熔化的设计扩展工况（严重事故）可初步参考下 列事故，并且应该根据核动力厂的类型和设计进行选取： （1）丧失堆芯冷却能力，比如丧失场外电叠加部分或全部 丧失厂内交流电源和/或丧失最终热阱的正常途径（具体序列与 设计有关）； （2）丧失反应堆冷却剂系统的完整性，比如丧失冷却剂事 故叠加应急堆芯冷却系统失效或者超出应急堆芯冷却系统能力。 3.7.5不论设计中是否提供保护，都应在分析中假设堆芯熔 化的发生。为了防止安全壳失效，分析应论证在堆芯熔化事故工 况下不会发生高能现象（即认为该现象发生的可能性已被实际消 除）。 3.7.6应选取堆芯熔化设计扩展工况的代表性序列，以识别 亚重事故现象导致的极限的核动力厂参数。这些参数用于核动力 厂构筑物、系统和设备的确定论安全分析，以论证该严重事故序 列下放射性后果的接受值。上述序列分析应考虑环境条件，以评

核动力厂确定论安全分析

价严重事故中使用的设备是否能够在需要时执行其功能

3.8内部危险和外部危险导致的假设始发事件的识别

3.8.1确定假设始发事件时需考虑相关的厂址特定内部危险 和外部危险的影响（单独或组合）。内部危险和外部危险分析与 段设始发事件（由核动力）系统单一故障或多重故障导致，或庄 对实现基本安全功能存在直接影响的操纵员失误导致）分析不 司。危险本身不作为假设始发事件，但危险产生的载荷可能会导 致这些事件。 3.8.2对于多机组址，为确定厂址特定危险导致的假设始 发事件，应考虑该危险同时影响若干或所有机组的可能性。尤其 应考虑丧失电网、丧失最终热阱的正常途径和共用设备失效的影 响。 3.8.3应采用概率论方法或工程判断方法对危险进行分析， 以论证对于每个危险符合下列条件之一： （1）由于对风险贡献可忽略，该危险可以筛除； （2）核动力厂设计足够稳健，可预防危险产生的载荷导致 始发事件； （3）危险导致的始发事件已经在设计中考虑。 3.8.4如果危险导致了始发事件，始发事件分析时应只考虑 经鉴定的或被保护不受该危险影响的构筑物、系统和设备可用

3.9实际消除的事件序列和事故情景

3.9.1纵深防御第四层次的安全自标是，在严重事故下仅需 要在区域和时间上采取有限的防护行动，且避免场外放射性污染

核动力厂确定论安全分析

或将其减至最小。这要求可能导致早期放射性释放或者天量放射 性释放的事件序列被实际消除 3.9.2需实际消除的事件序列可根据具体的堆型设计来确 定，通常可包含以下几类： （1）导致堆芯快速损伤并进而引起安全壳早期失效的事 件，如： 一反应堆冷却剂系统的大型承压部件失效； 一不可控的反应性事故。 （2）导致安全壳早期失效的严重事故序列，例如： 一安全壳直接加热； 一大规模蒸汽爆炸； 一大空间可燃气体（包括氢气和一氧化碳）的爆炸。 （3）导致安全壳晚期失效的严重事故序列，例如： 一堆芯熔融物与混凝土相互作用导致的底板熔穿或安全壳 通； 一长期丧失安全壳排热 一大空间可燃气体（包括氢气和一氧化碳）的爆炸。 （4）安全壳旁通的严重事故： （5）燃料贮存池中的燃料明显损伤和不可控释放。 3.9.3实际消除的事件序列不作为确定论安全分析的一部 分，但确定论安全分析能够支持论证设计和运行特征可有效实际 消除这些事件序列

核动力厂确定论安全分析

4确定论安全分析验收准则

4.1.1全面负责设计过程的部门必须保证核动力厂设计满足 安全性、可靠性和质量方面的验收准则。这些准则符合相关的法 律法规和标准规范。 4.1.2确定论安全分析方法必须包括将分析结果与验收准 则、设计限值、剂量限值以及可接受限值进行比较，以满足辐射 防护要求。应通过确定论安全分析证明满足相应的验收准则。 4.1.3应为运行状态和事故工况的整个范围建立验收准则。 这些准则的目的是防止相关屏障损坏而导致放射性物质释放，从 而防止放射性释放（和后果）超出可接受限值。准则的选取应确 呆准则与丧失屏障完整性的物理限值之间有合适的裕量。 4.1.4验收准则应与工况的发生频率有关。发生频率较高的 工况（如正常运行或预计运行事件）的验收准则应比发生频率较 氏的工况（如设计基准事故或设计扩展工况）的验收准则更严格 4.1.5验收准则应在如下两个层次内确定： （1）放射性验收准则，该准则与核动力厂的运行状态或事 故工况的放射性后果相关。这些准则一般由法律和监管要求规 定，通常表述为活度水平或剂量； （2）技术验收准则，该准则与防止放射性物质释放的屏障 （如燃料芯块、燃料包壳、反应堆冷却剂系统压力边界和安全壳

核动力厂确定论安全分析

完整性相关。该准则是由监管要求规定，或者是由设计方提出并 被监管机构认可、以在安全论证中使用的

4.2.1放射性验收准则应表述为核动力厂工作人员、公众或 环境（如适用，应包括非人类生物）的有效剂量、当量剂量或剂 量率。与剂量相关的放射性验收准则应根据现行的安全要求确 定。 4.2.2为了将核动力厂设计特征与环境特性解耦，表述为剂 量的放射性验收准则可转换为不同放射性核素的可接受活度水 平。 4.2.3正常运行条件下的放射性验收准则一般应表述为核动 力厂工作人员和核动力厂邻近公众的有效剂量约束值，或表述为 核动力厂排放的放射性活度控制值 4.2.4为预计运行事件制定的放射性验收准则应比设计基准 事故的验收准则严格。 4.2.5设计基准事故的放射性验收准则应确保在厂内、外没 有或仅有微小的放射性后果，并且无须采取任何场外防护行动。 4.2.6设计扩展工况的放射性验收准则应确保： （1）安全壳及其安全设施必须能够承受包括堆芯熔化在内 的极端事故情景； （2）设计必须做到实际消除可能导致早期放射性释放或大 量放射性释放的核动力厂工况发生的可能性： （3）保护公众所采取的防护行动在持续时间和范围上必须

核动力厂确定论安全分析

是有限的，并必须有足够的时间来采取这些防护行动

4.3.1为了保证满足验收准则或接受准则，可确定一系列技 术验收准则。应根据挑战屏障完整性物理过程的主导参数来设置 技术验收准则。工程实践中一般采用与屏障完整性相关的替代参 数来建立验收准则或者验收准则的组合，以确保屏障的完整性。 在确定这些验收准则时，应包含足够的保守性，以确保距离丧失 屏障完整性仍有合适的裕量。 4.3.2在规定技术验收准则时，应根据特定的设计方案考虑 下列合适的准则： （1）燃料芯块完整性相关的准则：最高燃料温度和最大径 句平均燃料（考虑燃耗，燃料成份和添加物，如可燃毒物）； （2）燃料包壳完整性相关的准则：最小偏离泡核沸腾比： 最高包壳温度，包壳最大局部氧化量； （3）反应堆堆芯整体完整性相关的准则：足够的次临界度： 包壳氧化最大产氢量，堆芯燃料元件最大损坏量，燃料组件最大 变形量（冷却、控制棒插入和移出的要求），排管式压力容器完 整性（适用于重水堆）； （4）堆外燃料完整性相关的准则：足够的次临界度，有足 够的水位淹没燃料组件且有足够的热量排出能力； （5）反应堆冷却剂系统完整性相关的准则：反应堆冷却剂 系统最高压力，最高温度、压力和温度变化导致的反应堆冷却剂

核动力厂确定论安全分析

系统压力边界应力和应变，假想的压力容器缺陷不会导致脆性断 裂或延展性失效； （6）二回路完整性相关的准则（如果相关）：冷却剂最高压 力，二回路设备所承受的最大温度、压力和温度变化： （7）安全壳完整性和限制放射性释放到环境相关的准则： 最大和最小压力值及其持续时间，安全壳内外最大压差，最大释 放率，可燃或可爆气体最大浓度，运行系统可接受的工作环境 安全壳内最高温度； （8）限制放射性扩散的其他设备（如重水堆中的端屏蔽） 完整性相关的准则：最大压力、温度和升温速率。 4.3.3在停堆模式或任一屏障完整性丧失或降级情况下的假 设始发事件，在可能的情况下应采用更严格的准则（如防止在升 盖的压力容器和乏燃料水池内的冷却剂沸腾，或防止燃料组件裸 露）。 4.3.4通常，对于发生频率较高的始发事件，屏障完整性相 关的技术验收准则更加严格。对于预计运行事件，不应导致物理 屏障继发失效（燃料芯块、燃料包壳、反应堆冷却剂系统压力边 界和安全壳）或燃料损坏（如果正常运行时充许在运行限值内有 少量燃料泄漏，则不充许有更多燃料损坏）。对于设计基准事故 和不会导致堆芯明显损伤的设计扩展工况，应维持防止核动力厂 放射性物质释放的屏障完整性（4.2.5和4.2.6节）。对于堆芯熔 化的设计扩展工况，应保证安全壳的完整性，同时防止安全壳被 旁通，以确保防止早期放射性释放或大量放射性释放，

核动力厂确定论安全分析

4.4.1应明确给出每个准则的适用范围和条件。比如，燃料 溶化温度或燃料烩升应与燃耗和可燃毒物成份相关。为了限制放 射性释放，应给出放射性物质释放的持续时间。根据条件不同： 验收准则可能变化很大。因此，在安全分析中使用验收准则时： 应给出足够详细的条件和假设。 4.4.2虽然对安全重要的工程评价在安全分析中可能没有明 确说明，但是它是安全评价的相关组成部分。构筑物、系统和设 备设计时采用的安全裕量应与它们可能必须承受的载荷不确定 性及其失效后果相当。 4.4.3应力和应变评估除了考虑所有相关的物理量外，还应 考虑由每个载荷或载荷组合造成的环境条件和适用的边界条件。 验收准则应足以表明与假定载荷相关的事件发生后，缓解其后果 必需的构筑物、系统和设备不会产生继发失效

5确定论安全分析中保证安全裕量的通用方法

5.1.1确定论安全分析应论证满足相关安全要求，而且重要 参数实际值与放射性屏障的失效阈值之间有合适的裕量（取决于 核动力厂状态）。应在许多方面考虑保守性，如验收准则或者物 理模型、初始条件及边界条件。 5.1.2计算机程序预测的不确定性可采用一些适当的方法隐 性地反映，也可采用包含量化不确定性的最佳估算方法来显性地 28一

核动力厂确定论安全分析

反映。对于最极限情况（与验收准则相比裕量最小的情况）来说， 这是极为重要的。 5.1.3为了证明预计运行事件能够满足验收准则，分析时可 考虑两套互补的方法，应根据分析目的来选取相应的分析方法： 即考虑核动力厂控制及限制系统的现实方法与仅考虑安全系统 的更为保守的方法。 5.1.4必须用保守的方法来分析设计基准事故。该方法包括 在分析中假定安全系统的某些故障模式，规定设计准则，采用保 守的假设、模型和输入参数等， 5.1.5必须对核动力厂开展设计扩展工况分析。必须保证核 动力广能进入可控状态并维持安全壳功能，从而能实际消除导致 早期放射性释放或大量放射性释放的核动力厂状态发生的可能 生。相关的分析可采用最佳估算方法 5.1.6当采用最佳估算分析时，仍然需要保证距离丧失屏障 完整性有合适的裕量。应通过敏感性分析来论证可避免潜在的可 能造成早期放射性释放及大量放射性释放的陡边效应。该论证结 论在采用最佳估算方法分析设计扩展工况时特别重要，特别是对 于严重事故，其导致屏障降级从而造成早期放射性释放或大量放 射性释放的可能性较高。 5.1.7应识别对分析结果最为敏感的参数。通过对关键输入 参数系统性变化进行敏感性分析，以确定该类参数对分析结果的 影响。这些敏感性分析不但用于确定可能对系统安全带来最大挑 战的重要参数值，也用于论证实际情况下参数可预见的变化不会

核动力厂确定论安全分析

带来陡边效应。应注意的是，当每次改变一个参数进行敏感性分 析时，由于不一定能体现多个参数同时变化时可能的补偿或累积 效应，可能会得到误导性的结果。 5.1.8基于现实原因，只能考虑对有限数量的被识别为对结 果有重要影响的参数进行敏感性分析。在给定范围内改变参数的 取值，以确定针对选定验收准则造成最小安全裕量的参数值。这 些选值将会用于安全分析，并且参数的重要性可能会随着瞬态变 化而变化。需要特别注意，不能对所选的相关的参数进行随意改 变，否则有可能会带来数据矛盾的问题（比如质量不守恒）。 5.1.9确定论安全分析中，应基于安全分析目的及核动力厂 状态，考虑与之相称的保守性。针对预计运行事件及设计基准事 故，可考虑以下两种选项中的一种，或者两者结合的方式，由此 来代替完全保守的分析方式（表1中的选项1）： （1）采用最佳估算计算机程序与保守输入数据（表1中的 选项2）； （2）采用最佳估算计算机程序与最佳估算输入数据（表1 中的选项3）。 在前一种情况下，结果由一系列计算得到的保守参数来表 示，这些参数是由验收准则所限定的。在后一种情况下，结果庄 计算参数的百分比或概率分布的形式来表示。 5.1.10应认真遵守规范、程序记录及用户指南，以限制使用 确定论安全分析方法时的人因影响（用户效应）。 5.1.11初始与边界条件的选取应考虑核动力厂的儿何边界 变化、燃料燃耗变化及与运行年限相关的变化（如锅炉或蒸汽发 30

核动力厂确定论安全分析

5.2针对预计运行事件及设计基准事故的保守方法和组合方法

5.2.1在采用保守方法或组合方法时，须在核动力）运行限 值及条件所规定的参数范围内，选择保守的初始条件和边界条 件。初始条件包括堆芯功率水平、功率分布、压力、温度和一回 路流量等；边界条件包括触发整定值、核动力厂系统（如泵与电 源）的性能、质量和能量的外部源项和损失项，以及其他在瞬态 进程中变化的参数等。系统可用性及操纵员动作的保守假设在第 6章核动力厂不同状态的确定论分析方法中讨论 5.2.2应选取的输入数据和模型假设，不仅考虑预计运行事 件及设计基准事故中的中子物理和热工水力方面，还考虑辐射方 面。特别是在向环境释放的源项分析中，须考虑下述因素： （1）燃料（堆芯或乏燃料水池）内的裂变产物与其他同位 素的总量； （2）反应堆冷却剂系统内的放射性，包括了事件发生前及 事件过程中挥发性裂变产物的释放（峰值） （3）燃料损伤（包壳泄漏）的时间进程与范围； （4）燃料释放的放射性核素的份额： （5）反应堆冷却剂系统与安全壳泄漏途径内的放射性核素 的滞留； 6）裂变产物在冷却剂汽液相间的份额分布：

核动力厂确定论安全分析

核动力厂确定论安全分析

（2）保守程度可能在事故进程中发生变化，一个假设可能 无法在整个瞬态中都保持保守； （3）某些保守假设可能导致对事件序列与时间表的预测存 在误导或不真实； （4）如果根据工程判断选择保守参数，则存在用户效应显 著的风险，即用户没有采用合理的选择，从而导致无法获得保守 的结果。 因此，针对每一条验收准则，都需要进行敏感性分析来支持 输入的保守选择。建议至少选出那些对结果特别重要的序列，进 行最佳估算结合不确定性量化分析， 5.2.6由于保守计算机程序的运用可能会掩盖某些现象的影 恂或者显著改变现象出现的前后顺序，因此，针对该类现象，义 须进行充分的敏感性分析以论证重要的事故现象没有被保守计 算机程序所掩盖。 5.2.7在保守方法中，应采用基于敏感性分析获得的核动力 厂运行寿期中最为极限的初始条件。始发事件应在与反应堆初始 条件（如核动力厂功率运行或停堆状态、功率水平、衰变热水平、 裂变产物储量、反应性条件、反应堆冷却剂系统温度、压力和水 装量）相关的最为不利的时刻发生。 5.2.8初始条件的选取应包含可能出现的最不利状态的组 合，但无需考虑不可能同时发生的初始条件。例如，极限衰变热 功率与极限峰值因子物理上不可能同时在燃料瞬态中出现。 5.2.9在保守初始条件的选择中可以不用考虑出现频率极低

核动力厂确定论安全分析

及出现时间极短的运行状态

5.3针对预计运行事件及设计基准事故的最佳估算加不确定性

5.3.1采用最佳估算计算机程序并结合模型、初始条件、边 界条件及其他输入参数的不确定性，可以获得确定论安全分析中 的不确定性（尤其是预计运行事件与设计基准事故的不确定性） 为了能够获得安全分析的保守结果，应识别和评价这些不确定性 对结果的影响，以确认计算得到的上限值和下限值能够包络核动 力厂参数的真实值，并具有合适的置信度水平。 5.3.2在对不确定性进行量化之前，需要确保：分析采用的 最佳估算计算机程序经过充分确认；用户效应（比如可能选择不 恰当的值）经过合适考虑；计算平台（硬件和软件）对于结果的 影响最小化；评价不确定性的方法经过鉴定。 5.3.3为了进行稳健的“最佳估算加不确定性量化分析，有 必要对不确定性进行可靠的评价，尤其是识别并区分随机不确定 生和认知不确定性的来源。在进行不确定性分析时，应区别对待 不同来源的不确定性。最好采用计算机程序与真实数据对比的方 式来量化已知的不确定性。当然，敏感性研究、计算机程序之间 的对比以及专家判断等方式相结合也可以用于不确定性评价。搜 集与所分析事件相关的核动力厂初始及边界条件数据是评价随 机不确定性的首选方法。 5.3.4不确定性的量化应基于核动力厂状态不确定性与程序 模型不确定性的统计组合，以确保在指定的概率下，有足够多的

核动力厂确定论安全分析

核动力厂确定论安全分析

归或拟合技术也可能给出不清晰或者误导性的结果，尤其当响应 并非线性或者相关效应非常重要的时候。 5.3.9对于每个分析的事件，与计算机程序结果有关的参数 不确定性也可以基于专家判断来估算，该过程需要使用现象识别 和分级表（PIRT）。每个PIRT表都应识别最重要的现象，而模 拟这些现象的计算机程序模型适用性需要根据可用的数据进行 确认。重要的参数需要基于它们各自的概率分布进行随机的变 化，以估算总的不确定性。该流程也可以用于评估计算机程序或 者模拟某选定事件的计算工具的适用性

5核动力厂不同状态的确定论分

6.1.1应对核动力不同状态下的假设始发事件与事故序列 进行确定论安全分析，并应在验收准则选择、计算机程序使用、 不确定性的处理和保证安全裕量方面遵循本导则所述的通用规 则。 6.1.2在确定论安全分析中，只能采信那些满足与电厂状态 相关的要求并进行了适当的安全分级的构筑物、系统和设备，以 及完成了设计扩展工况下可用性论证的构筑物、系统和设备。 6.1.3确定论安全分析时，作出保守水平的决定时，应考虑 以下输入数据或假设： （1）计算机程序的模型； （2）核动力厂运行参数；

核动力厂确定论安全分析

（3）控制及限制系统; （4） 能动安全系统： （5）非能动安全系统； （6） 设计扩展工况的安全设施； （7）操纵员动作。 6.1.4不同类型的失效下，影响源项的现象可能不同，因此 需要针对每种失效类型进行各自的源项分析。典型的事故类型包 括：导致冷却剂与裂变产物由堆芯释放到安全壳的丧失冷却剂事 故：旁通安全壳或者发生在安全壳外（如乏燃料水池）的事故； 维修带有放射性燃料时发生的事故；处理及贮存气相或液相放射 生废物系统的事故释放。 6.1.5对于某些假想事故，放射性核素的释放是由堆芯进入 反应堆冷却剂系统，再逐步进入安全壳内，直至放射性核素最终 释放至环境。因此，源项分析应包含预测经过该路径的放射性核 素的行为。

6.2正常运行条件下的确定论安全分析

6.2.1分析的特定目标 6.2.1.1正常运行条件下的确定论安全分析应采用送代过程 以支持运行限值和条件的开发，并确认其适当性。这些运行限制 条件以过程变量数值、系统要求、监督要求或试验要求等表示。 6.2.1.2正常运行条件下的确定论安全分析所用的限值与条 件（如反应堆功率及冷却剂装量），应包含所有重要的初始和边 界条件，并将在预计运行事件、设计基准事故及设计扩展工况的

核动力厂确定论安全分析

核动力厂确定论安全分析

正常运行系统，包括核动力厂控制系统。在正常运行模式有关的 瞬态中，不应触发核动力厂的其他系统。 6.2.4操纵员动作 正常运行规程中设定的操纵员动作在分析中应采信。 6.2.5分析假设与不确定性处理 6.2.5.1正常运行条件下的分析应提供核动力厂现实的行为 表征。尽管如此，应考虑系统（包括仪表、控制与机械系统）性 能的不确定性，以评价可用设备的适当性。 6.2.5.2考虑的初始条件应可以代表所有预期及批准的核动 力厂运行模式，并与运行限值和条件保持一致。使用的参数包络 值应考虑参数全部可接受的范围。 6.2.5.3当预测剂量存在不确定性时，应进行保守假设。本导 则不包括此方面的详细指导

招标投标预计运行事件的现实性确定论安全

6.3.1分析的特定目标 6.3.1.1对预计运行事件现实分析的主要目的是验证核动力 的运行系统（特别是控制及限制系统）可以防止预计运行事件 发展到事故状态，且核动力厂能够在预计运行事件发生后恢复到 正常运行状态。现实分析应给出核动力厂对始发事件现实的响 应。 6.3.1.2分析考虑的假设始发事件中的预计运行事件，应包括 所有在核动力厂寿期内预计会发生的事件。对于很多假设始发事 件，利用控制及限制系统结合核动力厂固有特性和操纵员动作

核动力厂确定论安全分析

能够消除事件影响，从而不会出现反应堆紧急停堆或者安全系统 入。在这些情况下，核动力厂可以在纠正错误后恢复运行。 6.3.1.3通常，预计运行事件不应对缓解设计基准事故的安全 设施产生任何不必要的挑战。因此，分析应证明，在核动力控 制及限制系统能够依照设计运行的情况下，不需要触发安全系 统。然而，某些预计运行事件本身就需要触发安全系统。 6.3.2验收准则 6.3.2.1对预计运行事件的现实分析应旨在论证实体屏障（燃 料芯块、燃料包壳、反应堆冷却剂系统压力边界和安全壳）或者 重要的安全系统不会出现损坏。另外，还应尽可能地验证，不会 出现反应堆紧急停堆及安全系统触发。 6.3.2.2现实分析也可用来论证在控制及限制系统可用的情 况下，设计能满足特定的设计准则（比如安全阀不开启）。该设 计准则比针对预计运行事件保守分析的验收准则更严格。 6.3.2.3为了保证实体屏障不失效，通常需要在95%置信度水 平的95%概率下确保（轻水堆）：堆芯任何区域不发生沸腾危机 或干滴，堆芯任何区域的燃料芯块中心部分不熔化，反应堆冷却 剂系统与主蒸汽系统的压力不会明显超过设计值。 6.3.2.4任何预计运行事件都不应导致核动力厂紧邻区域以 外的放射性影响。预计运行事件相关的放射性释放验收准则应与 正常运行下的年放射性限制准则相当，而应比设计基准事故的放 射性剂量限制更严格。可接受的有效剂量限值应与正常运行的有 效剂量限值相当。 6.3.3 系统可用性 40一

核动力厂确定论安全分析

在预计运行事件现实分析中，任何不受假设始发事件影响的 系统都应被假设为可用。分析应主要依靠控制及限制系统，以及 核动力固有特性。 6.3.4操纵员动作 分析中应考虑正常与异常运行下操作规程所设定的操级纵员 动作。通常，当假设控制及限制系统正常运行时，在相应瞬态中 便不再需要操级员动作，否则应使用现实估算的操纵员动作时 间。 6.3.5分析假设与不确定性处理 针对预计运行事件的现实分析应采用最佳估算方法，并涵盖 确定假设始发事件时考虑的核动力厂预期初始条件。通常，针对 预计运行事件的现实分析不考虑不确定性。对于可运行性考虑 （比如核动力厂可靠性分析），可对控制及限制系统应用不确定 性处理

6.4针对预计运行事件和设计基准事故的保守性确定论安全分

6.4.1分析的特定目标 6.4.1.1必须用保守的方法来分析设计基准事故，即应采用表 选项1至选项3中的一种。现实分析不应被运用至设计基准事 故分析中。针对预计运行事件和设计基准事故的保守分析应能够 证明短期内仅依靠安全系统的自动动作，长期叠加操纵员动作， 可以使核动力厂达到安全状态测绘标准，并满足以下安全条件：