核电站严重事故管理导则及存在问题分析

张迅

（江苏核电有限公司，江苏连云港 222000）

0 引言

当前田湾核电站的SAMG（Severe Accident Management Guidance，严重事故管理导则）是以国际普遍使用的严重事故管理导致框架为参考，同时结合电厂特定的系统和设备特点而进行开发的。田湾核电站的1 号、2 号机组是俄罗斯设计的VVER-1000 机组，也是世界上第一个正式运行的AES-91 型压水堆核电机组，在系统设计上与国内外其他核电厂有明显差异。为满足现场的运行实际的需要，田湾核电站的SAMG 在应用中也针对这些差异做了适应性优化，但在实践过程中还存在一些问题。

1 严重事故管理导则

1.1 严重事故简介

严重事故是严重性超过设计基准事故并造成堆芯明显恶化的事故工况。反应堆运行过程中，如果发生某种事故或瞬态，专设安全设施出现多重故障导致系统功能失效，或操纵员在操作过程中判断失误导致人为误操作，就有可能导致事故继续朝着不利的方向发展。随着一回路水装量减少，堆芯裸露继而无法保证堆芯有效冷却，导致堆芯过热损坏，进而发展成严重事故。

SAMG 是当发生堆芯损伤后达到以下目标：①使堆芯返回可控的稳定状态；②维持或使安全壳回到稳定的可控状态；③终止放射性裂变产物释放；④尽量将裂变产物释放减少到最小和使设备及监测能力最大化。

1.2 严重事故管理导则的框架

根据事故的严重程度划分出不同的事故阶段，田湾核电站的事故管理分别采用不同的程序与文件进行管控（图1）。SAMG是介于EOP（Emergency Operating Procedure，应急运行规程）与EP（Emergency Plan，应急计划）之间的指导性文件，既不像EOP一样需要严格遵照执行，也不像EP 样偏重于组织管理。它给出的是对应于堆芯和安全壳不同状态的建议及正面、负面影响，至于如何采取措施则由主控室或技术支持中心决定。

图1 不同事故阶段管控程序与文件

田湾核电站SAMG 为状态导向的、全范围的严重事故管理导则，包括反应堆严重事故管理导则和乏燃料水池严重事故管理导则两部分（图2）。根据对反应堆及乏燃料水池严重事故的分析，由于反应堆及乏燃料水池都位于安全壳内，严重事故的现象及缓解措施有一定的相似性，因此将反应堆及乏燃料水池严重事故管理导则合并在一起，在一个逻辑框架下考虑反应堆和乏燃料水池的严重事故管理。

图2 田湾核电站SAMG 文件体系

田湾核电站反应堆严重事故管理导则包括MCR（Main Control Room，主控室）使用部分和TSC（Technical Support Center，技术支持中心）使用部分，其中前者包括TSC 人员未到位时的初始响应导则和TSC 人员到位后的处理导则，而后者包括初始阶段严重事故的诊断和处理导则、安全屏障受到严重威胁时的诊断和处理导则、严重事故缓解后的长期监督和出口导则3个部分（图3）。

图3 田湾核电站SAMG 逻辑框架

1.2.1 主控室严重事故管理导则

功率运行工况的主控室严重事故管理导则包括为《主控室严重事故初始响应导则（SACRG-1）》和《TSC 正常运作后主控室严重事故导则（SACRG-2）》两个分导则，具体采用哪个导则取决于TSC 的状态。核电厂停堆工况余排系统接入时，采用导则SACRG-3 替代SACRG-1。

SACRG-1/3 是主控室从EOP 转到SAMG 的入口。在进入SACRG-1/3 之后，主控室首先执行一些需要立即执行的操作，然后检查TSC 的状态。如果堆芯损坏发生得很快，TSC 人员可能还没有做好准备，主控室将执行SACRG-1/3 的后续步骤。如果确认TSC 此时已就位，则主控室进入SACRG-2 进行相关操作。

1.2.2 TSC 严重事故诊断与严重事故管理导则

TSC 有两个工具进行严重事故诊断，分别为DFC（Diagnostic Flow Chart，诊断流程图）和SCST（严重威胁状态树）。

（1）DFC 是诊断电厂状态、判断电厂是否达到可控稳定状态以及对安全壳裂变产物边界的可能威胁进行早期诊断的主要工具。在严重事故进程中，DFC 对一些关键参数进行监测和控制。每一个DFC 参数都需要定期监测，直到所有参数达到设定值，此时电厂宣布达到了可控稳定状态。

（2）SCST 是在诊断安全壳裂变产物边界直接的、严重的威胁时使用的主要工具。SCST 确定了在严重事故下所有可能出现的电厂状态的严重威胁。相较于DFC，SCST 用于监测更严重的电厂状态。SCST 中的参数需要经常监测，确认是否已经发展成一种严重威胁。在执行DFC 的同时也要进行SCST 参数的监测，如果SCST 中的一个参数达到了整定值则DFC 中的所有行动暂停，直到SCST 中的威胁已经得到处理。

SCST 与DFC 最主要的区别是策略实施的迫切程度不同：在DFC 中，需要评估策略的正负面影响，从而确定是否实施和实施哪些策略；而在SCST 中，如果不实施策略短期内裂变产物边界将可能被破坏，因此如果SCST 参数超限，则必须立即实施最合适的可用策略。

DFC/SCST 参数的优先级顺序的确定依据，是对安全壳裂变产物边界的威胁、威胁发生的速度、在事故过程中威胁可能发生的时间以及可用于干预的时间的综合考虑，具体逻辑关系见图4。

图4 DFC 诊断流程

2 SAMG 在应用中存在的问题及分析

田湾VVER 机组的严重事故管理导则（SAMG 已应用于电站的安全生产管理活动中，有利于提高核电厂的严重事故管理水平。针对以上VVER 机组所做的改进，在实际应用过程中也发现一些存在的问题。

2.1 组织体系方面的问题

2.1.1 TSC 没有足够专业能力水平的人员参与决策

田湾SAMG 开发过程以国际普遍使用的严重事故管理导致框架为参考，结合VVER AES-91 型机组的技术特点形成了最终的成果。本文介绍田湾SAMG 针对这些差异所做的改进，在实际应用过程中也发现，由于东西方文化的差异与核电发展阶段的不同，组织体系的差异对实际应用效果产生了影响。

西方国家的核电发展相对较早，在20 世纪的70 年代处于蓬勃发展阶段。之后发生了美国三哩岛事件和前苏联切尔诺贝利事件，给国际核电事业的发展带来了重大打击。在美国三哩岛事件发生后的30 年左右的时间里，没有建成或投产过一台核电机组，只是在近些年才重启核电项目的发展。这使得在西方核电企业积累了一大批具有几十年核电运行经验的从业者，他们可以分配到堆芯物理、热工水力、设备管理等技术支持岗位，利用他们丰富的从业经验和专业知识对运行操作提供支持。因此在SAMG 运作过程中，TSC 的工作人员具备了足够的知识与能力，可以对主控室的运行操作提出建议意见。

国内的核电行业起步于20 世纪的80 年代，21 世纪进入快速发展时期。田湾核电站的工作人员比较年轻化，大多数人在大学毕业后直接进入电站工作，工作经历与经验积累不足。近些年国内新的核电厂不断出现，也稀释了田湾核电站调试期间培养的人才队伍。同时，田湾核电站面临着机组运行、新机组调试、新机组工程建设及4 台机组的前期准备工作，生产队伍中具有一定专业能力的人才处于紧缺状态。这种现状使得专业能力较强、工作经验比较丰富的工程技术人员主要配置在生产一线部门，技术支持部门大多数为直接从大学应届招聘的本科与研究生毕业生，他们具有一定的理论水平但欠缺现场工作经验，对运行机组的控制与对系统设备的了解不足是主要薄弱环节，在使用SAMG 过程中向运行控制组提供的支持力度会受到专业能力的限制。

为此，在TSC 中应尽量配备具有运行经历的专业人员，将运行系统工程师、模拟机教员等纳入到技术支持组中，弥补存在的不足与短板。

2.1.2 TSC 工作人员没有参与SAMG 的前期开发工作

为了确保严重事故管理工作的开展，核电站在处室岗位职责中做了明确界定，SAMG 由核安全处的核安全工程师岗位（以下简称“安工”）负责。SAMG 开发完成后，电厂组织升版了《技术支持组的应急响应行动》程序，明确了由技术支持组承担TSC 的职责。根据管理程序《应急响应岗位人员的提名、批准与ON-CALL 值班安排》的规定，技术支持组各岗位担当人员资格如图5 所示。

由图5 可知，技术支持组的主要工作人员，分别来自于技术支持处、设备管理处、运行处、保健物理处、培训处及仪控部门。而这些部门的工作人员，都没有直接参与到SAMG 的前期开发过程中。在应急组织体系中，对SAMG 研究最透彻的人员没有参与TSC 工作组，是组织配置方面存在的最大问题。

图5 技术支持岗位人员资格表（示例）

根据核安全法规《核电厂应急计划与准备准则》第6 部分规定，在应急组织中运行控制组必须包含核安全工程师。电站当前1 号～6 号机组运行，7 号/8 号机组建设。成立运行控制一组、运行控制二组和运行控制二组，分别对应1 号/2 号机组、3 号/4 号机组和5 号/6 号机组。电站应急值班实行A、B 角制度，即每周每个岗位ON-CALL 待命值班人数为两人，其中A 角需60 min 内到岗，B 角需要保持通信畅通、在12 h 内到岗。按照标准组织机构的规定，田湾核电站每两台机组标准的安工配置为6 人。但实际情况是，由于扩建工程的需要安工实际到岗人数分别为4 人、4 人和5 人，较少的安工配备导致目前在应急组织中，安工只能根据法规的要求参加运行控制组的值班，不能兼顾参加技术支持组的值班。

为解决这一问题，长远来看需要从人力资源角度着手，增加安工的培养与配置，或从组织机构上调整职责分工，将严重事故管理的职责转移到核电站的技术支持部门。当前，为确保TSC 工作组对SAMG 的熟悉程度，建议采取的措施有：①成立专项组，组织TSC 相关人员参与后续的SAMG 审查与升版工作；②增加技术支持组的专项培训与演练频次；③在应急决策工作中，将严重事故决策的批准权限移交应急指挥部，并组织对应急指挥部成员的SAMG 专项培训。应急期间，由应急指挥部调动电厂的所有资源，确保严重事故决策的准确性。

2.2 当堆芯出口温度达到400 ℃时的不同程序对注水策略的要求存在不一致情况

在电厂原有的BDBA（超设计管理导则）中，对于失水类超设计基准事故，当监测到堆芯裸露并严重过热（400 ℃）时将停止所有未完成的向堆芯注水冷却的操作，因为此时堆芯已经部分干涸，冷水与过热的燃料元件包壳的接触有蒸汽爆炸的危险。

国内外的研究表明，压力容器内蒸汽爆炸不能导致安全壳丧失完整性，也不一定能造成压力容器重大损坏。在三哩岛事故中堆芯损坏后向堆芯注水冷却，已证明具有很好的严重事故缓解作用。因此，在田湾核电站SAMG 的《向反应堆冷却剂系统注水（SAG-3）》中，采用了向一回路注水的策略。

BDBA 导则中的相关规定与目前SAMG 中的“SAG-3 向反应堆冷却剂系统注水”存在定冲突，这可能导致在400 ℃时操纵员停止注水而到650 ℃时恢复注水。这一方面使操纵员的操作不连贯（400 ℃时停止注水的操作是不必要的），另一方面对事故后果有不利影响（有意推迟注水导致更剧烈的锆水反应）。后续的工作中需要对此问题进行研究后，明确对BDBA 导则的修改建议。

2.3 未考虑堆芯捕集器失效情况下的应对措施

VVER 机组设计有堆芯捕集器，在严重事故过程中将利用堆芯捕集器冷却堆芯熔融物，缓解相关的严重事故现象。堆芯捕集器的相关操作被放在SACRG-1 和SACRG-2 中，但在这两导则中没有考虑堆芯捕集器失效（或未按设计运行）。堆芯捕集器的损坏的可能原因包括：堆芯捕集器内发生蒸汽爆炸，对堆芯捕集器产生了破坏；由于操作不及时，没有及时对堆芯捕集器的换热器进行注水操作，从而无法确保堆芯捕集器完成它的全部功能等。

虽然堆芯捕集器失效的概率较小，但就纵深防御的角度来看，SAMG 应当对此进行考虑。在由堆芯捕集器接收堆芯熔融物的情况下，余热由堆芯捕集器导出。在压力容器失效后，堆芯捕集器上部的液位传感器和温度传感器的读数都是重要的监测参数，因此堆芯捕集器失效时如何执行后续的响应是SAMG 的改进方向。

2.4 电子化软件不能确保严重事故期间的可用性

田湾核电站开发SAMG 时，同步开发了电子化软件，该软件以直观的显示帮助电厂工作人员判断严重事故期间机组的状态参数并提供决策引导。但是，SAMG 电子化软件还存在一些不足，影响事故后的使用效果。

（1）SAMG 电子化软件目前普遍安装在日常工作计算机上。如果电厂发生了失电等事故，日常使用的计算机都将在较短时间内因失去电源而丧失工作能力。这些计算机都没有像电厂安全系统一样配置有应急电源，即使计算机带有蓄电池，蓄电池的容量也不足以满足严重事故处理的供电需要。因此，在严重事故发生期间，并不能确保SAMG 电子化软件的正常运行。

（2）SAMG 电子化软件所获取的机组实时数据是通过“江苏核电实时数据系统PI”系统获取的。该系统用于获取机组的主要参数并在公司局域网传输，在员工日常电脑显示，是为了技术支持类工作人员根据分析与了解系统设备参数及其变化趋势提供便利。该系统为非安全相关系统，安全等级较低，对可靠性没有严格要求，因此不能满足严重事故发生期间对SAMG 电子化软件具有即时的数据输入功能。

（3）电子化软件的形式使软件不能得到及时升版。SAMG 开发完成之后，在培训演练中逐渐发现了一些问题和错误，但是这些错误需要外部开发单位修改软件代码从而对软件进行升版，这需要经过一段时间的问题累积之后才能得以实施。田湾核电站内部目前也在着手开发网页版SAMG 软件，以解决目前依赖外部单位的现状。

由于SAMG 电子化软件存在上述弱点，目前其在实际应用中只能作为辅助手段和培训工具使用。在实际演练中，相关人员要适应没有这套软件的情况下如何准确掌握参数并作出正确的决策。

3 结论

总体上，田湾核电站VVER 机组严重事故管理导则的开发和应用是成功的。但是从上述分析不难看出，其在实际应用中还存在一些问题需要解决，相关人员未来还将针对这些问题不断地进行总结完善。