通用的指导意见
4.1. 安全分析的目标应该是借助合适的分析工具建立和确认有关安全重要物
项的设计基准，并确保整个机组设计能够满足针对每一种机组条件规定的和可 接受的辐射剂量和释放量的限值。设计、制造、建造和调试应该与安全分析结 合起来进行，以确保设计意图已在竣工机组中得到体现。
12 “安全丛书”No.50-SG-D7，Emergency Electrical Power Systems at Nuclear Power Plants (1991)。
4.2. 安全分析作为设计过程的一部分,应该由负责安全供应核电的两个单位
4.10. 安全分析应该找出设计中潜在的薄弱环节，评价建议的设计改进，以及
确定论和概率论评价工作
4.26. 运行数据还应该包括有关部件和系统的行为的信息、始发事件的发生频 率、部件失效率数据、失效模式、维护或测试期间的系统不可利用率，以及部 件与系统的修理时间。
4.27. 就处于设计阶段的机组而言，所用的数据应该由来自具有类似设计的正
在运行机组的通用数据导出，或由来自研究或测试结果的数据导出。就正在运 行的机组而言，这种通用数据库的某些部分可能会随着时间的推移而不断增加，
这是由于从该机组本身运行史和维护数据、经验以及检查结果导出的因机组而 异的数据在不断增加。
4.28. 安全分析应该涵盖机组内的一切放射性物质源。除反应堆堆芯外，还包
括运输途中的辐照燃料、库房中辐照过的燃料和贮存的放射性废物。
安全分析的验收准则
4.29. 应该规定确定论评价和PSA用的验收准则。这些验收准则通常是设计者
或营运者所用准则的翻版，并且与监管机构的要求是一致的。
4.30. 这些准则应该足以满足IAEA的安全基本原则[2]和《核动力厂的安全：设
计》[1]中给出的“核安全的总目标”、“辐射防护目标”和“技术安全目标”。
4.31. 此外，应该制定详细的准则，用于帮助确保这些较高层次的目标得到满
足（参看下面的第4.98段和第4.103段）。这些详细的准则通常会使分析工作简 单化。
4.32. 关于概率论的安全准则，若法律或监管部门的要求中有明确的规定则应
该引用，或在情况合适时应该重新制定。这些应该与发生具有明显放射性后果 的事故（诸如，堆芯损坏、较大的厂区外释放量以及工作人员和公众成员受到 的辐射剂量）的可能性有关。
假想始发事件
确定 PIE
4.33. 安全分析的起点是需要处理的一组PIE。在参考文献[1]中，PIE的定义是
“能导致预期运行事件或事故工况的已确定事件”。PIE包括设备失效、人的错
误和人诱发的或自然发生的事件之类的事件。确定论安全分析和PSA通常应该
13 HAZOP是一种系统方法，它使用一组关键字来确定可能发生的与可能导致
PIE的失效。
14 FMEA是一种系统方法，它研究每一种部件失效模式，然后确定它们会不会
导致PIE （参看参考文献[10]）附录V）。
— 从反应堆冷却系统排出的热量增加或减少，
4.44. 一组PIE应该包括由于人的错误而可能发生的PIE。此类PIE的范围可以从
维修作业有过失或不完全，到控制设备限值的整定值不正确或操纵员动作有误。
事件和某些安全系统设备的失效，因而需要提供保护以避免发生此类事件。举
— 反应堆功率水平变化，包括负荷跟踪模式（如果采用的话）；
4.58. 对于公众成员来说，剂量预测值应该包括来自直接的辐射照射、摄入的
虑过这类事故。DBA的发生频率在10-2—10-5每堆·年的范围内，虽然传统上包
4.73. 导致DBA的PIE的典型例子可能包括下类列出的情况。这份清单显然只是
— 能在DBA工况期间和之后使反应堆停堆并保持安全停堆状态。
预期运行事件和DBA的分析方法和假设
— 对没有被指定为安全级（全面质量保证、抗震的和设备的合格鉴定）和
有必要假定一切非安全系统和设备都已不能利用，并假定不能相信控制系统在
— 事件不应该产生后续更严重的机组工况，且不发生其他的独立失效。因
4.105. 安全分析的目标应该是量化机组的安全裕量并证明为这一级事故提供的
严重事故分析用的方法和假设
— 严重事故之后不应该有短期健康影响，
4.122. 源项还可以被用于证明掩蔽、食入碘化钾药片、食物禁令和撤离等措施 的有效性。
概率论安全分析
概述
4.123. 概率论安全分析（PSA）提供一种包罗万象的结构化方法，用于确定事
故情景和导出风险的数值估计。供核电机组用的PSA通常在以下三个层次上进 行：
4.124. 一级PSA，确定能导致堆芯损坏的事件序列、估计堆芯损坏频率，以及
提供对用于防止堆芯损坏的安全系统和安全规程的优缺点的了解。
4.125. 二级PSA，确定放射性物质能够从机组中释放出来的途径，并估计其大
小和频率。分析还增加对事故的预防和减轻措施（诸如使用反应堆安全壳）的 相对重要性的了解。
4.126. 三级PSA，估计公众健康及土地或食物污染之类的其他社会风险。
4.127. 就全世界的大多数核电机组而言，一级PSA现在一直在进行。然而，近
年来，不断出现一些供许多类型核电机组进行二级PSA用的标准。到目前为止，
已经进行的三级PSA相对较少。
将PSA作为决策过程的一部分
4.128. PSA结果应该作为设计过程的一部分，以评估机组安全水平。由PSA得到 的见解，应该与从确定论分析得到的见解一起考虑，以便作出机组是否安全的 决定。这应该是一个迭代过程，目的是确保国家要求和准则得到满足，确保设
计（如第4.139段所定义的）是均衡的，并确保风险的水平是合理可行尽量低的。
4.129. PSA结果应该被用于识别机组的设计或运行弱点。可以通过考虑始发事 件组对风险的贡献和测量安全系统的重要性对风险贡献，以及人的错误对总风 险的贡献来识别此类弱点。凡是PSA结果表明只要对机组的设计或运行做些变 更就可能减少风险的地方，在考虑了修改的相对费用与效益之后，就应该酌情 采纳这些变更。
4.130. 此外，当已经给该机组定义了概率论安全准则时，应该将PSA结果与这
4.137. PSA应该涉及机组的实际或预定的设计或运行，而且应该明确地将其作
4.140. PSA应该处理由机组的所有运行模式对风险贡献。当然，也许比较方便 的做法是单独地分析功率运行模式和停堆模式（两者不是同一个层次的问题）。
4.141. 如果PSA只进行到一级，则根据定义，反应堆堆芯就是分析的焦点。如
果PSA要进行到二级和三级，则PSA的范围或许要包括由厂区内的其它放射性 物质源（诸如用过的燃料和放射性废物）对风险的贡献。只要目的是处理由机 组引起的对厂区附近的个人的总风险，就应该把堆芯以外的源包括进来。
4.142. PSA应该将整套PIE（包括内部PIE和外部PIE）作为分析的起点。接着分 析应该确定对风险有作用的完整故障序列。这些故障序列应该涉及部件失效、
部件在维护或测试期间的不可利用性、人的错误、共因故障，以及如有可能还 应该考虑部件的老化。
PSA方法
4.144. PSA最好自始至终使用最佳估算值法。这当然包括为支持安全系统的成 功准则、模拟堆芯损坏以后安全壳内可能发生的现象以及释放到环境的放射性
始发事件、停堆、余热排出保护安全壳。然而，超过它安全功能就会被认为已
4.157. 因为核电机组中的某些安全系统共用共同的启动系统或共同的支持系统
4.164. 在具体说明设备的故障率时，应该具体说明设备的边界，并应该包括相
4.172. 能导致安全系统失效和失去关键安全功能的人的错误，应该在事件序列
二级 PSA ：分析从堆芯损坏到释放放射性物质的事故进程
些分析实际使用的节点数要比这多得多（例如，NUREG-1150 [13]）。这些节 点问题肯定与针对每一PDS画出的事件树中的问题是一样的。然而，由于PDS 所表征的初始条件不同，所定义的每种状态的实际事件树的细节肯定有差异。4.185. 事件树的端点确定了已经发生事件的先后次序和安全壳的状态。可能的
结果是安全壳完好无损，或者已经失效。可能的失效模式是：旁路、无法隔离
（这两种失效模式在PDS的定义中模拟）、泄漏、破裂或底板融穿。由此产生
的放射性物质释放必然还取决于安全壳的失效是发生在事件序列中的早期还是 晚期。
数据
4.186. 与事件树分析的量化相关的数据是与分支点有关的条件概率。可能会发
生的现象有相当大的不确定度，因此所用的概率常常以专家的判断为基础。
4.187. 应通过评估证实获得专家判断的框架是健全的，并尽可能陈述和证明供
判断用的依据是能成立的。应该考虑已经进行过的热工水力分析、针对其他类 似机组进行的分析和可适用的研究数据。安全壳事件树的量化应该考虑正在模 拟的各种现象之间的相互依赖性。
安全壳行为分析
4.188. 必需处理的重要议题之一是，安全壳在因堆芯损坏使其载荷增加后的行
为及其发生失效的方式。
4.189. 分析时应该论述安全壳的直接旁路（例如，由蒸汽发生器传热管破裂引
起的旁路，或由于能向安全壳外排放的接口系统LOCA引起的旁路）和安全壳 隔离系统的失效。PDS的定义中通常会包括这部分内容。
4.190. 应该进行结构分析，以便确定当安全壳遇到可能由蒸汽爆炸、不可凝结
的气体或氢气燃烧而引起的压力和温度状况时的行为。分析应该以安全壳的实
的气体或氢气燃烧而引起的压力和温度状况时的行为。分析应该以安全壳的实