摘要：介紹了風險指引技術的發展過程、基本概念、技術內涵。論述了風險指引技術與縱深防御的關系，以及風險指引技術在應用中的核心問題，并針對風險指引技術在我國核電領域的應用提出了若干建議。
　　
　　關鍵詞：風險指引技術縱深防御應用
　　
　　1 風險指引技術的發展過程
　　
　　自從1957年12月世界上座商用核電廠希平港（Shiingport）壓水堆核電廠投產以來，到目前為止世界核電已有近50年的歷史，先后經歷了驗證示范、高速發展和滯緩發展三個階段。核電廠一般采用傳統的確定論方法進行設計，即選定可信的后果嚴重的事故作為設計基準事故，針對設計基準事故考慮大量的保守假設和大的安全裕量，設置多重的預防和緩解措施以保證核電廠的安全。
　　
　　1975年出版的"反應堆安全研究（WASH1400）"是世界上個利用概率論方法研究反應堆安全問題的研究報告，該報告研究了可能引發事故的始發事件，并將可能引起堆芯熔化的事件序列作了排序。報告指出：超設計基準事故，尤其是嚴重事故造成的剩余風險仍有較高的發生概率。1979年3月美國發生的三哩島核電廠事故證明了WASH1400的結論，概率論方法作為核安全分析工具在世界范圍內受到普遍關注，一些核電廠也開始嘗試進行概率安全分析（A）。同時，由于對嚴重事故的擔心，在三哩島事故后新的電站設計方案中采取了大量提高安全性的措施，使核電建設工期拖長，投資大量增加，經濟競爭力大大下降，核電發展進入滯緩期。
　　
　　1988年，美國核管會（NRC）要求核電運營者利用A對電廠薄弱環節進行檢查（IPE和IPEEE），1992年，各核電廠的A報告全部完成。1992年以后，各核電業主對A模型不斷維護，并將風險分析結果應用到核電廠的運行、在役檢查、定期實驗、工程改造以及設計規范的改進之中，使得各核電廠在大幅度提高可用率和能力因子的同時，核電廠的安全性也得到大幅度提高。據美國電力研究所（EPRI）統計[1]：2000年，美國核電廠的平均能力因子比1992年上升約20%，平均堆芯損壞頻率下降到1992年的1/3，平均非計劃停堆次數下降到1992年的1/4，嚴重事件的發生頻率下降到1992年的1/10。
　　
　　1995年，美國NRC發布A政策聲明[2]，聲明要求"在管理規范活動中應擴大A技術的應用，利用A技術作為確定論方法的補充并支持傳統的縱深防御原則"，此政策聲明通過擴大A技術的應用使得風險指引型的管理規范走入正軌。
　　
　　1998年，NRC發布電廠許可證申請基礎變更、在役檢查、分級質量保證、技術規格書等方面的風險指引決策方法管理導則（RG1.174、RG1.175、RG1.176、RG1.177），同時按照風險指引決策方法修改了標準審查大綱第19章（SRPCh19），目前NRC正在積制定風險指引型管理規范[3,4]。
　　
　　2 與風險指引技術相關的基本概念[5,6]
　　
　　為了方便理解風險指引技術的內涵，首先需要明確如下幾個基本概念。
　　
　　2.1 風險
　　
　　運行核電站的風險是指可能對公眾健康或環境帶來危害的不確定性事件。風險一般包括三個要素：一是可能發生的故障或失效，即風險的始發事件或誘因；二是始發事件發生的概率或發生的可能性；第三個是如果該事件發生可能導致的后果。綜合三個要素才能對風險作出全面的理解和評價。經常遇到的對風險的片面理解是：只關注事件發生的后果而忽視了事件發生的頻率。

|<1234>>

　　2.2風險評價
　　
　　風險評價是指針對一個特定的系統，對與系統性能相關的風險三要素進行系統分析評價的過程。風險評價的內容包括：可能的始發事件、發生頻率、可能的后果、系統內各部分的相互聯系、系統參數的敏感性、對系統性能重要的事件序列以及分析結果的不確定性，等等。通過風險分析可以全面評價、了解系統的性能。
　　
　　2.3確定論方法
　　
　　確定論方法是一種根據預先確定的或規定的準則和要求進行核電站設計和審查的方法。為了保證核電廠的安全，這些預先確定的或規定的準則和要求是根據歷史經驗、實驗結果和專家判斷，同時考慮了大量的保守條件（如：設計基準、縱深防御、單一故障和安全裕量等）而提出的。幾十年來核電站的運行紀錄表明：確定論方法對保證核電站的安全是非常有效的。
　　
　　2.4概率論方法
　　
　　概率論方法是一種綜合考慮各種因素（如：設備失效、人因、外部因素等）、直接定量分析風險三要素的系統分析方法。概率論方法考慮可能的始發事件，定量分析其發生頻率和可能后果，按照事件序列的頻率和后果對風險進行排序。概率論方法和確定論方法各有優缺點（見表1），在具體應用中兩種方法應相互補充。
　　
　　表1確定論方法和概率論方法的優缺點
　　
　　確定論方法概率論方法
　　優點以縱深防御、冗余、多樣為設計原則，在技術上保證了設計準則的可靠性；
　　良好的安全紀錄；
　　以通過或不通過為具體要求便于實施和檢查；
　　構筑物、系統和設備的設計裕量不僅為設計基準事故提供保護，還為超設計基準事故提供一定的保護。不局限于設計基準事故，考慮各種具有潛在風險的事故序列；
　　采用盡可能真實的假設；
　　按風險大小對事件分級；
　　定量評價不確定性的影響；
　　提供了一套將運行經驗反饋到改進風險預測中的有效方法。
　　缺點局限于設計基準事故和單一故障準則，對超設計基準事故沒有確定的防范措施；
　　基于定性或主觀基礎來評價對公眾造成的不可接受風險；
　　利用一系列的保守假設和安全裕量來應對不確定性；保守假設的組合造成對真實情況的理解不清楚；
　　對設計基準事故的可信度未作論證；對決定公眾風險的超設計基準事故的防范能力未作明確評價。局限于隨機失效引起的事故；
　　分析結果高度依賴于現有知識水平；
　　真實假設往往不可行；
　　要求一個強大的、完善的風險模型；
　　分析的不確定性很大；
　　對人因的處理難度大。
　　
　　2.5縱深防御
　　縱深防御是一種利用多重的補償措施來預防核電廠事故發生或在事故發生后緩解事故后果的設計和運行安全原則。縱深防御原則了核電廠的安全不依賴于設計、建造、運行和維修環節的任何單一要素上。在設計、建造、運行和維修中考慮縱深防御原則使得核電廠抵御由設備失效和外部事件帶來的風險的能力更強。
　　
　　2.6風險指引技術
　　
　　風險指引技術（Risk-InformedTechnology）是指將風險分析的結果與管理規范的其它因素（如：確定論分析、工程及專家判斷、安全裕量等）綜合考慮，使電站根據對核安全和輻射防護的重要程度來考慮設計和運行問題的方法和技術。風險指引技術涵蓋的內容非常廣泛，目前經常提到的有：風險指引型設計（Risk-InformedDesign）、風險指引型維修（Risk-InformedMaintenance）、風險指引型在役檢查（Risk-InformedIn-ServiceIection）、風險指引型試驗（Risk-InformedTesting）、風險指引型管理規范（Risk-InformedRegulation）等。
　　
　　3縱深防御在風險指引技術框架中的地位和作用[6,7]
　　
　　縱深防御是在上世紀50年代提出的核安全原則。60年代縱深防御表現為三層保護屏障：層是通過高質量的設計、建造和運行防止事故發生；第二層是通過專設安全系統的功能防止事故惡化；第三層通過事故緩解系統限制事故后果，控制放射性釋放量。隨著核電技術的發展，到90年代縱深防御概念擴展為五層防護措施：層是通過保守的設計和高質量的建造與運行防止電站偏離正常運行工況；第二層是通過控制和保護系統探測失效和及時糾正非正常的運行工況；第三層是通過專設安全系統和事故規程把事故控制在設計基準范圍內；第四層是通過事故緩解措施和事故管理程序控制事故進程和緩解事故后果；第五層是通過廠外應急響應緩解放射性釋放后果。無論是三層或是五層，縱深防御的本質特征始終是為限制放射性釋放的后果而設置多層防護。從縱深防御發展的歷史過程來看，縱深防御概念由防止放射性物質的釋放而設置多重的保護屏障的狹窄范圍逐步擴展為放射性風險管理的總體安全策略，因此，縱深防御不僅僅是一種方法，更重要的是一種概念、思想和原則。

34>>

　　在核電廠設計中，之所以為防止放射性釋放而設置多層防護措施，是由于人們對事故風險認識能力的不足，設計的任何一層防護措施均有不確定性，因此，縱深防御始終是補償人們認識能力不足的有效措施。隨著風險指引技術在核電領域的應用，在風險分析中，考慮可能的始發事件，綜合分析設備故障模式、人因、各種事故預防和緩解措施，定量給出反應堆的總體風險，并將事件序列按照對總體風險的重要程度排序。根據風險分析結果可以發現設計和運行中的薄弱環節，并采取相應的改進措施；也可評價事故預防和緩解措施對控制總體風險的充分性和必要性，降低設計和運行中不必要的保守，也可補充保守程度不足之處，終使設計和運行得到優化。
　　
　　由于風險指引技術本身還不夠完善，以及人們對設備故障和人因失誤的認識方面還存在不足，還必須利用縱深防御原則來處理的不確定性。因此，在風險指引型技術體系中，縱深防御原則是首要的，風險指引技術是對縱深防御原則的重要補充，用于確定需要縱深防御的合適程度，只有通過對縱深防御原則下的預防和緩解措施的充分性和必要性進行論證，風險指引技術的價值才能夠充分體現出來。
　　
　　4風險指引技術在應用中的幾個核心問題[3,4,6]
　　
　　（1）風險指引技術并不是要取代傳統的確定論方法，而是對傳統確定論方法的重要補充和擴展。風險指引技術通過定量的、系統的、更合邏輯的方法來評價風險，根據風險分析結果提供決策支持。具體體現在以下幾個方面：
　　
　　1）在更寬的范圍內直接考慮潛在風險，即考慮可能的始發事件；
　　
　　2）提供了一套根據風險嚴重程度、運行經驗以及工程判斷來排列風險的邏輯化方法；
　　
　　3）便于在更寬的范圍內考慮對付潛在風險的措施；
　　
　　4）定量給出分析結果的不確定性；
　　
　　5）對關鍵參數和假設進行敏感性分析更利于得到優化的決策。
　　
　　（2）不能單獨利用風險指引技術做出決策，使用風險指引技術進行決策還必須滿足以下幾個條件：
　　
　　1）滿足現行法規，當然法規也可利用風險指引技術進行評價和修改，但在正式修改之前必須滿足；
　　
　　2）滿足縱深防御原則，即滿足確定論方法中關于冗余、多樣性、分區、隔離、設備鑒定等要求，當然，這些要求也可利用風險指引技術對其充分性和必要性進行評價和修改；
　　
　　3）保證足夠的安全裕量；
　　
　　4）論證采用風險指引技術使得風險降低、或對風險無影響、或引起風險的增加很小；
　　
　　5）應對后續的性能進行監測。
　　
　　（3）風險分析工具。風險指引技術的核心是利用合理的風險信息為決策提供支持，A并不是必須采用的風險分析工具，采用什么分析工具應根據具體的服務對象而定。例如：放射性廢物處置風險評價，由于涉及的對象比較簡單，通過簡單的分析即可滿足要求，不必采用A方法進行分析。在核電廠的風險分析中，由于核電廠系統復雜，A的事件樹和故障樹方法適于系統分析設備失效、人因等因素，因此，風險指引技術在核電廠的應用中經常使用A作為風險分析工具。
　　
　　（4）A分析的范圍和模型復雜程度。雖然A能夠分析的電廠運行模式和始發事件，但是，在具體的分析模型中沒有必要包括的運行模式和始發事件，A的分析范圍僅限于為滿足特定的分析目的而涉及的范圍即可，這里并沒有一個嚴格的要求，根據需要確定。A模型的復雜程度也沒有明確要求，A模型能夠模擬分析對象所涉及的要素（如：系統、設備、人因、相關規程等等）即可。
　　
　　（5）A的質保問題。由于A的模型復雜程度與應用對象密切相關，其分析結果隨不同的國家、不同的組織和個人而有很大的差別，雖然各國研究機構和核安全當局出版了許多份有關A執行程序和質量要求文件，在A的具體應用中仍然存在很多隨意性，導致A結果具有較大的不確定性，這是導致反對風險指引技術具體應用的主要原因之一。但多年的實踐經驗表明，A的應用確實對提高安全性和經濟性方面做出了巨大貢獻，不能以A結果存在的不確定性而否定A的巨大作用。

34>>

　　在風險指引技術的具體應用中，如何保證A的質量是問題的核心。許多研究機構和團體總結了多年的A研究成果和應用經驗，編制了許多A的執行程序可供我們參考，例如IAEA的1級、2級、3級A執行程序，美國NRC編制的A程序指南（NUREG2300），EPRI編制的A應用指南，ASME編制的A標準，等等。RG1.174也對A的質量保證提出了明確要求，如：
　　
　　使用合格的分析人員；
　　
　　根據程序進行文檔控制，包括獨立的校對和審核；
　　
　　要求獨立的審查以檢查質量；
　　
　　根據程序進行變更。
　　
　　根據各國A應用經驗，只要嚴格按照A的執行程序進行操作，A的結果還是令人信服的。
　　
　　5在風險指引技術框架中我國應開展的工作
　　
　　中國在A方法研究方面起步較早，但是A的研究結果在具體核電廠中的應用卻相對較少，為了推動風險指引技術在中國核電領域內的應用，筆者認為，中國在風險指引技術方面應重點開展以下工作：
　　
　　（1）堅定不移地開展核電廠A模型的研究和開發工作。開發現有電廠的A模型，并通過具體的應用不斷地對A模型進行修改和完善。
　　
　　（2）努力將A技術應用到現有的在運行核電廠的運行維護、在役檢查、定期實驗、工程改造項目中。
　　
　　做好這項工作需要完成：①爭取在運行和維修人員范圍內介紹和普及A的基本概念和方法；②A技術人員應參與到電廠日常的維修、在役檢查和定期試驗之中，以A的分析結果作為制定相應計劃的輔助措施；③A技術人員應參與電廠改造項目的可行性論證，利用A的方法和技術從風險重要性的角度對工程改進項目進行評價，為工程改進項目提供決策支持。
　　
　　（3）積開展風險指引型設計和風險指引型管理規范的研究工作。
　　
　　中國"十五"期間將有4臺新機組上馬，新的安全要求和經濟性指標要求為風險指引型設計和管理規范的介入提供了有利條件，應當不失時機地開展風險指引型設計和管理規范的研究，并在設計中嘗試使用風險指引技術，從風險管理的角度來論證、評價設計方案風險防范能力的充分性和必要性。
　　

34