摘要

1970年代，以美国核管会（NRC）为代表的监管机构，在处理压水堆（PWR）启动阶段的安全问题时，其核心理念经历了从严格的确定性方法向确定性与概率性方法相结合的混合框架的重大转变。作为确定性安全设计基石的“单一故障准则”（Single Failure Criterion, SFC），虽然在法规层面提供了看似坚不可摧的保障，但其内在的局限性，特别是无法有效消除“共因失效”（Common Cause Failure, CCF）风险的缺陷，是如何被逐步认识、评估并最终推动监管范式演进的。

第一章：确定性监管框架下的单一故障准则 (SFC)

1.1 引言：确定性理念的统治时代

在1970年代初期，美国的核电工业正处于蓬勃发展的黄金时代。为了确保这一新兴能源的安全，美国原子能委员会（AEC，NRC的前身）建立了一套以“确定性”（Deterministic）方法为核心的监管体系。这一体系的哲学基础是：通过设定一系列保守的设计基准和工程标准，可以预见并包络所有可信的事故场景，从而确保反应堆在任何预设的故障条件下都能维持安全。其核心思想并非计算事故发生的概率有多低，而是假设事故必然会发生，并要求安全系统必须能够成功应对。

在这一框架下，“纵深防御”（Defense in Depth）是其核心战略思想，而“单一故障准则”（Single Failure Criterion, SFC）则是实现纵深防御战略的最重要的设计原则和监管工具 。SFC的本质是一种工程确定性的承诺：即使在一个安全系统的任何一个能动或非能动部件发生单一、随机故障的同时，伴随着另一独立事件（如设计基准事故）的发生，该系统仍必须能够完成其预定的安全功能 。这个准则构成了1970年代核电厂安全设计与许可的基石，塑造了当时所有压水堆（PWR）安全系统的基本架构。

1.2 单一故障准则 (SFC) 的具体实现方式与法规依据

SFC的实施并非一句空洞的口号，而是通过一系列具体的法规、标准和工程实践来落地。它深刻地影响了PWR安全系统的设计，尤其是在电厂启动这类操作模式频繁、系统状态变化的阶段。

1.2.1 法规与行业标准的核心作用

SFC的权威性首先来源于联邦法规的强制要求。美国《联邦法规》第10篇第50部分附录A（10 CFR 50, Appendix A）中的“通用设计准则”（General Design Criteria, GDC）为SFC提供了最高级别的法律依据。例如，GDC 21（保护系统可靠性和可测试性）、GDC 34（应急堆芯冷却的残余热量去除）、GDC 35（应急堆芯冷却）等条款都直接或间接地要求安全系统满足SFC。

为了将这些高阶法规转化为可执行的工程设计指南，行业标准发挥了至关重要的作用。其中，电气与电子工程师协会（IEEE）制定的标准尤为关键：

•IEEE Std 279-1971, "Criteria for Protection Systems for Nuclear Power Generating Stations" ：这是最早定义反应堆保护系统设计准则的关键标准之一。它明确要求保护系统在设计上应能承受任何单一故障，并首次系统化地提出了实现这一目标的工程方法。

•IEEE Std 379-1972, "Trial-Use Guide for the Application of the Single-Failure Criterion to Nuclear Power Generating Station Protection Systems" ：这是专门针对SFC应用的第一份指导性文件。尽管是“试用版”，但它为业界如何理解和应用SFC提供了清晰的蓝图 。该标准在1977年被修订为正式标准 IEEE Std 379-1977，进一步完善了相关定义和要求，成为1970年代后期SFC应用的主要依据 。

•IEEE Std 384-1974, "Criteria for Separation of Class 1E Equipment and Circuits" ：该标准为解决SFC提出的“独立性”要求提供了具体的物理实现方案。它规定了安全级（Class 1E）设备和电缆之间必须保持物理分离，以防止火灾、水淹等外部事件导致冗余设备同时失效 。

美国核管会（NRC）通过发布监管指南（Regulatory Guides, RG）来认可并阐明其接受的行业标准和实践。其中， RG 1.53, "Application of the Single-Failure Criterion to Nuclear Power Plant Protection Systems" （最初于1973年发布）直接认可了IEEE Std 379，并阐述了NRC在审查SFC符合性时的立场和期望 。这份文件与IEEE标准一起，构成了1970年代实施SFC的“操作手册”。

1.2.2 在PWR启动系统中的具体实现

对于PWR的启动阶段，安全系统必须随时待命，以应对可能发生的各种瞬态事件，如反应性异常插入、冷却剂流量减少等。SFC通过以下几种核心工程设计理念，确保了这些安全系统的可靠性：

1.冗余（Redundancy） ：这是SFC最直接的体现。为了确保单一故障不影响安全功能，所有关键的安全系统都被设计成包含多个独立、相同的“列”（Train）。例如，应急堆芯冷却系统（ECCS）通常至少有两个（甚至更多）独立的列，每个列都拥有一整套从水源、泵、阀门到喷淋管路的完整设备 。在启动过程中，如果其中一列的某个泵因机械故障无法启动，其余的列仍能提供足够的冷却水，从而满足安全要求。冗余等级的划分（例如，两列、三列或四列冗余）是基于对设计基准事故分析的结果，以确保在最坏的单一故障情况下，剩余系统的能力仍然足够。

2.独立性与物理分离（Independence and Physical Separation） ：仅仅有冗余是不够的。如果冗余的设备可以被同一个事件摧毁，那么冗余就失去了意义。这就是SFC要求“独立性”的根源。IEEE Std 384标准为此提供了明确指导 。在设计上，不同的安全列必须在物理上严格隔离。它们的电气电缆会走在不同的电缆桥架和导管中；它们的机械管道和设备会安装在不同的房间或隔间里，这些隔间通常由防火、防水的墙壁隔开。应急柴油发电机（EDG）作为应急电源，也会被分别放置在不同的厂房内，拥有各自独立的燃料供应和冷却系统 。这种设计确保了像火灾这样的局部事件不会同时损坏多个安全列，从而维护了SFC的有效性。

3.多样性（Diversity） ：虽然在1970年代多样性的概念不如今天这样被系统性地强调，但其思想已经萌芽。多样性是指采用不同原理、不同技术或不同制造商的设备来执行相同的安全功能。例如，反应堆停堆系统可能同时包含依靠控制棒下落（机械方式）和注入高浓度硼酸（化学方式）两种不同的停堆手段。这种设计的目标是防范那些可能导致同类型设备集体失效的未知因素，这实际上已经触及了共因失效的范畴。

4.定期试验与维护（Periodic Testing and Maintenance） ：一个设备即使设计得再完美，如果处于失效状态而未被发现，它在需要时也无法工作。因此，SFC的有效性依赖于严格的测试和维护程序。NRC通过技术规范书（Technical Specifications）强制要求核电厂对安全系统的所有能动部件（如泵、阀门）进行定期测试。例如，在电厂启动前或运行期间，操作员需要定期启动应急柴油发电机，测试安全注入泵的性能，验证各个阀门能否在规定时间内开启或关闭。这些测试的频率和内容都经过精心设计，旨在及时发现潜在的“潜伏性故障”（Latent Failures），确保每个冗余列都处于可用状态。NRC的 RG 1.79 (1974年) 对PWR的ECCS预运行测试提出了详细要求，包括对组件和系统响应的全面验证 。

1.3 SFC的验证：一个确定性的审查过程

在1970年代，NRC对SFC符合性的验证过程完全是确定性的。它不涉及概率计算，而是通过一种逻辑严谨的工程审查方法，即“单一故障分析”（Single Failure Analysis, SFA）。

审查过程通常如下：

1.定义系统边界和安全功能：首先，设计者和监管者需要明确界定一个安全系统的物理边界以及它需要完成的安全功能。例如，对于安全注入系统，其功能是在发生失水事故（LOCA）时向反应堆压力容器内注入含硼冷却水。

2.识别所有组件：分析人员会列出该系统边界内的所有组件，包括能动组件（如泵、电机驱动阀门）和非能动组件（如管道、手动阀门、电缆）。

3.假设设计基准事故（DBA） ：分析的核心是假设一个设计基准事故正在发生，例如大破口失水事故。

4.逐一引入单一故障：在DBA发生的同时，分析人员会系统性地、逐一地假设系统中的每一个组件发生其所有可信的故障模式。例如，一个泵可能“未能启动”、“未能持续运行”；一个阀门可能“未能开启”、“未能关闭”或“卡在中间位置”。

5.评估系统响应：对于每一个“DBA + 单一故障”的组合场景，分析人员会通过工程计算和模拟来评估，剩余的、未发生故障的系统部分是否仍能成功执行其预定的安全功能。例如，即使一台高压安注泵未能启动，其余的高压和低压安注系统是否仍能在规定时间内注入足够的水，以保证堆芯不裸露、温度不超过限值。

6.判定符合性：如果对于所有可信的单一故障，系统都能满足其安全功能要求，那么该设计就被认为符合SFC 。如果不符合，设计就必须修改，例如增加冗余度、改进隔离措施或使用更可靠的组件。

这个过程非常耗时，涉及到大量的图纸审查和工程分析，但其逻辑是清晰且保守的。它迫使设计师从“防御者”的视角思考，预先设想所有可能的“背叛”，并确保防线足够坚固。

1.4 SFC的内在局限性：共因失效的幽灵

尽管SFC的确定性框架在理论上看似无懈可击，但其有效性建立在一个关键的、然而却非常脆弱的假设之上：故障是随机且独立的 。SFC善于处理一个泵的随机机械磨损，或一个继电器的偶然失灵。但是，它对于那些能够同时、系统性地摧毁多个“独立”冗余列的因素，则显得力不从心。这些因素导致的失效，被称为“共因失效”（Common Cause Failure, CCF）。

早在1970年代，一些有远见的工程师和分析师已经开始意识到SFC在应对CCF方面的局限性。共因失效的根源多种多样，它们像幽灵一样潜伏在看似完美的设计之中：

•设计缺陷：如果所有冗余列都使用了同一型号的、存在未知设计缺陷的组件（例如，某个型号的继电器在特定温度下会集体失灵），那么SFC所依赖的冗余将瞬间瓦解。

•制造错误：同一批次的材料或组件可能存在相同的制造瑕疵。

•维护或测试错误：一个错误的维护程序或校准规程可能被错误地应用于所有冗余列。例如，一名技术人员可能系统性地将所有冗余通道的压力开关设定在错误的阈值，导致它们在需要时无法正确触发。

•环境因素：超出设计基准的外部事件，如未预料到的地震烈度、洪水高度，或是设计时未充分考虑的内部环境因素，如湿度、振动、电磁干扰，都可能同时影响所有冗余设备。1975年布朗斯费里（Browns Ferry）核电厂的火灾就是一个惨痛的教训，一场由蜡烛引发的小火灾，由于电缆布置不当，导致多个核心安全系统的控制电缆被同时烧毁，严重削弱了反应堆的安全能力。

•跨系统联动风险：安全系统并非孤立存在，它们依赖于共享的支持系统，如仪表与控制（I&C）系统、应急电源系统（如EDG）、冷却水系统等。如果支持系统发生共因失效，那么它所支持的所有前端安全系统都会同时瘫痪。例如，如果所有应急柴油发电机的燃料质量都不合格，那么在全厂断电（SBO）时，所有依赖应急电源的安全系统都将无法工作。

SFC的确定性分析方法在很大程度上“假设”这些CCF风险已经被通过良好的工程实践（如质量保证、多样性设计、物理分离）所“排除” 。它无法，也没有工具去量化这些残余的CCF风险到底有多大。SFC可以告诉你，在损失一个安全列后，系统是否“能”工作；但它无法告诉你，所有安全列因为一个共同原因而同时失效的可能性是多少。

正是这个根本性的缺陷，为概率风险评估（PRA）方法的登场埋下了伏笔。当监管者和行业开始追问“我们的电厂到底有多安全？”这个终极问题时，他们发现，仅仅回答“我们的设计满足S1C”是远远不够的。他们需要一种新的语言、新的工具来描述和衡量那些潜藏在确定性壁垒之外的、由共因失效等复杂因素构成的风险。1970年代中后期，一场围绕SFC局限性的深刻反思，以及向概率性思维的艰难转型，即将拉开序幕。

第二章：WASH-1400报告与共因失效（CCF）的初步量化

1970年代中期，美国核安全监管领域发生了一件具有划时代意义的事件：由美国原子能委员会（AEC）委托、诺曼·拉斯姆森（Norman Rasmussen）教授领导的《反应堆安全研究》（Reactor Safety Study），即广为人知的WASH-1400报告，于1975年发布 。这份报告并非旨在推翻现有的确定性监管框架，但它开创性地使用了概率风险评估（Probabilistic Risk Assessment, PRA）的方法，试图从一个全新的维度——概率——来回答“核电厂发生严重事故的可能性有多大？”这一根本问题。

2.1 WASH-1400的革命性方法论：事件树与故障树分析

WASH-1400的革命性在于它引入了一套系统性的逻辑分析工具，用以构建从一个初始事件（Initiating Event）演变为严重堆芯损坏的完整事故序列。

•事件树分析（Event Tree Analysis, ETA） ：事件树从一个特定的初始事件开始，如“大破口失水事故”或“全厂断电”。然后，它按照时间顺序，依次询问一系列关键安全系统（如应急堆芯冷却、应急电源、安全壳喷淋等）是否成功响应。每一个询问点都是一个分支，代表“成功”或“失败”。通过这种方式，事件树可以描绘出从一个初始事件出发，可能导致的所有最终状态，包括“安全停堆”、“轻微损坏”以及“堆芯熔化”等严重后果 。

•故障树分析（Fault Tree Analysis, FTA） ：事件树中的每一个分支点（即某个安全系统的“失败”）都需要一个概率值。这个概率值正是通过故障树分析得到的。故障树是一种演绎逻辑图，它从一个顶事件（Top Event），例如“高压安注系统失效”，开始，逐层向下分解，寻找导致该顶事件发生的所有可能的底层原因组合。这些底层原因最终会分解到最基本的事件，如单个泵的机械故障、阀门的电气故障、操作员的失误，或是多个组件的共因失效。通过为每个基本事件分配一个失效率（通常来源于历史数据或专家判断），就可以通过布尔代数逻辑计算出顶事件发生的总概率。

通过将事件树和故障树相结合，WASH-1400构建了一个完整的、量化的核电厂风险模型。这套方法论的精妙之处在于，它不仅考虑了SFC所关注的单个组件随机故障，更重要的是，它提供了一个框架，能够将共因失效和人为失误作为基本事件，整合到整个风险模型中，并量化它们对系统失效概率和堆芯损坏频率（Core Damage Frequency, CDF）的贡献。

2.2 共因失效（CCF）的首次系统性评估

WASH-1400是首个在核安全评估中系统性处理CCF问题的里程碑式研究。报告的作者们清醒地认识到，如果不考虑CCF，对冗余系统可靠性的评估将产生“极端不切实际的乐观”结果 。他们承认，由于数据的稀缺和机理的复杂，CCF的量化是PRA中最具挑战性和不确定性的部分之一。

2.2.1 1970年代CCF建模的探索与挑战

在1970年代，CCF的建模和数据积累尚处于非常初级的阶段。WASH-1400的研究团队面临着巨大的挑战：几乎没有一个现成的、广泛接受的CCF模型或数据库可供使用。因此，他们采取了一种探索性的、多模型结合的方法来处理CCF。

1.数据的缺乏与来源：当时，关于CCF的直接统计数据非常有限 。核电厂的运行历史相对较短，发生的CCF事件本身就是小概率事件，难以形成有效的统计样本。因此，研究人员不得不依赖多种信息来源：

￮有限的核电厂运行经验数据，主要来源于故障报告和事件记录。

￮来自其他工业领域（如航空、化工）的类似系统的故障数据。

￮专家判断（Expert Judgment）：在数据完全缺失的情况下，邀请经验丰富的工程师和操作员对某些CCF事件的可能性进行主观评估。

2.早期CCF模型的应用：WASH-1400并没有统一采用某一种CCF模型，而是根据具体情况和数据的可用性，灵活运用了多种方法，其中一些模型的思想雏形对后世产生了深远影响。

￮β因子模型（Beta-Factor Model） ：这是WASH-1400中应用最广泛、也最具影响力的简化CCF模型。β因子模型的思想最早可以追溯到1974年 。其核心假设非常简洁：一个组件的故障可以分为两类——独立的随机故障和由共因事件引起的故障。β因子被定义为“共因故障在所有故障中所占的比例”。

数学上，如果一个组件的总故障率为λ, 那么：

•独立故障率λ_I = (1-β)λ

•共因故障率λ_C = βλ

对于一个由n个相同组件构成的冗余系统，该模型假设，一旦发生共因事件，所有n个组件都会同时失效 。这种“全军覆没”的假设虽然非常保守，但在数据匮乏的年代，它提供了一种简单而有效的方法来估算CCF的上限影响。在WASH-1400中，β因子的取值主要基于有限的数据和大量的工程判断，通常在0.01到0.1之间，具体取决于组件类型、冗余度和物理隔离程度。

二项式失效率模型（Binomial Failure Rate, BFR）：该模型将CCF视为一个“致命冲击”（Lethal Shock）过程，当冲击发生时，系统中的每个组件都有一定的概率p发生故障。这种模型比β因子模型更灵活，可以处理并非所有组件都同时失效的部分CCF场景。

平方根边界法（Square Root Bounding Method）：这是一种在数据极度缺乏时使用的极端保守估算方法。它假设两个冗余组件的共因失效概率是它们各自独立失效概率的几何平均值。这种方法虽然缺乏物理依据，但为CCF概率提供了一个不至于过低的“下限”，防止分析人员因数据缺失而完全忽略CCF。

显式建模（Explicit Modeling）：对于一些已知的、明确的共因机制，WASH-1400尝试直接在故障树中进行显式建模。例如，如果两个冗余的泵都依赖于同一个冷却水系统，那么就在故障树中明确画出“冷却水系统失效”这个事件，并将其作为两个泵失效的共同原因。这种方法最为精确，但前提是必须能够预先识别出具体的共因机制 。

2.2.2 WASH-1400对PWR启动事故序列的初步量化

WASH-1400分析了位于Surry电厂（一个PWR）和Peach Bottom电厂（一个BWR）的风险。报告并没有专门针对“启动事故”进行单独和集中的分析，而是将启动、停堆等低功率运行状态下的风险，作为对整个电厂运行周期风险评估的一部分。报告的分析表明，某些事故序列的风险在低功率和停堆状态下可能更高，因为此时某些安全系统可能处于检修状态，或者操作员的活动更为频繁。

在WASH-1400的定量结果中，虽然没有给出今天PRA报告中那样精细的、针对特定“PWR启动事故”的堆芯损坏概率（CDF）数值，但它给出了对整个PWR电厂风险的宏观估计：

•总体堆芯熔化频率（Core Melt Frequency） ：WASH-1400估算的PWR堆芯熔化频率的中值约为5 x 10^-5 /堆年 (数据来源于对WASH-1400的后续分析和引用，如，即平均每两万个反应堆年可能发生一次堆芯熔化事故。这个数字在当时引起了巨大震动，因为它比公众和许多专家想象的要高得多。

•CCF的贡献：WASH-1400的分析发现，CCF是导致安全系统失效，并最终对堆芯熔化频率产生显著贡献的关键因素之一。例如，在分析应急电源系统时，报告发现应急柴油发电机（EDG）的共因失效（如多台EDG同时无法启动）是导致全厂断电（SBO）事故序列风险的主要贡献者。尽管报告强调，由于数据和模型的不确定性，具体的CCF贡献值有很大的误差范围，但其定性结论是明确的：忽略CCF将严重低估真实风险 。

一个有趣的发现是，在某些特定的事故序列中，WASH-1400的分析结果显示CCF的影响似乎不大 。这通常发生在那些由极端罕见的初始事件引发，或者依赖于多个不同类型安全系统（即具有高度多样性）的事故序列中。然而，这并不能否定CCF在整个风险图谱中的重要地位。

2.3 对单一故障准则（SFC）局限性的明确揭示

WASH-1400最重要的贡献之一，就是从概率的角度，雄辩地揭示了SFC的内在局限性。

1.SFC无法保证足够的可靠性：WASH-1400指出，仅仅满足SFC，并不能保证一个安全系统具有足够高的可靠性。一个满足SFC的双冗余系统，如果其CCF概率很高，其整体失效概率可能比一个不满足SFC但CCF风险极低的非冗余系统还要高。报告建议，应当对SFC进行补充，引入定量的可靠性目标作为衡量标准 。

2.SFC忽视了多重故障：SFC的核心是“单一”故障。它无法处理两个或多个独立的、随机的故障同时发生的情况，也无法处理由一个共同原因导致的多个组件同时失效的CCF情景。而WASH-1400的事件树/故障树方法，天然地就可以分析任意复杂的故障组合，并计算其发生的概率。

3.SFC导致资源分配不当：SFC对所有安全系统一视同仁，要求它们都满足相同的确定性准则。然而，PRA分析表明，不同系统对总体风险的贡献是截然不同的。某些系统可能是风险的主要贡献者，而另一些系统即使失效，对风险的影响也微乎其微。SFC的“一刀切”方法可能导致资源浪费，即在风险贡献小的系统上投入了过多的工程和维护资源，而在真正关键的风险点上投入不足。

2.4 三里岛事故：对WASH-1400预测的残酷验证

1979年，就在WASH-1400发布四年后，美国宾夕法尼亚州的三里岛（Three Mile Island, TMI）核电厂发生了美国历史上最严重的核事故。这场事故戏剧性地验证了WASH-1400的许多核心洞见。

TMI事故的起因是一个相对常见的设备故障（给水泵跳闸），叠加了一个卡在开启位置的卸压阀（小破口失水事故），以及一系列严重的人为操作失误 。这正是一种典型的、涉及多重故障和人机交互失败的复杂事故序列，而这恰恰是SFC的确定性分析框架所无法预见的。

•小破口LOCA的重要性：WASH-1400曾预测，小破口失水事故（Small-Break LOCA）对PWR风险的贡献可能比设计基准事故（大破口LOCA）还要大，因为其过程更缓慢、现象更不明显，更容易导致操作员误判。TMI事故证实了这一预测 。

•人为失误的关键作用：TMI事故中，操作员错误地关闭了应急堆芯冷却系统，加剧了事故后果。WASH-1400首次将人为失误作为PRA模型中的一个关键变量进行量化，并指出其对风险的巨大影响。

•SFC的失效：TMI事故中，没有任何一个安全系统违反SFC。每个系统在被要求动作时，都按照设计（在没有被操作员错误干预的情况下）响应了。然而，事故还是发生了。这无情地宣告了“只要满足SFC就绝对安全”这一神话的破产。事故调查报告（凯梅尼委员会报告）尖锐地指出，监管机构和工业界过于迷信SFC，而忽视了对系统之间复杂交互、小概率事件组合以及人因因素的深入分析 。

三里岛事故成为了推动PRA方法进入主流监管视野的决定性催化剂。它让NRC和整个核工业界认识到，WASH-1400所代表的概率性思维，不仅是一种学术探索，更是理解和预防严重事故所必需的、不可或缺的工具。1970年代末，在WASH-1400的理论铺垫和TMI事故的现实冲击下，美国核安全监管的范式转型已是大势所趋。

第三章：人为失误评估的萌芽与实践

在1970年代核安全评估的变革中，除了对硬件共因失效的关注，另一个同等重要的领域也开始进入研究者的视野——人为因素（Human Factors）。三里岛事故的惨痛教训让整个行业认识到，操作员的行为——无论是正确的响应还是错误的判断——都可能成为决定事故走向的关键变量。在WASH-1400报告的推动下，对人为失误进行建模和量化，即“人因可靠性分析”（Human Reliability Analysis, HRA），在1970年代经历了从无到有的开创性阶段。

3.1 人为失误：确定性框架下的“隐形”风险

在传统的、基于SFC的确定性框架下，人的角色在很大程度上被理想化或简化了。安全分析通常假设：

•操作员会严格遵守操作规程。

•操作员能够迅速、准确地诊断出事故状态。

•操作员在执行关键安全操作时不会犯错。

这种“完美操作员”假设，使得人为失误在很大程度上成为了安全分析中的一个盲点。虽然有操作规程和人员培训，但这些措施的效果如何，以及人在高压、复杂、信息不明确的事故环境下的真实表现，缺乏系统的、量化的评估方法。确定性分析可以验证“如果按下按钮，泵是否会启动”，但它无法回答“操作员有多大可能性会忘记按、按错或在错误的时间按下按钮”。

3.2 HRA的诞生与早期模型：以THERP为代表的探索

WASH-1400报告在PRA中系统性地引入了HRA，这是其另一项重大创新。为了量化人为失误对事故序列概率的贡献，研究团队借鉴并发展了当时尚处于萌芽阶段的HRA方法学。其中，最具代表性和影响力的就是 THERP（Technique for Human Error Rate Prediction，人为失误率预测技术） 。

THERP方法由艾伦·斯温（Alan Swain）在桑迪亚国家实验室（Sandia National Laboratories）于1960年代末至1970年代初开发，并在WASH-1400中得到了首次大规模应用 。其核心思想是将人类的复杂任务分解为一系列基本的、可观察的“行为单元”，然后利用类似硬件可靠性分析的方法，为这些行为单元分配失误概率。

3.2.1 THERP方法的核心步骤

1.任务分解（Task Analysis） ：首先，分析人员需要详细分解操作员在特定场景下（例如，响应一个失水事故报警）需要执行的完整任务流程。这通常会以流程图的形式表示，包括感知（看到报警）、诊断（理解问题）、决策（选择对策）和行动（执行操作）等步骤。

2.人因事件树（Human Reliability Event Tree） ：THERP使用一种类似事件树的图形工具来表示任务的每一步。每个节点代表一个行为单元，分支则代表“成功”或“失误”。例如，一个任务可能是“关闭A阀门”，其行为单元可能包括“正确识别A阀门”、“伸手去操作A阀门”、“向正确方向转动手轮”等。

3.分配基本人为失误概率（HEP） ：这是THERP的核心和最具挑战性的一步。分析人员需要为每个基本的行为单元分配一个“基本人为失误概率”（Human Error Probability, HEP）。在1970年代，由于缺乏直接的、针对核电操作员的统计数据，HEP的来源主要是：

￮专家判断：邀请经验丰富的操作员、培训师和人因专家，根据任务的复杂性、时间压力等因素，对失误的可能性进行主观评估。

￮模拟器数据：通过观察操作员在全尺寸模拟器上进行演练，记录其失误的类型和频率。

￮相关工业数据：借鉴军事、航空等领域积累的人因数据。

￮Swain的数据表：WASH-1400和后续的THERP手册（如NUREG/CR-1278）提供了一系列表格，其中包含了针对各种通用行为（如读仪表、按按钮、用扳手）的“名义HEP值” 。这些值是基于有限数据和专家共识的产物。

4.考虑绩效影响因子（PSF） ：THERP认识到，人的表现受到环境和心理因素的显著影响。这些因素被称为“绩效影响因子”（Performance Shaping Factors, PSF）。PSF包括：

￮外部PSF：如控制室的设计（人机界面）、报警系统的清晰度、操作规程的质量、环境条件（噪音、照明）等。

￮内部PSF：如操作员的技能水平、培训程度、经验、压力水平、疲劳程度等。

￮THERP提供了一套修正因子，用于根据PSF的好坏来调整名义HEP值。例如，在一个设计混乱、报警泛滥的控制室里，操作员的诊断失误概率会显著提高。

5.评估依赖性（Dependency Analysis） ：THERP特别强调了不同人为失误之间的依赖关系。如果一个操作员犯了第一个错误，他犯第二个相关错误的概率通常会增加。THERP定义了从“零依赖”到“完全依赖”的五个依赖等级，并提供了量化模型来计算后续失误的条件概率 。这是HRA中非常复杂但至关重要的一环。

6.计算总失误概率：最后，通过人因事件树的逻辑关系，将所有调整后的HEP值组合起来，计算出完成整个任务的总体失误概率。

3.2.2 1970年代HRA实践的局限性

尽管THERP方法在理论上非常系统和全面，但在1970年代的实践中，它面临着巨大的困难和不确定性：

•数据极度匮乏：这是最根本的制约因素。许多HEP值严重依赖主观的专家判断，导致结果的可重复性和客观性受到质疑 。

•PSF量化困难：如何精确地量化“压力大”或“规程写得不好”对HEP的影响，在当时缺乏科学依据，很大程度上仍是艺术而非科学。

•认知行为建模不足：THERP更擅长分析程序化的、基于技能的行动（skill-based actions），而对于复杂的诊断和决策等认知行为（knowledge-based actions）的建模能力较弱。而后者恰恰在应对未知或复杂事故时最为关键。

•方法复杂耗时：一次完整的THERP分析需要大量的人因专家投入和时间，这限制了其在PRA中的广泛应用 。

3.3 人为失误在PWR启动事故评估中的量化贡献

在WASH-1400对PWR的风险评估中，尽管没有单独发布针对“启动阶段”的详细HRA报告，但人为失误被确定为多个重要事故序列的关键贡献者。

•测试和维护中的失误：在电厂启动前或低功率运行时，大量的测试和维护工作在进行。WASH-1400的故障树分析显示，技术人员在测试或维护后，未能将阀门或开关恢复到正常工作位置，是导致安全系统在需要时不可用的一个重要原因。例如，一个安全注入系统的出口阀门在测试后被错误地保持关闭状态，这个潜伏的人为失误，使得整个安全列在事故发生时完全失效。

•事故后操作失误：分析表明，在事故发生后的关键时间窗口内，操作员的诊断和干预至关重要。WASH-1400评估了操作员在事故后手动启动某些系统（如未能自动启动的后备系统）或执行关键冷却操作的失误概率。这些评估结果，尽管不确定性很大，但首次将操作员的事故响应能力量化地纳入了风险考量。

•量化结果的发布：WASH-1400报告本身就公布了其PRA模型中使用的关键人为失误概率（HEP）值和它们对主要事故序列风险贡献的分析 。例如，报告中包含了对操作员未能正确响应小破口LOCA信号、未能正确进行“补水和排气”（feed-and-bleed）操作等场景的HEP估算。虽然这些具体的数值在今天看来可能已经过时，但在当时，它们是开天辟地的第一次尝试，向世人展示了人为失误在量级上完全可以与硬件故障相提并论，甚至超过后者。

3.4 从WASH-1400到三里岛：HRA的早期警示

WASH-1400关于人为失误的分析，在当时并未引起足够的重视。许多人认为其对人为失误概率的估计过于悲观。然而，1979年的三里岛事故，以最残酷的方式证实了HRA的先见之明。事故调查发现，操作员在长达数小时的时间里，对反应堆的真实状态产生了根本性的误判，并采取了一系列与安全要求背道而驰的操作（如过早关闭应急堆芯冷却系统）。

TMI事故后，NRC和整个核工业界被迫正视“人因”问题。NRC成立了专门的人因工程部门，启动了大量的研究项目，旨在改进控制室设计、优化操作规程、加强操作员培训，并发展更先进的HRA方法 。

虽然1970年代的HRA实践还很粗糙，充满了不确定性，但它成功地将“人”这个最不确定、最复杂的因素，从安全分析的背景中拉到了聚光灯下。它迫使工程师和监管者思考：我们设计的系统是否“人性化”？我们的规程是否在压力下依然清晰可用？我们的培训是否能应对真实世界的复杂性？这场始于1970年代的人因革命，与对CCF的探索并行，共同推动了核安全理念从简单的硬件冗余，向更全面、更深刻的系统性风险管理演进。

第四章：各方立场与监管框架的演变

1970年代，从确定性SFC向混合概率性框架的转变，并非一帆风顺的技术迭代，而是一场充满了争议、博弈和妥协的深刻变革。WASH-1400报告及其所代表的PRA方法，在挑战了传统监管范式的同时，也引发了来自监管机构、工业界、学术界乃至公众的激烈辩论。各方的立场、利益和担忧交织在一起，共同塑造了1970年代末期及之后核安全监管的演进路径。

4.1 美国核管会（NRC）：从怀疑到谨慎接纳的内部博弈

作为监管的制定者和执行者，NRC内部对PRA的态度在1970年代经历了复杂的变化。

•初期的推动与发布：WASH-1400本身就是由NRC的前身AEC发起的研究项目，旨在回应公众对核电安全性的日益增长的担忧。发布这份报告的初衷，在某种程度上是为了向外界“证明”核电的风险是可接受的，其结论——“发生严重事故的概率极低”——在发布之初被广泛宣传 。

•接踵而至的批评与审查：然而，报告发布后，科学界对其方法论和结论提出了尖锐批评。著名的“刘易斯委员会”（Lewis Committee）在1978年发布的审查报告（NUREG/CR-0400）中，虽然肯定了PRA方法的巨大潜力，但严厉批评了WASH-1400在不确定性分析、CCF和人为失误数据处理上的缺陷，并认为其摘要部分对风险的低估和确定性的表述具有误导性。这使得NRC一度撤回了对WASH-1400摘要部分的官方认可，PRA的公信力受到重创。

•三里岛事故后的“被迫”接纳：正当PRA方法陷入低谷时，1979年的三里岛事故成为了一个决定性的转折点。TMI事故的发生过程——小破口LOCA、人为失误、多重故障——几乎完美地复刻了WASH-1400中预测的高风险事故序列类型。这使得NRC内部的改革派获得了强有力的论据：传统的确定性方法，特别是对SFC的盲目迷信，已经不足以应对真实的、复杂的风险 。事故后的调查和反思，迫使NRC不得不重新审视并最终接纳PRA作为一种重要的补充性安全分析工具。例如，NRC在1980年代开始要求所有核电厂进行“个别电厂审查”（Individual Plant Examination, IPE），使用PRA方法来识别各自电厂特有的严重事故风险点。

•确定性与概率性的内部张力：即便在TMI之后，NRC内部关于如何使用PRA的争论也从未停止。一部分坚持传统确定性方法的监管者认为，PRA充满了不确定性，其结果不应用作直接的监管决策依据。他们担心，用概率取代明确的工程准则，会“稀释”安全要求。另一部分支持PRA的专家则认为，它可以提供宝贵的风险洞察，帮助监管资源更有效地分配 。这种内部的张力导致了一种“混合”框架的形成：确定性的法规（如10 CFR 50）仍然是许可的法律基础，但PRA被越来越多地用作“风险知情”（Risk-Informed）决策的辅助工具，用于评估法规变更、豁免申请和指导检查工作。

4.2 核电工业界：从抵触到工具性利用的立场转变

对于被监管的核电工业界（包括电力公司和设备供应商），PRA的出现同样引发了复杂的情绪。

•初期的抵触与担忧：起初，工业界对WASH-1400和PRA方法普遍持怀疑甚至抵触态度。他们担心：

￮暴露新的弱点：PRA可能会揭示出一些现有设计中未被发现的、难以修复的风险点，从而导致NRC提出新的、昂贵的改造要求。

￮增加许可负担：进行一次完整的PRA分析需要巨大的资金和人力投入，这无疑会增加电厂建设和运营的成本。

￮法律与公关风险：公布一个具体的、非零的堆芯熔化概率，即使这个概率很小，也可能在法律诉讼和公众舆论中被放大和利用，造成负面影响。

•作为辩护工具的初步尝试：在某些情况下，工业界也尝试利用PRA来为自己辩护。例如，在面对NRC提出的某些过于保守的监管要求时，他们可以利用PRA分析来证明，该要求对于降低总体风险的贡献微乎其微，不具备成本效益。

•TMI事故后的务实转向：三里岛事故后，工业界意识到，PRA不仅是监管机构的“武器”，也可以成为提升自身安全管理水平的有力工具。通过PRA，电厂可以：

￮识别真正的风险短板：发现那些对本厂CDF贡献最大的系统、组件和操作行为，从而有针对性地进行改进。

￮优化测试和维护策略：根据组件对风险的贡献度（即“风险重要性”），来决定测试和维护的频率和优先级，将资源用在刀刃上。

￮改善应急规程和操作员培训：基于PRA识别出的关键事故序列，开发更具针对性的应急操作规程（EOP），并对操作员进行专项培训。

因此，在1980年代，工业界成立了核电运营研究所（INPO）和电力科学研究院（EPRI）等机构，大力推动PRA方法在行业内的应用和标准化，并开发了相关的软件和数据库 。PRA逐渐从一个令人畏惧的“监管审查工具”，转变为一个被广泛接受的“内部风险管理工具”。

4.3 学术界与公众：批判性的审视者

•学术界的角色：学术界在这一变革中扮演了关键的“批判性审视者”角色。正是像刘易斯委员会这样的独立学术审查，指出了WASH-1400的科学缺陷，保证了PRA方法在发展初期没有偏离科学的轨道。大学和国家实验室的研究人员在发展新的CCF模型、HRA方法以及处理不确定性等方面做出了重要贡献，不断推动着PRA技术的成熟。

•公众与反核团体：对于公众和反核团体而言，WASH-1400的发布及其引发的争议，进一步加深了他们对核电安全性的不信任。他们倾向于关注PRA结果中的不确定性和“最坏情况”，并将其作为反对核电发展的论据。三里岛事故的发生，更是印证了他们“核电不安全”的观点。这种强大的外部压力，也迫使NRC和工业界必须以更透明、更严谨的方式来对待风险评估和安全沟通问题。

4.4 监管框架的演变：迈向“风险知情”

1970年代的这场大辩论，最终的结果不是PRA取代了SFC，而是一种新的、更复杂的监管哲学的诞生。到1980年代及以后，美国核安全监管框架逐渐呈现出以下演变趋势：

1.确定性基石的保留：以SFC为代表的确定性设计准则，作为核电厂设计和许可的“最低纲领”，被继续保留。它提供了一个坚实的、不依赖于复杂概率计算的工程底线。

2.PRA作为补充和洞察工具：PRA被广泛用于识别超越设计基准的事故风险（即所谓的“残余风险”），评估现有法规的有效性，并为新的安全改进提供决策支持。

3.“风险知情”（Risk-Informed）理念的萌芽：1990年代，NRC正式提出了“风险知情”的监管理念。其核心思想是，在制定和执行监管要求时，应系统性地、综合地考虑PRA提供的风险洞察和传统的确定性工程分析（如纵深防御、安全裕度）。这意味着监管决策不再是“非黑即白”的符合/不符合，而是可以根据某项变更对总体风险的影响（增加或减少）来进行更灵活、更合理的判断。

这场始于1970年代的争议与博弈，最终没有产生一个简单的赢家。相反，它促成了一次深刻的综合与升华。确定性方法提供了基础的稳健性，而概率性方法提供了对复杂性和不确定性的深刻洞察。两者的结合，共同构成了现代核安全监管框架的DNA，其影响一直延续至今。

第五章. 国际视角：欧洲与亚洲的应对策略

5.1 欧洲核电国家的共因失效处理方法

欧洲核电国家在处理共因失效问题上形成了与美国不同的技术路径和监管理念，这些差异反映了不同的工业基础、安全文化和监管体制。

法国的系统性方法：法国在核电发展中形成了独特的标准化和集中化模式。法国电力公司（EDF）负责核电站的运营，欧安诺集团（Orano）负责核燃料循环的全产业链服务，法国原子能与替代能源委员会（CEA）负责技术研发，全国尽量使用同一种堆型，使工程师经验可以通用。这种模式为处理共因失效提供了独特优势。

在技术层面，法国强调多样化设计以防止共模失效。从 1968 年到 1989 年，法国核电技术发展的一个重要特征就是系统和设备的多样化。例如，在应急冷却系统中，法国核电站通常配备多种不同类型的泵，包括电动泵、汽动泵和液压泵，以降低共因失效的风险。

法国在概率安全评估方面起步较晚但发展迅速。1975 年拉斯穆森报告发布后，法国开始重视 PSA 技术。在开展了对丧失电源、丧失热阱等事故的研究，并编制了 H1 至 H3 的事故规程之后，法国于 1990 年完成了首次全面的 PSA，其中法国核安全与辐射防护研究院（IRSN）对 900 兆瓦级机组进行了研究，而法国电力集团（EDF）则对 1300 兆瓦级机组进行了研究。研究结果表明应对停堆工况、复杂事故序列（也有可能是类似三里岛核电站发生的简单事故序列）、共因故障、支持系统故障和人因失误等风险进行关注。

德国的纵深防御理念：德国核电安全理念的核心是纵深防御（Defense in Depth），这一理念在处理共因失效方面发挥了重要作用。德国强调通过多重独立的安全屏障来防止事故的发生和发展，即使某一屏障因共因事件失效，其他屏障仍能发挥作用。

在具体实施中，德国核电站采用了严格的独立性要求。根据国际原子能机构的安全指南，德国要求应急电源系统的设计必须满足单一故障准则，同时特别强调多样性和独立性原则（物理分隔和功能隔离），以防止来自安全系统本身设备内部或人为因素（如运行和维护）引起的可信共因失效。

德国在 1979 年独立开展了针对 Biblis B 核电站（130 万千瓦压水堆）的德国风险研究（German Risk Study），得出的主要结论与 WASH-1400 相同，再次表明小破口和瞬态事故是应该考虑的主要事故。这一研究为德国的核安全政策提供了重要的技术支撑。

英国的风险知情监管：英国在核电安全监管中较早引入了风险知情的理念。英国健康与安全执行局（HSE）下属的核设施 inspectorate 在制定监管要求时，不仅考虑确定性的安全准则，也重视概率风险评估的结果。

英国在处理共因失效方面特别关注人的因素。英国认为，许多共因失效与人的行为有关，包括设计错误、操作失误、维护不当等。因此，英国的核安全监管特别强调质量管理体系和人为因素工程。

欧洲压水堆（EPR）的创新设计：欧洲压水堆（EPR）代表了欧洲核电技术的最新发展，在设计中充分考虑了共因失效的防范。EPR 采用了 "2×2" 的冗余配置，即每个安全功能由两个独立的系列组成，每个系列又包含两个冗余的通道。这种设计大大提高了系统的可靠性。

在数字化仪控系统方面，EPR 采用了多样化的设计策略。安全系统分为两个独立的系列，每个系列采用不同的数字化平台，由不同的制造商提供，以降低软件共因失效的风险。

5.2 亚洲核电国家的技术路径

亚洲核电国家在发展核电的过程中，既借鉴了美国和欧洲的经验，又根据自身的国情形成了独特的技术路径。

日本的技术引进与创新：日本核电发展始于 1960 年代，采用了技术引进与自主创新相结合的发展模式。在 1970 年代，日本核电企业与法国和英国签订了后处理合同，并在 1980 年代开始将乏燃料运往这两个国家进行后处理。

日本在共因失效处理方面形成了自己的特色。日本原子能规制委员会（NRA）强调通过质量管理和预防性维护来降低共因失效的风险。日本核电站普遍建立了完善的设备状态监测系统，通过振动分析、热成像、超声波检测等技术手段，及时发现设备的潜在问题，防止故障的发生。

日本在概率安全评估方面也取得了重要进展。根据 WASH-1400 报告的数据，日本压水堆的主要初因事件对堆芯损坏频率的贡献为：场外断电 4%，ATWS 1%，蒸汽管破裂 5%，LOCA（壳内）82%，过渡工况 7%。这些数据表明，日本压水堆的风险特征与美国和欧洲有所不同，主要风险来自壳内 LOCA。

韩国的自主发展道路：韩国核电发展虽然起步较晚，但通过技术引进和自主研发相结合，已经成为世界主要核电技术出口国之一。韩国在 1970 年代曾试图发展核燃料后处理技术，但由于国际压力和技术困难，最终放弃了这一努力。韩国在 1972-1976 年间寻求核燃料后处理技术的努力失败，成为其 1976 年决定暂停核武器计划的重要因素。

韩国在处理共因失效方面特别重视标准化和模块化。韩国开发的标准核电站如 OPR1000 和 APR1400 都采用了高度标准化的设计，通过批量生产降低成本和提高可靠性。在设计中，韩国核电站采用了多重冗余和多样化的策略，特别是在安全系统中采用了不同类型的设备和不同的技术路线。

韩国还积极参与国际合作，特别是在共因失效数据交换方面。韩国是国际共因失效数据交换（ICDE）项目的积极参与者，通过与其他国家共享失效数据，不断完善本国的概率安全评估方法。

中国的跨越式发展：中国核电发展起步于 1980 年代，但发展迅速，目前已经成为世界第三大核电国家。中国在核电技术路线上采取了 "引进、消化、吸收、再创新" 的策略，在处理共因失效方面形成了自己的特色。

中国自主研发的 "华龙一号" 核电技术采用了全数字化控制系统，这种系统不仅增强了操作的可靠性，还通过实时数据分析优化了运行参数，降低了人为操作失误的风险。华龙一号在设计中充分考虑了共因失效的防范，采用了 "能动 + 非能动" 相结合的安全系统设计，即使在极端情况下仍能保证反应堆的安全。

5.3 国际合作与技术交流

面对共因失效这一全球性挑战，各国通过多种形式的国际合作来分享经验、交流技术、制定标准。

国际原子能机构的作用：国际原子能机构在推动全球核安全标准统一方面发挥了关键作用。1978 年，IAEA 发布了《确保核电厂安全的质量保证》，各国在核电发展过程中纷纷以美国法规或 IAEA 文件为蓝本，建立各自的核电质量保证法规。

IAEA 对共因失效的定义被广泛采用：共因失效是指由单一特定事件或原因导致两个或多个结构、系统或部件失效的故障(93)。这一定义为各国开展共因失效分析提供了统一的概念基础。

IAEA 还通过发布安全导则和技术报告，为各国处理共因失效提供指导。例如，在《应急电源系统安全导则》中，IAEA 明确指出，在应急电源系统的设计、维护、测试和运行中，应考虑共因失效的可能性，这些失效可能使应急电源系统在需要时无法执行其安全功能。应采用多样性和独立性原则（物理分隔和功能隔离）来防止来自安全系统本身设备内部或人为因素（如运行和维护）引起的可信共因失效。

经济合作与发展组织核能署（OECD/NEA）的贡献：OECD/NEA 在促进国际核安全合作方面发挥了重要作用。NEA 于 1994 年发起了国际共因失效数据交换（ICDE）项目，该项目由多个国家共同参与，旨在建立全球共因失效数据库，为概率安全评估提供可靠的数据支持。

ICDE 项目制定了通用编码指南，描述了开发 ICDE 数据库和报告所需的方法和文档标准，并不断进行修订和完善。这些指南为各国收集、分析和交换共因失效数据提供了统一的标准和方法。

NEA 还发布了一系列关于共因失效的技术报告。例如，《人因相关共因失效》报告将共因失效定义为两个或多个组件必须受到单一共同原因（在这种情况下原因是人因错误）影响的事件，且这个原因不能是另一个组件的失效或功能不可用。这类报告为各国开展人因相关共因失效分析提供了重要参考。

双边和多边合作机制：除了国际组织框架下的合作，各国还通过双边和多边机制开展技术交流。例如，美国和法国在核电安全领域保持着密切合作，双方定期举行技术研讨会，分享在概率安全评估和共因失效分析方面的最新进展。

美国和日本之间也建立了长期的技术合作关系。日本在 1970 年代引进美国核电技术的同时，也学习了美国的概率安全评估方法。双方在设备可靠性数据、人因工程、老化管理等领域开展了广泛合作。

欧洲国家之间的合作更加紧密。欧洲各国通过欧洲原子能共同体（EURATOM）框架，在核安全研究、标准制定、事故应急等方面开展全面合作。特别是在 EPR 项目中，法国和德国的合作充分体现了欧洲在核电技术方面的一体化发展趋势。

技术标准的国际化：随着核电技术的全球化发展，技术标准的国际化成为必然趋势。IEEE、ISO 等国际标准化组织制定的核电相关标准被各国广泛采用。例如，IEEE 379 系列标准关于单一故障准则的应用，已经成为国际公认的标准。

在共因失效分析方面，国际标准化组织也在制定相应的标准。例如，ISO 13849 标准对安全相关系统的可靠性要求进行了规定，指出双通道系统的可靠性限制因素是共因失效。这类标准为各国开展共因失效分析提供了统一的技术要求。

学术交流与研究合作：国际学术交流也是技术合作的重要形式。国际原子能机构、OECD/NEA、各国核学会等组织定期举办国际会议和研讨会，为各国专家提供交流平台。例如，国际概率安全评估会议（PSAM）每两年举办一次，已经成为全球概率安全评估领域最重要的学术盛会。

在研究合作方面，各国科研机构和大学也开展了广泛合作。例如，美国爱达荷国家实验室与多个国家的研究机构合作，开发了用于评估数字仪控系统共因失效的 PRADIC 平台。这类合作项目不仅促进了技术进步，也增进了各国之间的相互了解。

第六章. 未来发展方向

6.1 概率安全评估技术的演进

概率安全评估技术自 WASH-1400 报告以来，经历了从概念提出到成熟应用，再到不断创新发展的演进过程。未来，PSA 技术将在多个方面实现重要突破。

从静态分析到动态建模：传统的 PSA 方法基于静态的故障树和事件树模型，这种方法在处理复杂动态系统时存在局限性。未来的发展方向是开发动态概率安全评估（Dynamic PSA）技术，能够模拟系统在事故过程中的动态行为。这种技术将考虑系统的时间依赖性、状态转换、组件老化等因素，提供更准确的风险评估结果。

美国能源部轻水反应堆可持续性计划的停堆优化项目正在开发开放可用的工具和方法来增强核电站的停堆调度。这些工具和方法在几个关键领域协助停堆规划人员，需要超越当前的限制，如静态、基于逻辑的模型，以提供更集成的、基于场景的模型，这些模型基于与因果因素相关的预测建模。

人工智能和机器学习的应用：随着人工智能技术的快速发展，机器学习算法在概率安全评估中的应用前景广阔。利用大数据分析技术，整合运行监控数据、历史事故记录、传感器实时信息，通过机器学习算法识别潜在风险关联性，构建实时预警系统。未来，随着技术的不断进步，风险概率计算方法将朝着更为智能化、精细化的方向发展，为核能安全防护提供更为可靠的保障。

机器学习技术可以用于识别复杂的失效模式和共因失效场景。通过分析大量的运行数据，算法可以发现人类专家难以察觉的隐藏模式，提高风险识别的准确性。同时，人工智能技术还可以用于优化维护策略，通过预测性维护降低设备失效概率。

数字孪生技术的应用：数字孪生技术代表了未来核电安全评估的重要发展方向。基于数字孪生技术的实时模拟系统可动态监测设备状态，预测潜在失效概率，如法国原子能委员会已部署此类系统降低系统故障率 20%。

数字孪生技术通过构建核电站的虚拟模型，实时反映物理电站的状态和行为。这种技术不仅可以用于日常运行优化，还可以用于事故场景的预演和风险评估。通过在虚拟环境中模拟各种事故场景，可以提前制定应对策略，提高核电站的安全性。

多物理场耦合分析：现代核电站是一个复杂的多物理场耦合系统，涉及流体力学、传热传质、中子物理、热应力等多个物理过程的相互作用。未来的 PSA 技术将更多地采用多物理场耦合分析方法，通过模拟各种瞬态事件（例如冷却剂泵故障）中的行为，帮助工程师设计更可靠的反应堆，利用固有安全特性防范潜在事件。

这种分析方法能够更准确地描述事故过程中各种物理现象的相互作用，特别是在评估严重事故时具有重要意义。通过多物理场耦合分析，可以更准确地预测事故发展趋势，为事故管理提供科学依据。

不确定性量化方法的改进：不确定性是概率安全评估中不可回避的问题。未来的发展方向是开发更先进的不确定性量化方法，能够更好地处理认知不确定性和偶然不确定性。这包括贝叶斯方法的进一步发展、模糊逻辑的应用、证据理论的引入等。

特别是在处理专家判断和有限数据时，新的不确定性量化方法将提供更合理的不确定性区间估计。这种方法不仅能够给出风险的点估计，还能够提供风险的置信区间，为决策提供更全面的信息。

6.2 数字化技术对共因失效管理的影响

数字化技术在核电站中的广泛应用，为提高安全性和运行效率带来了巨大机遇，但同时也对共因失效管理提出了新的挑战。

数字化仪控系统的共因失效风险：随着数字化技术的广泛应用，核电站采用数字技术的规模将持续大幅增长。其中的关键环节便是用先进数字技术取代传统模拟系统。许多正在研发的先进反应堆设计从初期就融入了数字化系统，包括全数字化主控室、数字孪生技术等，部分案例中还出现了通过远程集中控制来操控多个反应堆的创新方案。

然而，数字化系统也带来了新的共因失效风险。2025 年在美国核学会年会上发表的一项研究将数字仪控系统中的共因失效确定为核安全的三大风险因素之一，主要原因是验证和确认（V&V）实践不足。数字系统的软件错误、网络安全威胁、电磁干扰等都可能导致共因失效。

软件共因失效的挑战：软件共因失效是数字化系统面临的特殊挑战。与硬件失效不同，软件失效往往具有系统性和隐蔽性的特点。一个软件缺陷可能影响多个系统或组件，而这种影响可能在系统运行很长时间后才被发现。

为应对这一挑战，研究人员正在开发新的技术方法。例如，一种新的技术方法被引入来识别、量化和评估包含多层冗余和多样化软件组件的数字仪控系统的软件共因失效风险。该方法涉及三个创新工具。这种方法通过模块化分析和多样性设计，试图降低软件共因失效的风险。

网络安全与共因失效：随着核电站数字化程度的提高，网络安全成为不可忽视的风险因素。网络攻击可能同时影响多个系统，造成大规模的共因失效。例如，通过网络渗透植入恶意软件，可能导致反应堆控制系统、安全系统、监测系统等同时失效。

为应对网络安全威胁，核电站需要建立完善的网络安全防护体系。这包括物理隔离、访问控制、入侵检测、数据加密等多重防护措施。同时，还需要制定网络安全事件的应急响应预案，确保在遭受攻击时能够迅速恢复关键系统的功能。

数字化带来的机遇：尽管数字化技术带来了新的挑战，但也为共因失效管理提供了新的机遇。通过数字化技术，可以实现更精确的设备状态监测、更及时的故障诊断、更优化的维护策略。

例如，国核示范、上海核工院、朗坤智慧等联合开发的 "国和一号数字化生产管理移动平台"，改变运行规程操作执行模式，有效规避人因失误发生，打通了核电厂运行数字化、移动化执行的 "最后一公里"，进一步提高核电生产管理智能化水平。

智慧管控平台是一种集成了大数据、人工智能、物联网、云计算等先进技术的综合性管理系统，能够对核电站的运行状态进行全面、实时的监控和管理(114)。这种平台可以实时收集和分析海量数据，及时发现潜在的风险征兆，为预防共因失效提供支持。

标准化和认证体系的建立：为确保数字化系统的安全性，需要建立完善的标准化和认证体系。这包括软件质量标准、网络安全标准、系统集成标准等。通过标准化，可以降低设计缺陷和人为错误导致的共因失效风险。

同时，还需要建立严格的认证程序，对数字化系统的设计、制造、安装、调试等各个环节进行质量控制。特别是对于安全级数字化系统，需要进行全面的验证和确认，确保系统在各种工况下都能正确执行其安全功能。

6.3 先进反应堆设计的创新理念

新一代先进反应堆在设计理念上发生了根本性转变，从传统的 "防御型" 安全设计转向 "固有安全" 设计，这为解决共因失效问题提供了全新的思路。

第四代反应堆的固有安全特性：第四代反应堆代表了核电技术的未来发展方向。即将到来的第四代反应堆将用物理学原理改写这一局面，使灾难性过热在物理上不可能发生。

这种 "固有安全" 的设计理念从根本上改变了核电安全的概念。传统反应堆依赖复杂的安全系统来应对各种事故场景，而固有安全反应堆则通过物理设计确保即使在极端情况下也能保持安全。这种设计从源头降低了对多重冗余系统的依赖，从而减少了共因失效的风险。

小型模块化反应堆（SMR）的创新设计：小型模块化反应堆是另一个重要的发展方向。针对先进反应堆，从设计阶段就应 "规避" 严重事故风险，如 SMR 的 "一体化堆芯设计" 和采用 TRISO 燃料的高温气冷堆，让放射性泄漏成为 "小概率事件"。

SMR 的模块化设计带来了多重优势。首先，模块化制造可以提高质量控制水平，降低制造缺陷导致的共因失效风险。其次，模块化设计使得系统更加简单，减少了复杂的接口和相互依赖关系。第三，小型化设计使得自然循环成为可能，减少了对能动系统的依赖。

非能动安全系统的广泛应用：新一代核电站广泛应用了被动安全系统，这种系统能在电源或人员操作失效时自动启动，利用自然的物理现象维持冷却功能，有效防止核事故的发生。非能动安全系统的优势在于不依赖外部能源和人为干预，因此具有很高的可靠性。

例如，先进沸水堆（ABWR）采用了非能动的堆芯隔离冷却系统（CIS），在失电情况下可以自动启动，利用重力和自然循环为堆芯提供冷却。这种系统没有泵、阀门等能动部件，因此不存在能动部件失效导致的共因失效风险。

数字化与智能化的融合：先进反应堆设计将数字化和智能化深度融合，不仅提高了运行效率，也增强了安全性。中国自主研发的 "华龙一号" 核电技术就采用了全数字化控制系统，这种系统不仅增强了操作的可靠性，还通过实时数据分析优化了运行参数，降低了人为操作失误的风险(116)。

在未来高温气冷堆安全系统的设计方向中，提高自动化与智能化水平，增强故障预测与自适应调节能力是重要目标。同时，强化被动安全特性，减少依赖外部人为操作和电力供应；推进材料及结构技术创新，提高系统整体抗灾害能力；完善事故模拟与风险评估方法，提升设计的科学性与合理性(130)。

多样性和容错设计：先进反应堆在设计中更加注重多样性和容错能力。通过采用不同原理的多重安全系统，即使某一类型的系统因共因事件失效，其他类型的系统仍能发挥作用。

例如，某些先进反应堆设计采用了 "能动 + 非能动" 相结合的安全系统配置。在正常情况下，能动系统提供主要的安全功能；在能动系统失效时，非能动系统自动接管。这种设计大大提高了系统的可靠性和容错能力。

第七章：从SFC到现代风险知情法规

1970年代围绕单一故障准则（SFC）的局限性、共因失效（CCF）的挑战以及概率风险评估（PRA）的兴起所展开的深刻变革，并没有随着时间的流逝而尘封于历史。相反，它像一颗投入湖中的石子，其激起的涟漪至今仍在塑造着全球核安全监管的格局。这场“思想革命”的遗产，深刻地体现在现代“风险知情”（Risk-Informed）和“性能导向”（Performance-Based）的监管法规中，并为未来先进反应堆的许可路径指明了方向。

7.1 SFC的演变：从绝对准则到参考基线

在当代核安全监管体系中，SFC的地位已经发生了根本性的变化。它不再是那个唯一的、至高无上的确定性铁律，而是演变为一个重要的、但可以被更先进方法替代或补充的参考基线。

•SFC的持续应用与争议：在现有的轻水堆（LWR）机组中，SFC仍然是其原始许可基础（Licensing Basis）的一部分，尤其是在涉及对原有系统进行修改时，仍需进行SFC符合性评估。然而，对于SFC在被动组件上的应用、如何处理软件的共因失效等问题，争议依然存在 。这表明，即使在传统框架内，SFC的解释和应用也在不断演进。

•风险知情法规下的SFC：NRC在1990年代后期发布的一系列风险知情监管指南，如 RG 1.174 ("An Approach for Using Probabilistic Risk Assessment in Risk-Informed Decisions on Plant-Specific Changes to the Licensing Basis") ，为偏离传统的确定性要求（包括SFC）提供了一条可行的路径 。RG 1.174建立了一个决策框架，允许电厂在申请修改许可基础时，使用PRA来论证这种改变对总体风险的影响是微小的，甚至是降低风险的。例如，电厂可以申请放宽对某个风险贡献度极低的系统的测试频率，即使这在形式上可能不完全符合最初的确定性要求。这一框架的核心原则是：确保纵深防御和安全裕度不被削弱，同时评估对堆芯损坏频率（CDF）和大量早期释放频率（LERF）的影响。这标志着监管从“遵守规则”向“管理风险”的重大转变。

7.2 面向未来：NEI 18-04与新一代反应堆的许可

对于正在开发的非轻水堆（non-LWRs）和小型模块化反应堆（SMRs）等先进反应堆技术，僵化地套用为大型轻水堆设计的传统SFC要求，已经显得不合时宜。这些新堆型往往采用创新的、基于非能动安全特性的设计，其安全逻辑与传统LWR有很大不同。

为了适应这一新形势，美国核能研究所（NEI）与工业界合作，在NRC的参与和指导下，开发了 NEI 18-04, "Risk-Informed Performance-Based Technology-Inclusive Guidance for Non-Light Water Reactor Licensing Basis Development"。这份文件，以及NRC认可该方法的监管指南 RG 1.233 ("Guidance for a Technology-Inclusive, Risk-Informed, and Performance-Based Methodology to Inform the Licensing Basis and Content of Applications for Licenses, Certifications, and Approvals for Non-Light-Water Reactors") ，代表了1970年代那场变革的最终逻辑归宿 。

NEI 18-04方法论的核心是：

1.彻底的风险知情与性能导向：它要求设计者从一开始就使用PRA来识别和选择“许可基准事件”（Licensing Basis Events, LBEs），这些事件是基于其对风险的贡献度来筛选的，而不是像传统方法那样依赖一份预设的、固定的设计基准事故清单。

2.用“可靠性与能力准则”替代SFC：NEI 18-04最革命性的一点是，它明确提出不再使用SFC作为确定性评估的必要准则 。取而代之的是，对于每一个许可基准事件，设计者需要论证用于执行关键安全功能（CSF）的系统、结构和组件（SSCs）满足一定的“可靠性与能力准日志”。

￮能力（Capability） ：指SSC在LBE条件下，有足够的工程能力（如流量、压力、耐温等）来完成其安全功能。这部分仍是确定性的工程分析。

￮可靠性（Reliability） ：指SSC在被要求时能够成功执行其功能的概率。这个可靠性目标是通过PRA计算得出的，并且在评估时必须显式地、定量地考虑CCF和人为失误。

3.对纵深防御（DID）的系统性评估：NEI 18-04要求对纵深防御进行全面的、系统性的评估，确保即使在超出LBE的更严重事故（即设计扩展工况，DEC）和严重事故下，仍有足够的防御层次来防止或缓解放射性物质的大量释放。

通过这种方式，NEI 18-04将1970年代PRA的“洞察”——即风险主要由CCF、人为失误和复杂系统交互驱动——直接内化到了新一代反应堆的许可基础设计逻辑之中。它不再将SFC作为一个独立的、必须满足的条框，而是将SFC试图解决的“可靠性”问题，融入到一个更全面、更量化、更直接与风险挂钩的评估体系中。这不仅为设计提供了更大的灵活性和创新空间，也使得安全评估的焦点真正回归到“风险”本身。

7.3 结论：一场未尽的认知革命

回顾1970年代美国核管会对PWR启动事故概率的评估历程，我们可以清晰地看到一条从盲目自信到深刻反思的认知演进轨迹。

•单一故障准则（SFC） ，作为确定性时代的智慧结晶，通过强制性的冗余、独立和分离设计，为核电安全构筑了第一道坚固的防线。它在逻辑上的简洁性和工程上的可操作性，使其在核电发展初期发挥了不可替代的作用。然而，它建立在“故障是随机和独立的”这一脆弱假设之上，使其在面对系统性的、隐蔽的 共因失效（CCF） 风险时，显得无能为力。

•WASH-1400报告的发布，是这场认知革命的号角。它以前所未有的方式，使用概率风险评估（PRA） 的语言，系统性地揭示了SFC的局限性。通过事件树和故障树，WASH-1400不仅量化了CCF的潜在威胁，还首次将人为失误这一“软肋”纳入了风险版图。尽管其早期的模型（如β因子模型、THERP）和数据在今天看来略显粗糙，但它提出的问题——“我们到底有多安全？真正的风险驱动因素是什么？”——却具有永恒的价值。

•三里岛事故则以现实的代价，为这场理论上的辩论画上了沉重的句点。它雄辩地证明了，真实世界的事故远比SFC所设想的单一故障场景要复杂得多，是由硬件、软件、环境和人的因素交织而成的“完美风暴”。

这场始于1970年代的变革，其核心遗产是风险思维的植入。它教育了整个核工业界和监管机构：安全不能仅仅依赖于遵守一套静态的规则，而必须是一个动态的、持续识别、评估和管理风险的过程。从最初对PRA的怀疑和抵制，到将其作为补充工具，再到今天将其作为“风险知情”监管的核心，乃至未来先进反应堆许可的基础，这条演进路径清晰地展示了科学认知如何在争议、实践和反思中螺旋式上升。

核技术论坛

阅读 赞 分享 言