从核电发展的历史来看，安全问题一直是挥之难去的阴霾。每一次重大核电事故都会在世界范围内引发对核电事业本身的广泛争议；但另一方面，不可忽视的是，每一次事故又都会成为全球核电安全设计飞跃发展的契机，促使人类不断向着“更安全的核电”前行。

　　当前，核电厂安全设计的通用标准规定，必须要考虑“最大假想地震”“可能最大洪水”“可能最大降水”等自然灾害，这个要求并不是一开始发展核电就有的，而是20世纪60年代中期美国人首先关注到的。后来，国际上逐渐形成了相关设计要求和确定这些自然灾害水平的方法。早期确定这些“最大假想”“可能最大”时，通常使用最大历史记录法，后期又发展了一些其他方法。例如在我国和美国，在确定“最大假想地震”时，还会采取地质构造法。所谓地质构造法，即在核电厂址一定范围内（通常为150公里或更大），寻找可能的发震构造，如能动断层，并评估其一旦发生地震对核电厂厂址的影响。核泄漏事故如此后果惨重，以至于核电厂的安全设计必须有足够安全程度。

图为美国三哩岛核电厂。光明图片/视觉中国

　　1、核电厂的三项基本安全功能

　　我们周围的物质是由各种元素所构成，而元素的原子核内所包含的质子数决定了它属于哪一种元素。同一种元素原子核内的质子数相同，但中子数可能不同，我们将质子数相同而中子数不同的元素称之为同位素。同位素中有些是非常稳定的，但有些是不稳定的，会自发地衰变并放出射线。我们将会自发衰变并放出射线的同位素称为放射性同位素，放射性物质由放射性同位素所构成。放射性同位素衰变所放出的射线被人体或生物体吸收后，则会形成所谓的辐射照射问题。

　　我们无时无刻不在辐射照射当中，这些辐射来自宇宙射线和周围物质中所含的放射性同位素衰变所放出的射线。由于大气层的屏蔽作用，以及周围物质中放射性同位素的含量极低，这种辐射照射通常不会产生大的问题。周围物质中放射性同位素含量极低的原因很好理解，因为我们周围的物质大多产生于宇宙诞生的初期，即大爆炸的早期阶段。现代天文学认为，目前宇宙的寿命约为120亿～140亿年，在如此漫长的时间内，不稳定的同位素都衰变得差不多了。

　　目前，人类对核能的和平利用主要是对裂变能的利用，这种裂变能主要来自于元素铀235和钚239在中子轰击下的裂变。铀235和钚239在中子轰击下裂变所产生的裂变碎片，专业术语叫裂变产物，包含了大量的放射性同位素，这些放射性物质一旦进入环境，则可能对人类或生物构成辐射照射。为了不使这些裂变产生的放射性物质进入环境，就要用各种屏障将这些放射性物质包容起来。现代压水堆和沸水堆核电厂通常具备燃料包壳、反应堆冷却剂系统压力边界和安全壳三道包容屏障。

　　一个一百万千瓦电功率的压水堆核电厂，其反应堆堆芯的热功率大约三百万千瓦，而反应堆堆芯的直径大约3米左右，高4米左右。如此大的功率集中在如此小的堆芯，在反应堆堆芯正常排热能力丧失的时候，瞬间就可以导致堆芯的熔毁。所以在发生丧失反应堆堆芯正常排热能力的情况下，为保证安全，必须迅速地实现反应堆的停堆。但反应堆停堆后，裂变产物的衰变仍然会发生，其放出的射线被反应堆结构材料和冷却剂等吸收后，转化为热量，即专业术语所称的“衰变热”。衰变热大致可以认为按照指数曲线衰减，在停堆后的不到1秒时间内衰减到堆芯热功率的6%左右，在不到1小时的时间内衰减到堆芯热功率的1%左右。衰变热不能被排出的话，其积累最终仍然能够使燃料和燃料包壳熔化（即严重事故）、进而可能导致反应堆压力容器乃至安全壳的破坏，使放射性物质进入环境。

　　所以为了保证核安全，我们必须高度可靠地保证反应堆停堆、衰变热的排出和放射性包容功能，在专业术语中，这称为三项基本安全功能。实际上，目前压水堆和沸水堆核电厂的衰变热排出可以说是最为关键的安全功能，核电厂的大部分安全系统都是围绕实现这个功能具体设计的。衰变热排出的可靠性，在很大程度上决定了压水堆和沸水堆核电厂的安全水平。在新一代压水堆和沸水堆核电厂的安全改进方面，衰变热排出可靠性的改进也是重点。

图为工作人员在监测核电厂附近水质。光明图片/视觉中国

　　2、高标准严要求的安全设计

　　核电厂的设计就是围绕高度可靠地保证三项基本安全功能的实现展开的，这不仅要求核电厂在正常运行和启停堆时保证安全，而且要求在各种极端的内外部事件情况下也能保证三项基本安全功能的执行。核电厂设计上所考虑的内部事件主要为设备故障所导致，如管道的破裂、泵的卡轴、阀门的误动作、电器故障等，以及由这些设备故障所导致的水淹、喷射、湿度、压力、辐射、火灾等效应，这些故障可考虑低至发生概率10-6每堆年的故障。外部事件主要考虑外部人为事件和自然灾害。外部人为事件主要考虑核电厂周围可能存在的工业、军事等设施，以及运输活动，包括危险化学品运输、飞行器等可能对核电厂产生的危害。对于外部人为事件而言，如果不能证明其对核电厂安全产生影响的概率低于10-7每堆年，则核电厂设计上就必须考虑对其设防。而自然灾害，则要考虑“以人类已有的科学技术和认知水平所能确认的最大自然灾害”，其发生频率大约都在万年一遇的水平。由于所考虑的外部自然灾害都是极端的自然灾害，受科学技术和认知水平的限制，有时会存在一定的不确定性。

　　核电厂执行三项基本安全功能的构筑物、系统和设备的设计不但要考虑上述的内外部事件，为了保证系统功能的可靠性，还对其提出了多重性、多样性、独立性等要求。如核电厂的供电不仅仅依靠外部电源，每台核电机组还设置有至少两台应急柴油发电机，以及直流蓄电池电源。为保证设备的可靠性和功能，对其设计、制造、安装、试验、检查、维修等活动要执行严格的质量保证要求，还要开展“环境鉴定”“抗震鉴定”。

　　核电厂设计上所考虑的内部事件和外部事件在专业术语上又被称为“设计基准事故”和“设计基准”。实际的核电厂无法使用试验或调试的方式来验证核电厂在设计基准事故工况下的安全性是否可接受，必须通过“事故分析”来证明。为了保证事故分析结果的保守性，在分析过程中还要采取许多的保守假设。例如，要假设核电厂的初始状态处于对后果最不利的条件和测量偏差，要假设丧失了厂外电源，要假设最大价值的一束控制棒卡在反应堆外，要假设在安全系统中发生了单一随机故障等。对事故分析所使用的计算机程序也要经过严格的验证。

　　1979年三哩岛核电厂事故发生后，人们开展了新一轮的大量核安全研究。研究工作的重点包括改进人机接口和操纵员培训、改进核电厂规程（包括维修、试验、检查和运行、事故处理规程等）、改进应急响应等，当然核电厂超过设计基准，直至严重事故的现象和机理是研究重点之一。

在距离日本福岛第一核电厂较近的大熊町的路边的标牌。新华社发

　　3、核电厂设计的难题

　　日本福岛第一核电厂位于日本福岛县双叶郡的大熊町和双叶町，在日本东海岸的面向太平洋侧，共建有6台沸水堆核电机组。沸水堆核电厂最早由美国通用电气公司开发，是目前世界上机组数量居第二位的核电机型。沸水堆核电机型和压水堆核电机型各有优缺点，从安全水平来说，美国在20世纪80年代到90年代开展了电厂安全评价计划和外部事件下的电厂安全评价计划，针对美国的35座沸水堆核电机组和73座压水堆核电机组进行评价。结果表明，沸水堆核电厂平均的反应堆堆芯熔化频率比压水堆核电厂约低一个数量级，但在发生严重事故的条件下，沸水堆安全壳的失效概率比压水堆核电厂高。沸水堆核电厂的应急堆芯冷却系统更加多样，但安全壳内部的自由容积大大低于压水堆核电厂，这一结果主要是由上述特性所决定的。但是，对于一个具体核电厂的设计来说，安全水平还取决于在设计阶段是否正确地识别和确定了内外部事件所造成的影响，以及针对这些内外部事件所采取的设防措施是否充分。举个例子，当你设计一辆汽车时，你首先要确定这辆汽车未来是要在市内行驶还是做越野，你拿一辆为市内行驶设计的汽车去越野，出问题的可能性肯定会很大。

　　在福岛核电厂开始建设时，海啸高度使用了当时能够得到的最大记录3.1米，这个高度的海啸记录产生于1960年智利发生的世界上已知的最大地震。对于日本东海岸外的日本海沟，没有有关其导致海啸的历史数据。尽管日本的核安全监管当局没有对地震和海啸的再评价要求，但在事故发生前的运行周期内，东京电力公司还是数次进行了地震和海啸的再评价。如2002年日本土木工程师学会制订和颁布了新的海啸评价方法后，东京电力公司进行了海啸再评估，但新的评价方法仍然使用基于历史数据的模型。东京电力公司评价出的海啸高度高于原设计值，为此在福岛第一核电厂采取了一些补救措施。

　　2006年，日本核安全监管当局发布了新的导则，要求除了考虑内陆地震外，还要考虑板间地震（日本海沟就是由于太平洋板块插入欧亚板块和菲律宾板块下部所造成的）。东京电力公司再次进行了复查，但复查中考虑日本海沟可能发生的地震震级是8级，日本的地震学家也普遍不相信日本海沟会发生9级地震。对于福岛第一核电厂，评价表明日本海沟8级地震对核电厂的影响是小于内陆地震的影响的，但海啸影响的评价直到事故发生时仍未完成。

　　2009年，东京电力公司使用最新测深数据和潮汐数据再评估的最大海啸高度是6.1米。根据这一新估计值，东京电力公司对福岛第一核电厂进行了改造，特别是抬高了余热排出泵的电机高度。不幸的是，事实证明这个措施仍然是不够的。在2007年到2009年期间，东京电力公司还使用日本地震调查研究推进本部推荐的模型进行了评价。使用日本地震调查研究推进本部的模型进行评价没有仅仅依靠历史海啸数据，而且考虑了日本海沟地震引发海啸的可能性。在评价方案中考虑日本海沟发生的地震是8.3级，评价结果表明在福岛第一核电厂厂址海啸爬高达到约15米（这个结果与2011年3月11日的实际海啸爬高很接近，但2011年3月11日日本海沟的实际地震是9级）。根据这一新的评价结果，东京电力公司、日本核安全监管机构等都认为需要开展进一步的研究，东京电力公司委托日本土木工程师学会审查模型的适当性，到事故发生时，这些审查仍然在进行中。

　　4、从灾难中汲取教训

　　2011年3月11日14时46分（日本时间），日本东海岸外的日本海沟发生9.0级大地震，震源距离福岛第一核电厂约130公里。地震发生时，福岛第一核电厂的1、2和3号机组处于功率运行状态，4、5和6号机组处于停堆换料和大修维护阶段。当核电厂的地震传感器探测到地震后，自动对正在功率运行的1、2和3号机组实施了停堆保护。

　　虽然核电机组的反应堆被停闭，但存在于核燃料中裂变产物的衰变热仍然需要被排出，这也包括存放于乏燃料水池中的已辐照燃料。冷却系统通常需要交流电源提供动力和直流电源提供控制和监测，但地震导致外电网全部被破坏，外部电源的供应丧失，厂内应急柴油发电机自动启动，蓄电池的供电也没有问题。或者核电厂的安全系统自动动作，或者操纵人员按规程采取了行动，似乎核电厂的一切都处于控制之中。

　　大约40分钟后，第一波海啸到达厂址，但海啸爬升高度只有4～5米，处在防浪堤的防护高度之下。在第一波海啸到达大约10分钟后，第二波海啸到达厂址，海啸爬升高度达到约15米，海水涌入厂区，导致除6号机组一台位于较高位置的附加气冷柴油发电机外，其他所有的应急柴油发电机失效，海水也导致1、2和4号机组的直流电源失效。这使核电厂运行人员面临困难的局面，因为虽然严重事故管理指南中提供了对全厂断电工况进行处理的指导，但必须保证直流电源的存在，以提供必要的监测数据和控制电源。操纵员和应急响应人员必须重新审查可用的方案并确定恢复电源的可能方法。

　　直到3月17日至20日，外部电源陆续才连接到现场。1号和2号机组在全厂断电约9天后恢复了外部电源供应。3号和4号机组在全厂断电约14天后恢复了外部电源供应。6号机组又恢复了1台水冷柴油发电机，向5号和6号机组供电，随后5号和6号机组实现了冷停堆。1至3号机组则按照东京电力公司制定的路线图，在维持反应堆和乏燃料水池的持续冷却、监测和减少放射性物质释放、控制氢气聚集及预防堆芯重返临界方面开展后续工作。

　　在事故发展过程中，包括美国核管理委员会在内曾经很担心乏燃料水池，特别是4号机组乏燃料水池内存贮的大量乏燃料的安全，甚至推测乏燃料与水反应可能产生氢气，所以使用直升机、高压水枪、消防车和混凝土泵车等对3号和4号机组的乏燃料水池进行了补水。但后来对乏燃料水池的检查表明，乏燃料没有出现明显的损伤，美国核管理委员会后期承认，在福岛第一核电厂事故期间对乏燃料水池的风险估计过高。

　　事故过程中，1、3和4号机组的反应堆厂房先后发生了爆炸，爆炸极大地影响了相关的事故处理工作。1号和3号机组的爆炸是由于熔融堆芯与水发生反应产生了大量氢气，但4号机组反应堆压力容器内并无燃料，事后推测是3号机组产生的氢气通过通风管道泄漏到了4号机组反应堆厂房。

　　由于事故过程中安全壳密封性能的损坏，或者是对安全壳实施了卸压通风（安全壳卸压通风是严重事故管理指南中提供的措施，但卸压时机很重要。在堆芯已经熔毁后实施卸压，大量的放射性物质则会进入环境），大量的放射性物质，包括放射性废水进入环境，造成了严重的环境后果。福岛第一核电厂1、2、3号机组采用了MARK-I型安全壳，美国电厂安全评价计划和外部事件下的电厂安全评价计划的结果显示，其安全壳下部的环形抑压池是薄弱环节。福岛第一核电厂事故向环境大量放射性废水的排放，很可能是抑压池的损坏所致。

　　后期评估表明，在福岛第一核电厂事故中，1号机组反应堆堆芯的损坏大约发生在海啸后第4～5小时，在海啸后约6～8小时熔化的堆芯熔穿了反应堆压力容器底部，在海啸后约12小时观察到放射性物质释放，在海啸后约23小时对安全壳卸压通风时导致了大规模放射性物质释放。2号机组在海啸后约76小时发生了堆芯熔化，在海啸后约89小时由于安全壳压力边界的失效导致放射性物质释放。3号机组大约在海啸后43小时堆芯开始熔化，由于抑压池的爆破盘破裂，海啸后47小时开始大规模放射性物质释放。（作者：环保部核电安全监管司司长 汤搏）