1、 核安全导则 HAD102/17 核动力厂安全评价与验证 国家核安全局 II核动力厂安全评价与验证 （2006 年6月5日 国家核安全局批准发布） 本导则自2006 年7月1日 起实施 本导则由国家核安全局负责解释 本导则是指导性文件。在实际工作中可以采用不同于本导则的方法和方案，但必须证明所采用的方法和方 案至少具有与本导则相同的安全水平。 目 录 1.引言1 1.1目的.1 1.2 范围1 2.安全评价、安全分析和独立验证 .2 2.1 安全评价与安全分析2 2.2 独立验证3 2.3 设计、安全评价和独立验证之间的关系6 3. 安全重要的工程技术方面 .7 3.1 概要7 3.2 经验证
2、的工程实践和运行经验7 3.3 创新的设计特性8 3.4 纵深防御的实施9 3.5 辐射防护10 3.6 构筑物、系统和部件的安全分级12 3.7 外部事件的防护14 3.8 内部灾害的防护16 3.9 与适用规范、标准和导则的一致性18 3.10 载荷和载荷组合19 3.11 材料的选择20 3.12 单一故障评价和多重性/独立性 21 3.13 多样性24 3.14 安全重要物项的在役试验、维护、修理、检查和监测25 3.15 设备鉴定26 3.16 老化和磨损机理27 3.17 人机接口和人因工程的运用29 3.18 系统之间的相互作用32 3.19 设计过程中计算手段的使用33 I I
3、I 4.安全分析33 4.1 概要33 4.2 假设始发事件39 4.3 确定论安全分析43 4.4 概率安全分析61 4.5 敏感性和不确定性分析84 4.6使用的计算机程序的评价.85 5.独立验证87 1.引 言 1.1目的 1.1.1 本导则是对核动力厂设计安全规定有关条款的说明和 补充。 1.1.2 本导则为设计单位在初始设计和设计修改过程中对核动力 厂进行安全评价提供了建议，也为营运单位对于新核动力厂（使用新 的或现有设计的）的安全评价进行独立验证提供了建议。实施安全评 价的建议也适用于指导对现有核动力厂进行安全审查。 依据现行的标 准和实践对现有核动力厂进行安全审查， 其目的在于
4、确定是否存在影 响核动力厂安全的任何偏离。 本导则中的方法和建议同样适用于国家 核安全监管部门进行的监管审查和评价。 虽然本导则中大部分建议是 通用的，并适用于所有类型的反应堆，但也有一部分特殊建议和范例 主要用于水冷反应堆。 1.2 范围 1.2.1 本导则确定了在实施安全评价和独立验证过程中的关键建 议，并且提供了支持核动力厂设计安全规定的详细指导，尤其是 在其安全分析领域。但是，它并不能包括目前所有可用的技术细节， 关于具体的设计问题和安全分析方法， 可参照相关安全导则和参考核 安全法规技术文件。 1.2.2 由于对核动力厂的某些系统的安全评价已有专门的安全导12.安全评价、安全分析和独
5、立验证 2.1 安全评价与安全分析 2.1.1 本导则中的安全评价是一个系统性过程，它贯穿于整个设 计过程，以保证核动力厂设计满足所有的相关安全要求。这些要求包 括营运单位和国家核安全监管部门确定的安全要求。安全评价包括 （但并不仅限于）正式的安全分析（见第 4 章） 。设计和安全评价都 是核动力厂设计单位进行的同一迭代过程中的组成部分， 该迭代过程 直到设计满足所有安全要求为止， 其中也可能包括在设计过程中提出 的安全要求。 2.1.2 安全评价范围包括核实设计是否满足核动力厂设计安全 规定第 3 章至第 6 章中给出的安全管理要求、主要技术要求以及核 动力厂设计和核动力厂系统设计要求，并核
6、实已完成全面的安全分 析。 2.1.3 核动力厂设计安全规定 第 3 章中提出的安全管理要求， 论及与经验证的工程实践、运行经验和安全研究有关的问题。 2.1.4 核动力厂设计安全规定 第 4 章中提出的主要技术要求， 包括保证提供充分的纵深防御措施， 保证最大程度地考虑了事故预防 措施和辐射防护。 2.1.5 核动力厂设计安全规定第 5 章中提出的核动力厂设计22.1.6 核动力厂设计安全规定第 6 章中提出的核动力厂系统 设计要求，包括有关堆芯、反应堆冷却剂系统和反应堆安全系统（如 安全壳以及应急堆芯冷却剂系统）的设计问题。 2.1.7 对于安全分析， 核动力厂设计安全规定第 5.9节规定
7、： “必须对核动力厂设计进行安全分析， 在分析中必须采用确定论和概 率论分析方法。在这种分析的基础上，必须制定和确认安全重要物项 的设计基准。 还必须论证所设计的核动力厂能够满足各类核动力厂状 态下放射性释放的所有规定限值和潜在的辐射照射剂量的可接受限 值，并论证纵深防御已起到作用。 ”关于确定论和概率安全分析的范 围和目的在本导则的 4.1.3.1-4.1.3.6 节中给出。 2.2 独立验证 2.2.1 核动力厂设计安全规定3.6 节要求： “在提交国家核安 全监管部门以前， 营运单位必须保证由未参与相关设计的个人或团体 对安全评价进行独立验证。 ” 2.2.2 独立验证应该在营运单位负责
8、下由一组专业人员完成，这 组专业人员应尽可能独立于该核动力厂的设计者和进行安全评价的 人员。如果这些专业人员未参与任何部分的设计和安全评价，则可认 为是独立的。 此独立验证是在设计单位内部进行的质量保证审查的补 充。 2.2.3 安全评价是设计单位在整个设计过程中为满足所有相关安32.2.4 由于独立验证需要涉及的设计和安全评价问题的复杂性， 一般在设计过程中要部分地进行独立验证， 而不只是在核动力厂设计 完成以后才进行。 2.2.5 营运单位对独立验证负有完全责任，即使独立验证的部分 工作委托给一些独立机构执行也仍然如此。 4 安全要求 其他要求 总体方面 （如防火、辐射防护） 特殊系统 （
9、如仪表和控制系统、安全壳） 质量保证 审查 安全评价 -安全分析（确定论和概率论） -安全重要工程方面的评价 -先前的运行经验 -设备鉴定 质量保证 审查 营运单位 的独立验证 国家核安全监管部门 审查和评价 已竣工 核动力厂的验证 质量保证审查 建造 核动力厂设 计安全规定 质量保证 安全导则 核动力厂系统 设计安全导则 安全评价和 验证的安全导则 图 1 核动力厂设计安全规定和导则所覆盖的领域 52.3 设计、安全评价和独立验证之间的关系 2.3.1 图 1 给出了在核动力厂设计过程中的安全评价、 独立验证、 安全分析及其他活动之间的关系， 也给出了本导则与设计过程有关的 其他规定和导则之
10、间的关系。 2.3.2 在设计工作由最初的概念直到最终完成的过程中，设计单 位需要考虑营运单位和国家核安全监管部门提出的所有安全要求以 及其他要求。 由于核能规划的发展以及引入新的设计， 在设计过程中， 设计要求可能会被修改或澄清；在创新设计情况下，随着设计的深入 可能会提出更具体的要求。 2.3.3 在设计过程中，安全评价和独立验证由不同的小组或机构 完成，然而他们都是迭代的设计过程中的一部分，且二者的主要目的 均是保证核动力厂满足安全要求。基于这个原因，本导则对二者均有 论述。某些情况下，国家核安全监管部门也会在核动力厂设计阶段介 入。 2.3.4 在核动力厂设计过程的一些阶段（如在建造前
11、或首次装料 前）设计工作将要被冻结，在此期间将完成安全分析报告，该报告将 描述到此时为止所完成的核动力厂的设计和安全评价。 该报告要提交 国家核安全监管部门供审查和评价。 2.3.5 由于安全问题的讨论和澄清越早，解决起来就越容易。因 此独立验证和设计及安全评价相继开展就会使独立验证更有效。 当设 计工作还在进行时， 任何为改进设计和安全评价的建议都更容易被采 纳。但另一方面，太密切的联系将给验证的独立性带来疑问。因而，62.3.6 在设计过程中所做出的重大设计决策，营运单位应进行专 项独立设计审查， 这种审查仅限于该决策的范围并考虑符合适用于决 策问题的安全要求。 2.3.7 设计工作应该依
12、据质量保证大纲进行，质量保证大纲包括 对所有设计文件进行独立审查。 3. 安全重要的工程技术方面 3.1 概要 3.1.1 本章为评价设计是否符合核动力厂设计安全规定第 3 章至第 5 章的要求提供建议和需要考虑的重要事项。 这些要求覆盖总 的安全重要的工程技术方面，并适用于所有的核动力厂系统。在安全 分析中可能没有明确论及如何评价该方面要求的正确实施， 但它是安 全评价的一个相关部分。对于某些方面，没有明确的验收准则可供使 用， 因此对其符合安全要求的评价在很大程度上就只能依赖于良好的 工程判断。 3.2 经验证的工程实践和运行经验 3.2.1 对于改进型的各类反应堆，应该尽可能采用在运行核
13、动力 厂中已成功应用的构筑物、系统和部件的设计，至少应该借鉴其他核 动力厂中取得的相关运行经验。 73.2.2 在安全评价中，应该考虑可用的运行经验，以保证在设计 中充分考虑了安全领域中的所有有关教训。 运行经验应作为改进核动 力厂纵深防御的基本信息来源。 3.2.3 应该充分利用大量的运行资料作为设计和安全评价的运行 经验反馈。 3.2.4 从一个真实的事件序列进行外推分析，即假定在有额外失 效（对比于现实情况中发生的失效）的情况下核动力厂最终将可能会 发生什么，这个方法已被证明是一种有用的设计方法。 3.2.5 通用的安全研究项目的成果也会有效支持设计单位和审查 单位的评价工作。 3.3
14、创新的设计特性 3.3.1 基于由运行经验、安全分析和安全研究得到的经验教训， 有必要考虑超出现有实践的设计改进的需求和价值。 当引入创新的或 未经验证的设计或设计特性时， 应该通过适当的支持性验证计划证实 它们符合安全要求，并且在投入运行前，对这些特性进行充分试验。 3.3.2 例如，非能动安全系统是不依赖于诸如电力等外部支持系 统的，并且有可能较能动系统而言更加简化和可靠，但其实际性能及 可靠性应该由适当的和周密的研发、 试验和分析程序来得到可信的验 证。 3.3.3 现代技术应用的另一个实例是采用基于计算机的安全系统 和控制系统。与老式的硬件连接系统相比，计算机化的系统具有很多 潜在的优
15、点，如它具有更强的功能、更好的试验能力和更高的硬件可83.4 纵深防御的实施 防御层次 目的 主要手段 一 异常运行和故障的预防 保守设计和高质量 的建造和运行 二 异常运行的控制和故障的探测 控制、保护系统及其他监督 设施 三 设计基准事故范围内的控制 专设安全设施及 应急规程 四 核动力厂严重工况的控制， 包括防止 事故恶化和减轻严重事故后果 补充措施和事故管理 五 减轻放射性物质大量释放的后果 厂外应急响应 表1. 各防御层次的目的和主要手段 3.4.1 正如核动力厂设计安全规定2.2.2 所指出的，纵深防御 概念的目的有两方面： 首先是预防事故的发生； 其次是如果预防失效， 探测事故和
16、限制其潜在后果，并且防止其演变为更加严重的工况。 3.4.2 纵深防御一般可分为五个不同层次。如果一个层次失效， 后一层次将加以弥补或纠正。 实施不同防御层次是为了使不同层次的 防御独立有效。 各层次的防御目的和其达到该目的的主要手段列于表 1 中。前三个层次的防御措施在设计基准范围内考虑，为了保证维持 堆芯结构的完整性，并限制对公众的潜在辐射危害。超设计基准应该 考虑第四个层次的防御措施，在考虑到经济和社会因素后，使核动力 厂出现严重工况的可能性和放射性物质的释放处于合理可行尽量低93.4.3 应该优先考虑预防：危及实体屏障的完整性；屏障失效或 旁路；一道屏障的失效引起另一道屏障的失效；以及
17、放射性物质的大 量释放。 3.4.4 应评价核动力厂的设计，以确认有专门措施来保证第一到 第四层次防御的有效性。 3.4.5 应通过完整的安全分析来证实是否能符合大量的核安全要 求，从而完成对纵深防御实施情况的评价。此评价应确认各纵深防御 层次足以应付可能出现的各种始发事件， 以保证执行基本的安全功能 和控制放射性物质的释放。 3.4.6 评价过程应特别注意内部和外部灾害，这些灾害可能会同 时影响到不止一个防御层次， 或者使得安全系统的多重设备同时出现 失效。 3.4.7 设计应尽可能提供探测各防御层次失效或旁路的措施。应 确定每种运行模式要求的防御层次（例如：在特定的停堆模式下，可 以允许打
18、开安全壳， 在核动力厂处于该模式时应始终能具备确定的防 御层次） 。 3.5 辐射防护 3.5.1 有关辐射防护设计的详细建议可参照专门的安全导则。辐 射防护评价应证实其符合在核动力厂设计安全规定中确定的辐射 防护目标。 3.5.2 对于正常运行及预计运行事件，应该考虑两项设计目标：103.5.3 第二个设计目标（即满足合理可行尽量低的原则）意味着 在考虑到经济和社会因素后， 所有剂量应保证处于合理可行尽量低的 水平。辐射防护的最优化过程应该在一定程度上使代价（费用）和利 益（安全增益）相平衡。在此最优化过程中，辐射照射剂量的参考值 以及相关的设计措施可以取自目前具有良好运行记录的类似核动力
19、厂。安全评价应该考虑运行经验及附加的设计措施或改进，以进一步 降低工作人员和公众的辐射照射。这些附加的措施既可以是直接的 （改进屏蔽） ，也可以是间接的（减少设备维修的时间） 。 3.5.4 应该采取以下措施保持低的照射量，如将包壳缺陷降低到 最少、 使用耐腐蚀的材料、 减少长寿命腐蚀产物和活化同位素的形成、 降低一回路冷却剂泄漏、尽量减少高辐射区域维修的时间、以及使用 遥控操作工具和机器人。 3.5.5 在设计过程中，应该系统地评价诸如检查和维修所需的足 够的空间、辐射防护屏蔽的充分性和核动力厂设备的正确安装。 3.5.6 核动力厂设计单位和安全评价人员还应该考虑核动力厂在 最终退役期间操作
20、的辐射照射剂量。 为减少高活度放射性废物的数量 和便于其移出，应注意材料的选择和为拆卸设备和工具的预留空间， 例如在受高辐射照射剂量的构筑物中使用的“牺牲层” （即在压力容113.5.7 设备和场地的设计（诸如乏燃料的储存和装卸设施，以及 放射性废物的储存）应采取措施，以尽量减少因其失效可能引起的放 射性物质的释放。 3.5.8 设计单位应该证明，依据核动力厂设计安全规定 ，已具 有足够有效的设计措施来实施辐射防护的充分监测。 3.5.9 应将安全分析中计算出的放射性物质释放量和剂量与国家 核安全监管部门规定的或接受的限值进行对比， 以评价事故工况下保 护措施设计的充分性。为减轻超设计基准事故
21、的放射性后果，可能要 求在核动力厂厂区以及核动力厂周围采取一些特殊措施 （如事故管理 和应急响应计划） 。在安全评价中，设计单位应该保证把事故管理和 应急计划的相关参数充分地纳入核动力厂的设计中。 3.6 构筑物、系统和部件的安全分级 3.6.1 应该确定所有构筑物、系统和部件的安全重要性，并按照 核动力厂设计安全规定中的规定建立安全分级体系，为每一安全 级别确定： - 在部件的设计、制造、建造和检查中应用适当的规范和标准； - 系统相关的特征，如多重性的程度，以及对应急动力供应和环 境条件鉴定的需求； - 在确定论安全分析中考虑应对假设始发事件的系统的可用性 或不可用性状态； - 质量保证措
22、施。 123.6.2 一般应该建立以下的分级体系，并且应该验证其恰当性和 一致性： - 系统分级依据其对安全功能所起作用的重要性； - 承压部件分级依据其失效后果的严重性、 机械复杂性和额定压 力； - 抗震分类依据所考虑的构筑物或部件在地震中和地震后保持 其完整性和执行其功能的要求， 并计及余震及其后续的附加破 坏； - 电力、仪表和控制系统的分级依据其安全功能或安全支持功 能，由于该系统是一个特殊领域，而且已经存在广泛使用的分 级方法，其分级会不同于核动力厂其他系统分级； - 质量保证要求的分级。 3.6.3 对构筑物、系统和部件的安全分级的确定应该基于国家核 安全监管部门规定的方法， 并
23、且应该适当地依据确定论和概率论分析 以及工程判断。 3.6.4 在确定论安全分析中，用来确定符合验收准则的安全功能 应只利用安全级的构筑物、系统和部件来执行。 3.6.5 在设计阶段，可使用概率安全分析来确认构筑物、系统和 部件分级的适当性。 3.6.6 一个安全级别中的系统和/或部件的故障不应引起较高安 全级别的系统和/或部件的故障。对于指定为不同安全级别且不同的 并可能相互影响的系统，应该评价其是否具有充分的隔离和分隔。 133.7 外部事件的防护 3.7.1 在安全评价中涉及的外部事件取决于核动力厂选定的厂 址，但是一般应包括： 外部自然事件，如： - 极端的气象条件； - 地震； -
24、外部水淹； 外部人为事件，如： - 飞机坠毁； - 由于运输和工业活动造成的灾害（火灾、爆炸、飞射物、有毒 气体的释放） 。 3.7.2 设计基准应该适合于所选厂址并以历史的和实际的数据为 依据，并由一组数值进行表达，这些数值是按照规定阈值根据各事件 总的概率分布而选择的。 3.7.3 当所得数据缺乏可信度而不能进行这种概率评价时，应该 依据包络准则和工程判断使用确定论分析方法。 3.7.4 执行基本安全功能的构筑物、系统和部件应设计成能承受 设计基准事件引起的载荷， 并应能在这些事件发生时和发生以后执行 其功能。这应该通过恰当的结构设计、多重性和分隔来实现。 3.7.5 应该使与外部事件有关
25、的放射性风险不超过源自内部事故 引起的放射性风险。对于比设计基准事件稍微严重的外部事件，应该 确认其后果不会不成比例地加重。 143.7.6 极端气象条件：应该对每一种极端气象条件确定设计基准 事件。这包括下列条件： - 极端的风载荷； - 极端的大气温度； - 极端的降雨量和降雪量； - 极端的冷却水温度和冰冻； - 极端量的海植被。 3.7.7 设计基准应计及可以合理假设同时发生的各种极端气象条 件的组合。 3.7.8 应该通过试验、实验或工程分析验证核动力厂的构筑物可 以承受外部事件施加的载荷，而不会造成任何必要物项的失效，这些 物项是将核动力厂带到并保持在所有基本安全功能得到长时间保证
26、 的状态所必要的。 3.7.9 应该通过试验、实验或工程分析证明安全系统能够在设计 基准规定的条件范围内（如大气温度、海水温度和海平面高度）执行 其安全功能。 3.7.10 应该利用核动力厂周边地域的地质勘察结果、该地域地震 发生的历史记录和古地震资料确定核动力厂厂址的 SL-2 地震。SL-2 地震应该用于确定核动力厂设计基准地震。 3.7.11 用于关闭核动力厂及维持核动力厂长时间处于安全稳定状 态的构筑物、 系统和部件应该设计成能够抵御设计基准地震而不丧失 功能。 153.7.12 抗震鉴定应该包括结构分析、振动台试验以及适当时与运 行经验进行对比。 3.7.13 外部水淹：应该对核动力
27、厂的周边环境进行评价，以确定 发生危及核动力厂安全的外部洪水的可能性。 外部水淹应该包括由于 高降雨量、 高潮汐、 河水溢出、 堤坝坍塌以及其可能组合引起的水淹。 3.7.14 应该提供防护措施以避免外部水淹导致安全系统设备的故 障。 3.7.15 应通过相关坠机的统计数据并考虑机场离核动力厂的距 离、 飞机的航线以及各型号飞机飞经核动力厂厂址的总的次数确定飞 机坠毁于核动力厂的预计概率。 坠机统计数据应该在整个核动力厂运 行寿期内不断更新。 3.7.16 如果预计的坠机概率大于可接受的值时，防护措施应该包 括对包容安全重要系统和部件的构筑物进行加固， 并要以设备多重系 列分离和隔离的方法使其
28、不会都被飞机撞击或随后的火灾所毁坏。 对 坠机的防护， 应该集中在保证将核动力厂带到并维持在安全状态的安 全功能所必需的物项上。 3.7.17 关于运输和工业活动所导致的灾害，应该鉴别靠近厂区的 危险物品运输和能导致火灾、爆炸、飞射物、有毒气体释放的工业活 动，并确定影响核动力厂安全的设计基准事件。 3.8 内部灾害的防护 3.8.1 设计中应该考虑由内部事件导致的作用在构筑物或部件上 的特定载荷和环境条件（温度、压力、湿度、辐射） ，这些内部事件16- 管道甩击； - 冲射力； - 由于管道、水泵及阀门的泄漏或破裂造成的内部水淹及喷淋； - 内部飞射物; - 重物跌落； - 内部爆炸； -
29、火灾。 3.8.2 应该确定管道破损的影响，诸如作用到部件、构筑物、电 气设备、仪表及控制设备上的喷射冲击力、管道甩击、反作用力、压 力波的作用力、压力增加、湿度、温度和辐射均得到充分考虑。特别 应该表明： - 对于安全级设备、该设备的支承及相关构筑物的设计，均考虑 了反作用力； - 对安全重要部件及其内部结构都已设计成能承受可信的压力 波的作用力和流体的作用力； - 对于安全重要构筑物（诸如安全壳）已考虑了压力增加； - 对于安全重要的电气设备、 仪表及控制设备已设计成在假定的 泄漏和破裂的事件中，仍能够承受极端的温度、湿度和辐射。 3.8.3 关于内部水淹， 应该对核动力厂的相关构筑物做水
30、淹分析。 分析中应该考虑以下潜在的水淹初因：承压部件出现泄漏和破裂、来 自邻近构筑物的水淹、灭火系统的误动作、水箱的溢流以及隔离设施173.8.4 安全重要构筑物、系统和部件，应该位于预计的最高水淹 线以上，否则应予以足够有效的保护。 3.8.5 内部飞射物可能由诸如汽轮机之类的旋转部件的故障或承 压部件的故障产生。对于可能的汽轮机飞射物，除非能证明潜在的飞 射物不可能引起对安全重要构筑物、系统和部件的重大毁坏，否则应 该考虑其可能的飞行路线， 并且反映在汽轮机与安全级构筑物的相对 方位上。类似地，对于安全级构筑物中的高能部件，应该尽可能限制 其位置。 3.8.6 当相关的重物跌落可能导致核动
31、力厂内或厂外辐射照射 时，或者可能引起安全重要系统损坏时，设计时应该考虑其提升传动 装置的故障。 3.9 与适用规范、标准和导则的一致性 3.9.1 为保证核动力厂的安全，构筑物、系统和部件的设计应该 考虑其安全相关的重要性。对安全重要的构筑物、系统和部件，应该 根据其执行安全功能的重要性相对应的设计要求进行设计。构筑物、 系统和部件的安全级别提供了确定其设计采用规范和标准的基础。 3.9.2 一般说来，设计所遵循的规范和标准的清单由营运单位以 用户要求的形式给出，或者直接由国家核安全监管部门给出。但是， 应对这些规范和标准进行审查和分析， 以便依据现有知识和技术评价 其对安全重要构筑物、系统
32、和部件设计的适用性、恰当性和充分性。 如果某些规范和标准不足以保证构筑物、 系统和部件执行重要安全功183.10 载荷和载荷组合 3.10.1 安全级的构筑物和部件应该设计成能承受由运行状态 和设计基准事故（包括内部和外部灾害）引起的所有相关载荷。 3.10.2 安全评价的一个重要部分为： - 确定每项安全级构筑物或部件承受的相关载荷和载荷组合； - 为每个载荷及载荷组合确定预计的事件发生频率； - 评价安全级构筑物或部件在确定的载荷和载荷组合下的应力 和应变； - 在考虑了所有相关劣化（如蠕变、疲劳、老化）和其潜在的相 互作用后，评价在构筑物或部件中的单次和累加的损伤。 3.10.3 载荷和
33、载荷组合应该是完整的， 并且应与安全分析中的 假定相一致。应该依据合适的历史记录、运行经验、用户要求和厂址 特征对核动力厂运行寿期内事件预期频率和预期瞬态发生的总次数 进行评价。 3.10.4 除所有相关物理量外， 应力和应变的评价还应该考虑到 每项载荷、每项载荷组合和适当的边界条件导致的环境条件。验收准 则应该充分反映防止为减轻与假设载荷相关的灾害后果所需要的构 筑物或部件发生继发性失效。 193.11 材料的选择 3.11.1 材料应该满足设计和制造的标准和要求。 确定材料的设 计寿命应该考虑运行条件（如辐射环境和化学环境、一次或周期性的 载荷） 的影响。 此外， 还应考虑设计基准事故对其
34、特性和性能的影响。 3.11.2 材料的适当性应基于试验， 所有的试验结果均应该形成 文件。 3.11.3 与放射性流体接触的材料应该具备抗御相关腐蚀机制 的耐腐蚀性，并且在运行环境中耐化学反应。应该尽可能地避免碳钢 和放射性物质接触。如果聚合材料用于包容放射性流体的系统中，该 材料应具有耐辐照性能。 3.11.4 不锈钢或镍合金、 与反应堆冷却剂接触的蒸汽发生器传 热管、 主管道材料及包壳材料应该具备足够的耐腐蚀性。 低熔点元素， 如铅、锑、镉、铟、汞、锌、铋、锡等及其合金不应该进入反应堆一 回路冷却剂系统或二回路系统， 以防接触由不锈钢或镍合金制造的的 部件。应防止含有低熔点元素的轴承合金
35、污染给水系统。为了减少运 行辐射照射剂量，在与反应堆冷却剂接触的材料中，应尽可能限制钴 的含量，当例外地使用钴合金时，应该给出其使用的恰当性。同时， 还应该评价与冷却剂接触的材料中的镍向反应堆冷却剂的释放。 3.11.5 应通过设计来控制与不锈钢部件接触的材料 （如管道保 温层）中的卤素成分，以保证避免出现晶间应力腐蚀开裂。 3.11.6 对于反应堆冷却剂压力边界的铁素体材料， 其在高温高 压下的抗裂纹快速扩展的能力和抗疲劳的能力应该得到证实。 所有的203.11.7 应该特别注意所用材料与水化学特性的相容性， 以减弱 腐蚀现象的发生。对于所有会受湿蒸汽或者强腐蚀性流体影响的设 备，应该使用耐
36、腐蚀和侵蚀的材料。可使用含铬（Cr0.5%）的低合 金钢。 3.11.8 应该选择在使用中副作用 （如在停运时对工作人员造成 的剂量、在发生事故时堵塞地坑）最小的保温材料。对于所选择的保 温材料， 应该对其由于事故中喷射力产生的碎片堵塞地坑的行为进行 试验。 3.11.9 选择辐射环境中使用的材料时， 应该考虑辐照对材料特 性的影响。例如，光纤维受到中子辐照时可能会损坏，这会对所有使 用此类光缆的系统（如基于计算机的控制和保护系统）执行安全功能 产生不利影响。 3.11.10 由于服役期间的辐照活化作用， 在辐照环境中所用材料 的选择会对核动力厂退役产生重要影响。 在核动力厂的设计阶段应该 予
37、以评价。 3.12 单一故障评价和多重性/独立性 3.12.1 核动力厂设计安全规定中所述的单一故障准则的应用， 即使假设安全组合 1 中任何一个部件单一故障， 保证设计基准范围内的1安全组合定义为“用于完成某一特定假设始发事件下所必需的各种动作的设备组合，其使命是防止预计 运行事件和设计基准事故的后果超过设计基准中的规定限值。 ” 21假设始发事件发生后所要求的安全功能仍然可以执行，并且设计基准 中规定的限值均不会被超过。 3.12.2 单一故障准则的应用中， 应该识别出作为假设始发事件后 果可能发生的任何一个故障， 并且该故障应该包括在单一故障分析的 起点中。 3.12.3 针对核动力厂所
38、确定的每个假设始发事件， 应该确定完成 所需要的一组安全功能的安全组合。 单一故障分析应该鉴别安全组合 中各部件（包括其必需的支持系统）所有可能的故障模式。此外，应 该鉴别单一故障后果可能引起的所有故障， 并且应该与单一故障一起 包括在分析中。 这类故障还应包括由于支持系统 （如电源或冷却水等） 故障而导致的部件故障。但是，在单一故障分析中不考虑同时发生一 个以上的随机故障。 3.12.4 应该在最薄弱的安全组合配置中应用单一故障准则。 特别 是，核动力厂运行中允许设备停役相当长的一段时间以便进行维护、 试验、检查或维修，并同时要求安全组合仍然具备可用性，在此情况 下应该假定在核动力厂操作规程
39、或技术规格书允许的设备最长停役 时间时发生单一故障。尽管如此，正如核动力厂设计安全规定 5.3.2.5所述，对于规定的有限停役期间，不符合单一故障准则可能证 明是适当的。对于所有这类情况，应该结合得出的允许停役时间，说 明其合理性（见核动力厂设计安全规定5.3.5） 。 3.12.5 单一故障分析中应该考虑的故障一般包括能动部件的故 障（阀门按要求开启或关闭的故障以及水泵启动和运转的故障）和故223.12.6 单一故障分析不需要考虑发生频率很低的假设始发事件， 也不需要考虑极不可能发生的假设始发事件的后果。 3.12.7 核动力厂设计安全规定规定，下述安全功能应根据单 一故障假设由核动力厂相关
40、系统执行： - 快速停堆； - 排出堆芯余热； - 应急堆芯冷却； - 安全壳隔离； - 安全壳的排热； - 安全壳的大气控制和净化。 3.12.8 实践中，为了得到足够高的可靠性或由于运行原因，可以 提供比单一故障准则更高水平的多重性，如：在要求安全组合有效 的同时，允许停役某些服役的设备进行维护和修理；允许进行监督 试验；或减少在核动力厂布置中的问题。这意味着假设始发事件本233.13 多样性 3.13.1 使用相似部件构成多重性的安全系统的可靠性将受到 共因故障的制约，因为共因故障会导致一定数量的多重部件同时故 障。为避免此缺陷，可以采用多样性来提高可靠性。 3.13.2 实施的设计方案
41、可以提供不同的多样性水平。 如果多样 的系统以不同的物理方式和使用不同类型的设备执行同样的安全功 能时，该系统就具有较高的多样性。例如停堆，多样性的系统既可是 固体中子吸收体插入堆芯， 又可以是向一回路冷却剂注入中子吸收剂 溶液。但是，如果使用不同类型部件的多样性系统执行同样的安全功 能，该系统的多样性水平就较低。例如，一个应急给水系统，在系统 不同部分的泵和阀门仅具有不同的型号，或由不同的制造商供货。 3.13.3 当系统需要非常高的可靠性时， 应该使用多种方法来执 行其安全功能。 多样性的水平应该和执行安全功能手段所要求的可靠 性相匹配。 3.13.4 安全系统内使用多样性时， 应该证实其
42、与所要求的系统 可靠性相一致。为此，潜在的共同弱点（如共因故障）应该充分说明。243.13.5 应该认识到， 多样性措施会增加核动力厂的复杂性和费 用，并在其运行和维修中带来困难和额外费用。这应该在设计过程中 说明， 并且应在安全系统可靠性的得益与由此导致附加的复杂性之间 求得平衡。 3.14 安全重要物项的在役试验、维护、修理、检查和监测 3.14.1 除下一节提到的构筑物、系统和部件外，其他安全重要 构筑物、 系统和部件的设计均应该能在核动力厂寿期内对完整性和功 能的能力进行定期试验、维护、修理、检查或监测。试验、维护、修 理、检查或监测的周期取决于物项的属性，可以从几天到几年不等。 核动
43、力厂带负荷运行期间维护得越频繁， 其停役期间所需要的维护就 越少。核动力厂的设计应该使得这些活动能按标准执行，这些标准与 各系统所执行的安全功能的重要性相匹配， 并且对厂区人员没有不适 当的辐射照射。 3.14.2 如果安全重要的构筑物、 系统和部件不能设计成以合乎 要求的范围进行试验、检查或监测，则应该对可能尚未发现的故障采 取足够的安全预防措施。 3.14.3 设计单位应该编制专门的设计指南， 用以保证检查和试 验的可达性。在这方面，需要评价的关键问题包括：部件周围是否有 足够的可用空间； 通过减少一回路压力边界内的放射性物质的沉积或253.14.4 在无法实现可达性的情况下， 设计应能够
44、提供永久的导 轨和足够的空间， 以允许适当地放置检查设备并用远距离传动装置操 作。安全评价应该确定已考虑了这种可能性。 3.14.5 尽管在大多数情况下实施了上述措施有助于解决保持 运行剂量低的需要和进行定期试验和检查的需要之间的矛盾， 但在某 些复杂情形下， 应该运用在设计水平上的安全分析对二者的正确折衷 选择做精确研究。 3.15 设备鉴定 3.15.1 设备鉴定主要应用于事故工况时需要执行安全功能的安全 系统。 3.15.2 预计设备执行安全功能时的条件可能不同于其正常情况下 经受的条件，而且随着核动力厂的运行，其性能也会受到老化或工作 环境的影响。作为设计过程的一部分，应该确定设备预计
45、承受的环境 条件。各类事故中应该预期的环境条件包括温度、压力、辐射、振动 和湿度的极端情况以及喷射冲击等。 3.15.3 在整个核动力厂运行寿期内，设备所要求的功能能力应该 得到维持。在设计阶段，注意给出老化效应导致的共因故障。应该根 据恰当确定的环境条件、工艺条件、工作循环周期、维护安排、使用 寿命、型式试验安排、更换部件和更换间隔时间等在设计中考虑设备263.15.4 设备鉴定程序应该确认设备在其整个运行寿期内，经受在 需要其工作时可能存在的所有环境条件（动力学效应、温度、压力、 喷射冲击、辐射、湿度） ，仍然具备执行其安全功能的能力。这些环 境条件应该包括在其正常运行、 预计运行事件和事
46、故工况时预计的各 种变化。 如果设备遭遇外界自然事件并预计在该事件期间或在此后执 行其安全功能， 则鉴定大纲应规定重现由该自然现象施加在设备上的 条件。 3.15.5 鉴定大纲还应该包括能够由特殊运行工况（诸如定期安全 壳泄漏率试验）引起并合理预计的异常环境条件。在可能的条件下， 预计在严重事故中运行的设备应该通过试验、实验或工程分析，以合 理的可信度表明能够在严重事故工况下实现设计意图。 3.15.6 设备鉴定较好的方法是通过对其原型设备的试验来完成。 当然，这对于大型部件的振动以及设备的老化并不总是可行的。在这 些情况中，应该采用在相似条件下的设备性能外推、分析或者试验加 上分析作设备鉴定
47、。 3.16 老化和磨损机理 3.16.1 安全评价应该考虑到核动力厂的系统和部件会不同程 度地受到老化效应的影响。 某些老化效应是已知并可以采取措施加以 解决的；其他的老化效应，单凭经验不能预计，应使用合适的试验、 检查和监督大纲，以探测发生的可能性。在设计阶段应该拟定出一份 在核动力厂运行寿期内的完整的行动计划及为实施此计划制定的技273.16.2 设计应该考虑到在核动力厂整个寿期内堆芯快中子注 量作用引起的压力容器脆化。 其防护应该依赖于防止过度脆化的良好 设计、便利的脆化探测和可能的补救措施。由于尺寸和/或中子效应， 压水堆较之沸水堆受此影响更大。焊缝处更易于受脆化的影响，因为 焊接过
48、程引入杂质，而使得焊缝区域对中子照射特别敏感。焊缝区域 周围的热影响区域通常是微裂纹和残余应力累积的地方， 这使得该区 域对脆化效应更加敏感。 3.16.3 在燃料活性区的范围内应该尽可能避免出现焊缝。 3.16.4 应该适当考虑限制和监测容器脆化。 由于存在某些不确 定因素， 中子注量 （在核动力厂运行的整个寿期内中子注量率的累计） 应该保持低于某一水平，该水平保证容器具有足够的机械性能。应有 适当的监测大纲， 该大纲采用压力容器焊缝取样和处于具代表性条件 的中子注量测量装置进行监测。 另外一个主要的老化过程会影响到压 水反应堆的蒸汽发生器传热管。传热管的劣化有很多的原因，应该对 其进行监测
49、，以在传热管泄漏或故障前采取预防和补救措施，如改变 水质、维修和堵管。设计应通过足够的间隙、导轨和固定点便于对蒸 汽发生器进行监督、维修和拆换。 3.16.5 以下列出过去运行经验表明的其他可能的老化效应。 核 动力厂的设计应在设计阶段排除老化问题， 或者包含能及时探测到其 开始老化并采取适当纠正行动的方法： 28- 压力管反应堆内管道氢化和脆化，这些可能会导致管道的更 换； - 堆内构件的腐蚀、 振动和故障及其由适当监督措施进行探测的 可能性； - 堆芯接管及堆内构件裂纹； - 接管和管道中的热瞬态和压力瞬态； - 管道连接处的热交混； - 管系内的热分层和部件中的其他管道腐蚀， 这些应该可在定期 检查中探测并有合适的设计措施便于进行探测； - 电缆有机绝缘材料或通风装置密封材料的老化， 这些应该在设 计中得到考虑，以便允许对其进行探测并且可能更换。 3.17 人机接口和人因工程的运用 3.17.1 核动力厂的设计应该便于运行人员在核动力厂运行状 态和事故中工作和促进人的能力最佳发挥。 这应该通过认真关注核动 力厂的设计、操作规程的制定和所有运行人员的培训来实现。 3.17.2 在早期的设计开发阶段， 设计过程中应该系统地考虑人 为因素和人机接口，并且此考虑应该贯穿于整个设计过程。 3.
