美国三哩岛核电站事故分析与对策

美国三哩岛核电站事故分析与对策 马喆前言美国三哩岛核泄漏事故是核能史上第一起堆芯熔化事故，也是压水堆型核电站发生的一次最大事故。1979年3月28日，位于美国宾西法尼亚州的三哩岛核电站的2号堆，发生了核电史上第一次严重事故。这是由于水泵阀门信号灯故障和操作人员多次误操作所造成的。反应堆堆芯两次露出水面，使燃料元件破坏和大约三分之二的堆芯熔化。导致大量惰性气体和放射性碘与其他一些放射性核素进入了安全壳内。并且由于锆包壳和水发生化学反应，也产生许多氢气，但没有发生爆炸。因为安全壳的良好密封性和屏蔽作用，这次事故释放到环境中的放射性物质很少。根据监测调查，对周围80千米的200万居民所带来的总剂量仅为20人Sv（希沃特），不到这地区居民年本底辐射总剂量的（核设施建设运行之前该地区的辐射剂量水平）1%（这地区的年本底辐射总剂量2400人Sv），附近居民受到的最大个人剂量不到1毫希沃特，只与作一次X光胸部透视所受的剂量差不多。三里岛核电站值班的118名工作人员，无一伤亡，只有3人的受照剂量超过季度允许剂量水平。三哩岛核电站事故描述与分析事故经过简介1979年3月28日，美国都市爱迪生公司设在宾夕法尼亚州哈里斯堡城附近的三哩岛核电站二号动力堆发生了一次严重事故。事故是由一系列设备故障和操作失误引起的。当天凌晨4时，反应堆二回路（即用来产生蒸汽推动汽轮机的回路）给水泵发生故障，使蒸汽发生器中的供水量和蒸汽产生量迅速降低，热量带不走。本应立即投入备用供水系统，但两周前被操作人员违反操作规程给关闭了。于是，造成一回路（它将反应堆中的热量带出来在热交换器中传给二回路产生蒸汽）水的温度和压力升高。这时，一回路中的安全装置减压安全阀自动开启，把一回路中的高压高温水向排放箱排除，以降低堆内压力保证安全。在正常情况下，当堆内压力下降到正常值时，安全阀会自动关闭，但这次安全阀又恰好失灵，未能关闭，使大量水和中蒸汽不断排出，排放箱容纳不了，从而排放到反应堆大厅里（它在一个巨大的安全壳内）。这时，反应堆已自动停堆，堆芯自动冷却系统自动向堆内注水，以控制堆芯还在大量释放的热量。如果到此结束，尚不能形成放射性外溢的重大事故，但操作人员又进行了一次误操作，两次关闭紧急冷却系统共十五分钟，使堆内温度急剧上升，造成部分核燃料元件（内装二氧化铀，外有金属锆的包壳）损坏，从而造成了两个严重后果：第一，由于燃料元件破损，使大量放射性物质进入一回路的水中，通过未闭合的安全阀进入反应堆大厅，通过辅助设备排入周围大气。次日，在电站外3.2公里处测得放射性最大剂量为核工业人员允许剂量的十九倍，这一数值随时间而减弱。第二，由于堆芯温度过高，元件的包壳材料锆可能与冷却水发生化学反应产生大量氢，聚在堆和大厅的顶部。氢与氧混合在一起，随时可能发生爆炸，这将是灾难性的事故（后来业已证明氧不可能发生）。因此，美国政府极为重视，采取了各种可能的措施来防止发生爆炸，并做了在最坏的情况下撤退居民的准备。但最后控制了态势，没有发生爆炸，也没有人员的伤亡。造成事故发生的要点1、蒸汽发生器给水系统出现故障；2、反应堆冷却剂系统压力升高，稳压器卸压阀开启，反应堆停堆；稳压器卸压阀开启后未能关闭，反应堆冷却剂系统泄露；3、操作人员将稳压器卸压阀“（要求）开”指示灯误理解为稳压器卸压阀已关闭；4、对稳压器卸压阀卡开造成的稳压器水位上升现象，操作人员做了错误的判断：以为反应堆冷却剂系统已满水，但实际上反应堆冷却剂系统的1/2溶剂是空的；5、因担心反应堆冷却剂系统水实体运行，操作人员停运了高压安注系统。反应堆得不到冷却，堆芯过热；6、当操作人员意识到反应堆冷却剂系统发生了泄漏，立刻恢复了高压安注系统和主泵的运行；7、260的水涌入2760的堆芯，使堆芯燃料像玻璃一样破裂，堆芯坍塌。三哩岛核电站事故示意图事故后果1、 堆芯熔毁：堆芯47的燃料熔毁，约20t二氧化铀堆积在压力容器底部。2、 放射性释放：约2106Ci（1Ci=3.71010Bq）的惰性气体（氙-133）释放到环境，占燃料释放的放射性物质总量的2%。仅15Ci的碘-131释放到环境，剩余6.7107Ci的碘-131阻留在反应堆冷却剂系统，反应堆厂房和辅助厂房。由于反应堆厂房的屏蔽作用，大部分放射性物质没有泄漏出去。在80Km范围内，两百多万居民实际接收的辐射剂量平均每人约为1.510-2mSv，为居民允许照射剂量的百分之一。3、 应急响应：3月30日，宾夕法尼亚州州长发布撤离劝告，劝告离电站5英里范围内的孕妇和学龄儿童撤离，约4200人。实际上，由于担心放射性危害，在离电站15英里的范围内，有39%的公众撤离，约14.4万人。核电厂严重事故的定义核电厂严重事故severe accident of nuclear power plants指核电厂反应堆堆芯严重损坏，并有可能破坏安全壳的完整性，从而造成环境放射性污染及人身伤亡，产生巨大损失的事故。 现有核电厂基于纵深防御原则，设置了多道屏障及专设安全设施，采取了严格的质量管理和操纵员选拔培训制度，同时，核电厂选址也有严格要求，因而核电厂抵御外来灾害和内部事件的能力很强。只有在连续发生多重故障及操作失误，才会导致严重事故。 相对于只考虑单一故障为特征的核电厂设计基准事故，严重事故又称为超设计基准事故。严重事故的发生概率虽然低，但并不是不可能发生的。如果计算到1986年切尔诺贝利事故时为止，世界商用核电厂累积约4000堆年的运行历史，其间发生过两次严重事故(见三哩岛核电厂事故、切尔诺贝利核电厂事故)，发生概率达到510-4/(堆年)。这说明，单纯考虑设计基准事故，不考虑严重事故的防止和缓解，不足以确保工作人员、公众和环境的安全。因此，认真研究严重事故，采取对策来防止严重事故的发生和缓解严重事故的后果十分必要。严重事故的初因经研究分析发现，导致堆芯严重损坏的假设始发事件与核电厂的设计特征有十分密切的关系。归纳起来，共同的主要假设始发事件大致是：失水事故后失去应急堆芯冷却。失水事故后失去再循环。全厂断电后未能及时恢复供电。一回路与其他系统结合部的失水事故。蒸汽发生器传热管破裂后减压失败，失去公用水或失去设备冷却水。假设始发事件中如考虑外部事件，还应加上地震和火灾。假设始发事件分析表明，可能导致堆芯严重损坏的主要假设始发事件不很多，因此，便于进一步考虑设计改进或事故预防。三哩岛核事故的原因分析发生小的事故时没有引以为戒提高警惕早在三哩岛事故前18个月，即1977年9月24日，与三哩岛核电站同类型的戴维斯贝斯核电站就发生过类似的事情。当时，一个虚假信号导致了主给水隔离。辅助给水启动，主蒸汽隔离阀关闭。反应堆冷却剂系统压力上升，稳压器卸压阀开启。反应堆系统冷却剂系统温度上升，稳压器水位上升。手动停堆后反应堆冷却剂系统压力迅速下降，但是稳压器卸压阀没有关闭。高压安注启动。操纵员停止了安注。幸运的是，20分钟后操纵员识别出了故障，关闭了稳压器卸压阀前的电动隔离阀，恢复了安注。事件后，戴维斯贝斯核电站的反应堆供应商B&W公司(该公司在三哩岛事故后退出核电市场)的一名高级工程师在一份备忘录中措辞强烈地指责出：事件中操纵员错误地停止了高压安注系统。这种错误如果再次发生，将会导致严重的后果。因此必须尽快向操纵员发出清晰明确（避免错误停止高压安注系统）的指令。但遗憾的是，没有任何一个指令发出，13个月后，三哩岛事故发生了组织因素操纵员和值长是最有可能发现问题并将这些问题反应给核电站设计者和管理层的人。但是，他们没能在事故前发现这些问题。他们认为事故处置针对的是大问题。“既然大问题能应对，小问题也就能应对。”他们认为：如果非预期的事情发生了，操纵员凭借自己的知识和经验是能够临机处置的。规程无法涵盖每一种可能的时间组合，因此他们寄希望于操纵员的临机处置。所以操纵员在很多的情况下需要做出基于知识的判断。然而现在的人员绩效理论指出：基于知识做出的临机判断的错误概率是50%。例外运行（Operation by exception）思维模式。操纵员的心理（思维）模式拘泥于例外运行。该心理（思维）模式假定：系统设备处于正常运行、正常发挥功能的状态，除非仪表显示、报警、交接班信息提供了例外信息异常状况。运行人员仅对异常采取响应。在这种思维模式下，交接班时重要信息（辅助给水电动阀隔离关闭）的遗失导致了严重后果。操纵员培训中的缺陷。管理者能够知道非预期的事情发生，但他们指望操纵员能够临机处理。因此操纵员培训非常注重于系统理论、系统设计、系统安装以及系统相互作用方面的知识和细节。旨在以此丰富操纵员的知识和经验，使其在遇到非预期瞬态时能够正确地临机处理。因此没有将“紧急情况下操纵员要做什么”作为培训重点。规程针对大问题。设计者预期的大问题是反应堆冷却剂系统大破口事故（大LOCA）。事故的进程非常短，只有几分钟时间。对每一个预期的事故，他们都有详细的处理规程。针对反应堆冷却剂系统大破口事故，有几套独立的注水系统用于补偿冷却剂泄漏。核电站设计者相信，只要这些系统按照设计要求发挥作用，反应堆就不会毁坏。但是他们错了，因为在三哩岛事故出现的是“小问题”泄漏非常小。事故持续了数天。处置事故的方法。事故处理规程的编写是以时间导向为基础的。如果操纵员能够正确地识别故障，规程就会提供正确的处置方法。所有的事故培训都要求操纵员能正确地识别故障，然后正确地执行相关事故处理规程。但是他们错误地识别了故障，采取了错误的行动。设计上的自满没有提供观察堆芯基本参数的仪表。反应堆基本的安全原则是保持堆芯冷却。但是设计者没有提供监视堆芯温度的仪表。堆芯温度是通过压力容器出口的冷却剂温度推断得出的。但是这是以又冷却剂通过堆芯为前提的。如果断流，将无法知道堆芯实际的温度。没有提供可以发现堆芯异常的手段。如果堆芯温度超过堆芯压力对应的饱和温度，表明堆芯出现过热损坏。但设计没有提供可以显示堆芯出现沸腾工况的仪表，如堆芯过冷度仪表。没有提供重要参数的直接显示。主控盘台无辅助给水流量显示仪表。操纵员通过泵的运行和阀门的开启推断辅助给水进入蒸汽发生器。事故期间，因辅助给水隔离阀在关闭状态，辅助给水流量没有建立达8分钟。辅助给水隔离阀的状态信息在交接班时丢失了。设计上的缺陷专设安全系统。允许认为闭锁安注信号；安注信号不自动触发反应堆厂房（安全壳）隔离，导致放射性物质扩散到辅助厂房和大气环境。主控室的报警。主控室的控制盘台上方的报警指示超过1300个。这些报警无优先级规定，颜色编码无逻辑性。每一个报警都通过一个刺耳的高音喇叭发出声音。新报警一出现，喇叭就发出一次高音。事故开始前的14分钟，有超过800个报警出现。计算机。当报警出现后，计算机对报警进行排序。计算机终端是一台孔氏打印机，经常卡纸。打印机每分钟打印不超过6行文字。而事故开始后的一分钟就有超过100行的报警信息。朦胧的感觉不知道现场设备的现场状况。看不到现场的设备；听不到现场的设备；对现场的设备没有真实感觉。（注：一套辅助监视系统如工业电视系统，可以帮助操纵员看到、听到重要设备的现场状况。）严重事故的研究与对策开展严重事故研究最早的国家为美国。1975年WASH一1400报告首次将概率安全分析技术应用到核电厂，对几座典型美国核电厂做了第一次全面的分析，提供了以事件发生频率为依据的事故分类方法，并建立了安全壳失效模式和放射性物质释出模式。WASH一1400报告首次指出，核电厂风险主要并非来自设计基准事故，而是堆芯熔化事故。1979年美国的三哩岛事故是一次严重事故，它引起了世界核能界的震惊。这一事件无可质疑地肯定了WASH一1400报告的价值。从此以后，美国的严重事故研究进入了全面深入开展的时期。1986年4月乌克兰切尔诺贝利核电厂事故后，严重事故研究工作进一步获得加速与推进。在美国，作为三哩岛事故响应的“未解决的安全课题”和“三哩岛行动计划”及从1983年开始执行的严重事故的研究计划(severe accident research Program，SARP)，将核安全研究范围拓宽到事故概率、物理过程、事故处理、安全壳分析、裂变产物与源项、燃料元件行为、人因工程、事故后果与对策、法规与标准等十分广泛的领域。其结果形成了一系列管理法规修订和政策声明，并在对事故机理了解的基础上，形成了一系列配套的分析程序包。 三哩岛事故之后，其他核电发达国家也相应地展开了严重事故的机理和处理研究，然而规模和课题广度均不及美国。其中法国特别着重于事故对策，并开发出H及U系列规程和配套的专用设备。德国的研究侧重于安全壳的完整性保障。日本、英国等则侧重确保核电厂系统的运行可靠性。至今，个别国家(如芬兰、瑞士)已将严重事故以法规或提供导则的方式纳入核安全监管的要求，提出对核电厂设计的修改或规程的变更。有些国家(如法国、意大利、荷兰)已确定可接受的安全水平的安全目标，也有些国家(如加拿大)以适当扩展设计基准的方式来考虑严重事故。为了进一步提高核电的安全性、经济性，使公众能够接受，美国和欧洲国家的厂方、核安全部门及设计者分别研制出电力公司要求文件(URD)及欧洲电力公司要求(EUR)，提出新一代核电厂的设计要求，日本及韩国也在上述两种文件的基础上提出了日本电力公司要求文件(J URD)及韩国电力公司要求文件(KURD)。这些文件建立了先进轻水反应堆的技术基础。对于现有的核电厂，国际上认为：它们的安全设计有很高的安全程度和保守程度，常常可以经受超设计基准事故。纵深防御的安全原则对于严重事故的早期预防和事故后果缓解也是有效的。但是，由于安全设计主要考虑设计基准事故，有可能在应付严重事故方面存在着某些薄弱环节。为此，对现有的核电厂应做出各类严重事故序列分析，从分析中找出安全设计中的薄弱环节。解决的办法是:硬件方面不作大的改动，而是努力完善运行规程以及与之配套的控制室布局调整，进一步强化操纵员的选拔与培训，尽量提高运行水平，从而达到预防严重事故发生的目的。这种对策已广泛为各国所接受，相应的研究重点为安全参数显