核电厂设计安全要求文件作为IAEA安全标准体系中的重要组成部分，随着技术进步和IAEA安全标准体系的变化，历经两次升版，具体升版过程见表1。目前最新版本为SSR-2/1: Safety of Nuclear Power Plants: Design，已于2012年3月出版。

由表1可知IAEA中SSR-2/1与NS-R-1^[4]的出版时间相隔12年之久，在内容上有不少补充和修改。目前我国核电厂设计遵循的核安全法规《核动力厂设计安全规定》(HAF102—2004) ^[5]，其编制蓝本为NS-R-1。所以有必要深入研究SSR-2/1的升版内容，并对安全要求提高的各方面进行重点分析。

与NS-R-1相比，从形式上来说，SSR-2/1将安全管理、主要技术、核动力厂总体设计和核动力厂系统设计四方面的要求梳理成82个技术要求，更有条理性，便于使用。从内容上来说，SSR-2/1在安全要求方面的变化或差异分为下述三类：

1)措辞变化，要求不变。

2)要求放松。

3)要求提高。

本文重点研究要求提高的相关内容，并结合福岛核事故进行分析评价。

SSR-2/1提出切实消除大规模放射性释放，并给出了一个重要的目标：采取技术手段限制甚至排除采取厂外干预措施以减轻放射性后果的必要性。

尽管监管部门或许仍会要求采用厂外干预措施，但将核电厂设计成不需要厂外干预，IAEA在电厂设计安全目标上提出了更高的要求。

SSR-2/1中明确提出营运单位建立正式的体系，以确保电厂在整个寿期内的设计完整性和持续安全性。

电厂运行以后，在整个寿期内，需通过定期安全审查等方式，对最新升版的核安全法规文件进行电厂适用性评估，并进行设计基准复核，开展必要的设计改进，使电厂的安全性尽量满足最新的核安全法规要求。

发生核事故的福岛第一核电站建成于20世纪70年代，已运行40年左右。在40年运行期间，极端气象频现。尤其是2004年的印度洋大海啸对印度的核电站有不小影响。日本原子力安全保安院为此与东京电力公司和原子力安全基盘机构(JNES)等召开了共同会议。在会议中指出，福岛第一核电站在高达14 m的海啸来袭时，会发生机组进水、全厂断电等危机。东京电力公司在2008年也估算过发生15.7 m海啸时的可能影响，但考虑到此海啸发生的可能性较低，未采取相应对策。而福岛核事故的起因就是发生超设计基准的海啸。福岛第一核电站海啸设计基准水位为5.7 m，但实际发生的海啸水位是15 m左右，远远超过其设计基准^[6]。福岛第一核电站虽然在寿期内对海啸外部事件开展了复核，但没有充分认识到电站的海啸设计基准偏低这个问题，造成悲剧的发生。

SSR-2/1中要求在所有电厂状态下均须确保实现核电厂的以下基本功能：

1)反应性控制。

2)从反应堆和燃料贮存池排热。

3)放射性物质包容，屏蔽辐射和控制计划放射性释放，以及限制事故放射性释放。

SSR-2/1将燃料贮存池排热纳入3项基本安全功能，相对于之前主要关注堆芯安全，对乏燃料池的排热能力提出了更高的安全要求。

在SSR-2/1中，核电厂状态分类发生改变，使用设计扩展工况替代超设计基准事故，具体状态分类见图1。设计扩展工况是指比设计基准事故严重的事故，包括严重事故。设计扩展工况的主要技术目标是：核电厂能够尽可能合理可行地防止或缓解设计基准事故中没有涉及的那些事故。用于设计扩展工况的安全措施可使用最佳估计法分析其有效性。

图  1  SSR-2/1核电厂状态分类

Figure 1.  Plant States of SSR-2/1

另外，SSR-2/1对上述安全设施提出具体要求：

1)可行的情况下，应与用于应对发生频率更高的事故的措施相独立。

2)应保证在扩展设计工况中的环境条件下，包括扩展设计工况属于严重事故的工况下能够实现其安全功能。

3)应具备与它自身要实现的安全功能相一致的可靠性。

福岛第一核电站没有针对日本海啸频发这个外部事件进行专门设计，将应急柴油发电机布置在汽轮机厂房地下一层，导致超设计基准的地震引发的海啸淹没了应急动力供应系统，造成应急交流电源丧失^[7]，发生全厂断电事故。另外，福岛第一核电站的直流电源系统中的电池室和开关没有用密封隔间保护，也没有设置在更高的位置上以防水淹。洪水摧毁了直流电源系统，造成监测重要安全参数的设备失效^[8]。操纵员无法从控制室监测反应堆状态和安全壳状态，不能为场内和场外响应提供关键信息。由于缺乏应对所有交流电源和直流电源丧失的程序，操纵员和应急响应中心的工作人员只能重新审查可用方案以及确定恢复电力的可能途径，评估重新获得监测及控制电站的能力。因为无法及时采取有效的事故缓解措施，堆芯热量无法及时排出，进一步造成堆熔和安全壳失效、大量放射性物质释放的后果。福岛核事故充分说明了保证严重事故时安全设施可用性和可靠性的重要性。

SSR-2/1明确要求外部危害时电厂短期内不能依赖厂外服务设施(如电源和消防设施)的可用性。设计应适当考虑场址特定条件，以确定厂外服务最迟需要到位的最大延迟时间。

福岛第一核电站附近发生9.0级地震后，给该地区的基础设施造成了重大破坏，电厂丧失全部场外电源，并且道路损毁严重。如上文所述，由海啸引发的洪水淹没了应急供电系统，造成全厂断电。全厂断电之后一个小时，场外移动电源设备(低压和高压供电车)被派往福岛第一核电站，但在全厂断电近六小时后才抵达电站。由于场内没有应急电源、应急水源和其支持系统的备用设施(如移动电源，压缩空气和供水)，堆芯热量无法排出，最终引发了严重事故直至放射性物质大规模释放。

IAEA最新要求的重要性在福岛核事故中得到了充分的体现。通过提供场内移动电源车和消防车等设施，作为备用电源和水源，来缓解地震造成的厂内和厂外电源同时丧失，以及补给水源不足等情况。并且在设计时保证上述安全服务设施可以抵抗地震、洪水等外部事件，其放置的地点和位置足够安全，以保证其可用性。在需要时，可以通过严重事故管理措施及时使用上述备用品^[9]。在厂外服务到位的最大延迟时间内，可以确保核电厂的安全。

SSR-2/1新增了“对于多机组电厂场址，设计必须适当考虑到特定危害导致对场址上的若干机组同时造成影响的可能”的要求。

福岛第一核电站共六台机组。地震和海啸引发多台机组应急电源丧失，同时进入事故工况。在事故缓解过程中，由于3号机组反应堆厂房上部的爆炸，1号机组注入海水的准备设施被破坏，正在进行的向3号机组反应堆注入海水的措施也不得不停止。另外，2号机组也由于此次爆炸丧失了安全壳通风能力。3号机组的爆炸严重阻碍了1号机组、2号机组和3号机组的事故缓解进程。因而，应制定多个机组同时进入事故状态的应急措施和预案，防止多台机组在事故缓解过程中彼此影响。

IAEA出版的SSR-2/1《核电厂安全：设计》(Safety of Nuclear Power Plants: Design)与前一版本NS-R-1(2000年)相比，设计安全要求提高的部分主要有6个方面。

1)核电厂设计安全。尽管监管部门要求不能取消厂外干预措施，但IAEA要求将核电厂设计成不需要厂外干预，在电厂设计安全目标上提出了更高的要求。

2)寿期内的电厂设计完整性和持续安全性。结合福岛核事故的经验反馈，应在整个寿期内，通过定期安全审查等方式，对最新升版的核安全法规文件进行电厂适用性评估，并进行设计基准复核，开展必要的设计改进，使电厂的安全性尽量满足最新的核安全法规要求。

3)基本安全功能增加乏池排热功能。IAEA将燃料贮存池排热纳入3项基本安全功能，相对于之前主要关注堆芯安全，对乏燃料池的排热能力提出了更高的安全要求。

4)设计扩展工况与严重事故。使用设计扩展工况替代超设计基准事故，用于设计扩展工况的安全措施可使用最佳估计法分析其有效性。并对安全设施提出独立性、可用性和可靠性的要求。结合福岛核事故的经验反馈，因为海啸和洪水造成应急交流电源和直流电源相继丧失，堆芯热量无法及时排出，而且操纵员无法从控制室监测反应堆状态和安全壳状态并及时采取有效的事故缓解措施，进一步造成堆熔和安全壳失效、大量放射性物质释放的后果。福岛核事故充分说明了保证严重事故时安全设施可用性和可靠性的重要性。

5)场外服务最大延长时间。IAEA要求外部危害时电厂短期内不能依赖厂外服务设施。此要求的重要性在福岛核事故中得到了充分的体现。通过提供场内移动电源车和消防车等设施，作为备用电源和水源，来缓解地震造成的厂内和厂外电源同时丧失，以及补给水源不足等情况。并且在设计时保证上述安全服务设施可以抵抗地震、洪水等外部事件，其放置的地点和位置足够安全，以保证其可用性。在需要时，可以通过严重事故管理措施及时使用上述备用品。在厂外服务到位的最大延迟时间内，确保核电厂的安全。

6)场址上的若干机组同时发生事故。IAEA要求设计时必须适当考虑到特定危害导致多机组场址上的若干机组同时造成影响的可能性。结合福岛核事故经验反馈，设计时要考虑地震、洪水等外部事件多个机组发生共因故障，同时进入事故状态的情况，制定相应的应急措施和预案，防止多台机组在事故缓解过程中彼此影响。

SSR-2/1作为IAEA发布的、国际权威的、先进的核电厂设计安全要求文件，其对安全要求提高的方面，对指导我国核电厂的安全设计，提升我国自主知识产权的核电机组安全水平，进一步促进我国核电出口，具有重要的意义。