核电厂人因及组织行政管理安全审查体系（优选4篇）

核电厂人因及组织行政管理安全审查体系

摘要 定期安全审查（psr）是国际原子能机构（iaea）近年推广的一种新的核电厂安全审查方式，它强调系统性、全面性和关键性。人因安全因素（hf）、组织机构和行政管理安全因素（oa）是psr的重要组成部分，也是psr中审查难度较大的部分之一。其难点主要在于如何用有限的评审指标去刻画出最能表征人因、oa对核电厂安全运行最具影响的特征因子，建立起科学的、系统化的审查体系，且该体系还需具有较强的可操作性。基于上述认识，笔者建立了核电厂人因及组织行政管理安全审查体系，它包含安全目标与方针、人员配备与资格、组织机构与管理、配置控制、培训、职业健康、运行经验反馈、质量保证、人机接口、遵章守法等10类19个要素。同时介绍了其评审指标、审查内容、审查方法和程序等。该体系已应用于秦山核电厂。

关键词 人因 组织与管理 安全评审 核电厂

1、引言

20世纪50年代世界第一座商用核电厂投入运行以来，对核电厂安全的审查与监督便受到各核电站国家的高度重视。三里岛核电站事故和切尔诺贝利核电站事故之后，这种重视更是不断升级。各国的核管理当局和国际原子能机构（iaea）以及较晚（1989年）成立的世界核营运者协会（wano）分别建立了各种各样的常规和专门的安全审查制度，对世界核安全水平的提高促进极大。但同时实践和经验也表明，上述的各类审查一般不是综合性的，且较少考虑安全标准和运行实践的改善、核电厂老化的累积效应、运行经验反馈以及科学技术的发展。因此，为了全面了解核电厂的实际安全状况，确定必要的调整与改造，以使核电厂保持高度的安全性，iaea于20世纪末期推出了一种新的核电厂安全审查方式：定期安全审查（psr:periodic safety review）。psr是对核电厂安全状况的系统化全面审查，但它不是对常规审查和专门审查的替代而仅是其补充。对一个核电厂而言，自其运行开始，psr每十年进行一次，直至退役。iaea对psr提出的目标为：借助于对运行核电厂的综合性评价，按照当前安全标准和实践判断核电厂是否安全，是否有足够的措施以保证核电厂安全运行至下一个psr。目前psr的体系虽几经讨论但尚未最终定型。

我国国家核安全局于1999年也提出了psr的初稿，其将psr所涉及的得要安全方面划分为11个安全因素，如图1所示。

图1 psr体系及人因、组织和行政管理审查要素框图

国家核安全局要求秦山核电厂在国内开展首次psr，并对psr体系进行相关研究。应秦山核电厂的邀请，由南华大学、苏州热工研究所，中国核工业集团公司、国家核安全中心的教授、专家组成的项目组承担了人因、组织机构和行政管理两个安全因素的审查工作。

2 人因及组织行政管理安全审查的重要性与目的

2.1 审查的重要性

三里岛和切尔诺贝利核事故之后，人们已深刻认识到人的因素和组织管理对核电站安全运行的重要性。进一步的研究与实践表明，随着科技进步，系统设备（硬件和软件）可靠性不断提高，运行环境逐步改善。但作为核电厂人-机系统极其重要的一方的人，一方面，由于其生理、心理、社会、精神等特性，既存在一些内在弱点，使其行为具有多样性和可塑性以及难以控制性，另一方面，尽管系统的自动化程度提高了，但归根结底还要由人来控制操作，要由人来设计、制造、组织、管理、维修、训练，要由人来决策，因而人在系统中的作用不是削弱了，而是更加重要和突出了。人因贯穿于核电厂整个寿命周期，它影响着核电厂安全的各个方面，正如iaea在《安全文化》（75-insag-4）中所指出的那样：“除了人们往往称之为‘上帝的旨意’以外，核电厂发生的任何问题在某种程度上都来源于人因失误（human error）。然而人的才智在查出和消除潜在问题方面是十分有效的，这一点对安全有着积极影响”。因此，人因是psr必须评审的重要安全因素，人因安全因素（以下简称hf）评审是psr的重要组成部分。

在核电厂中，人是组织的成员，人的行为受到组织管理的支配；核电厂所有安全相关活动均是在电厂的组织管理机构控制下实施的。因此，组织机构和行政管理安全因素（organization and administration，下称oa）审查也是psr的重要组成部分。

2.2 审查的目的

对hf审查的目的是确定可能影响核电厂安全运行的各种人因要素的状态。

对oa审查的目的是确定电厂的组织和管理对电厂安全运行是否适宜。

3 审查的难点与策略

3.1 审查的难点

对核电厂人因及组织行政管理安全的综合评审是一项复杂任务，也是一项难度极大的任务。主要困难起源于人因的多样性、复杂性造成人因因素具有无限维特征与有限维评审指标之间的矛盾。必须通过反复的调研，充分利用系统科学和系统工程的理论与技术，辨识出最能表征人因、组织机构及行政管理因素对核电厂运行安全最具影响的特征因子，然后用有限的指标去刻画它，建立科学的、系统化的、具有可操作性的审性体系。

3.2 审查的策略

应用当前的安全标准对人因及组织行政管理因素进行审查，判断其是否符合现行的安全标准；如果符合，就总结其良好实践，肯定强项；如果存在不符合之处，则要进一步判断它是否会带来不可接受的风险，进而参考国际良好实践，提出相应的纠正行动建议。

4 审查内容

通过对人及组织行政管理安全因素的结构特征分析，考虑到要素间的相关性和交叉性，应用层次分析原理，笔者把oa划分为10类（见图1）。这10类因素中一共包含的19个要素和审查内容如下：

第ⅰ类：安全目标与方针

（1）确立运行目标和安全目标的机制：

①以目标为导向的运行管理机制；

②与工业界良好实践比较需要改进之处。

（2）安全优于生产的方针及其实施情况：

①制定电厂安全政策的运作机制；

②电厂安全政策的宣传与贯彻情况。

第ⅱ类：人员配备与资格

（3）维持核电厂运行的人员配备状况：

①有关人员配备的明文规定；

②各类人员配备现状；

③有关缺勤、倒班和加班限制的明文规定及执行情况。

（4）合格在岗人员可用情况：

①有关的明文规定；

②实际状态。

（5）人员选拔方法：

①有关人员招聘的明文规定（包含制度、选拔程序、评价方法等）及执行情况；

②有关人员上岗的明文规定（包含制度、选拔程序、评价方法等）及执行情况；

③有关人员在岗的明文规定及执行情况；

④有关人员提升、换岗的明文规定及执行情况；

⑤人员选拔所用方法（如知识、技能、适应性测试，专业性测试等）的科学性、可靠

性。

（6）各类员工的能力要求：

①电厂对运行、维修、技术和管理人员的资格要求和能力要求；

②现状。

（7）外聘人员的明文规定：

电厂对外聘人员的政策；

政策执行情况。

第ⅲ类：组织机构与管理

（8）组织机构与职责：

电厂组织机构；

内部接口；

每个岗位的职责和权限；

与外部支持组织、中核集团、国家核安全局的接口。

第ⅳ类：配置控制

（9）维持核电厂配置的机制及其文件：

维持的组织机构与管理；

变更控制状况；

文件控制状况；

维持的自我评价的有效性。

第ⅴ类：培训

（10）人员培训设施及组织管理：

培训的组织机构和管理；

培训设施（包括教员、软硬件）；

培训程度；

培训的实施及其成效。

（11）初次、再次和升级培训大纲：

初次、再次和升级培训大纲；

执行情况；

模拟机培训情况（包含其在培训中的比重和作用）。

（12）安全文化培训：

明文规定；

培训计划与内容；

培训实施情况；

应用情况。

第ⅵ类：职业健康

（13）职业健康导则：

电厂职业健康导则；

执行情况。

第ⅶ类：运行经验反馈

（14）运行经验反馈程度；

经验反馈组织机构和管理；

内部运行经验反馈程度；

内部运行经验反馈有效性。

（15）人误方面的运行经验反馈程度：

人因经验反馈程度；

人因经验反馈有效性。

第ⅷ类：质量保证

（16）质保大纲及定期质保监查：

质保大纲编审状况；

质保大纲执行状况；

质保部门监督有效性。

（17）质量保证记录制度：

记录机制的建立及其有效性评价；

记录内容的全面性、可检索性、可监查性评价。

第ⅸ类：人-机接口

（18）人-机接口：

控制室人-机界面评价与改进；

各人-机界面人员信息需求分析与评价；

各人-机界面人员工作负荷分析与评价。

第ⅹ类：遵章守法

（19）符合核安全部门要求：

国家核安全法规、导则；

技术规格书；

国家核安全局专项检查、评审要求。

5 审查要素的业绩目标和审查判据

依据psr“符合性审查”的本质与特征，以现行的国家核安全标准为主，同时参考国际标准及国际先进核电厂良好实践，建立了各审查要素的业绩目标和审查判据系统。

6 审查方法与程度

6.1 审查方法

针对人因安全要素、oa的基本特征，主要采用wano peer review的审查方法，对19个安全要素按类分别进行审查，并且与所确定的安全标准和良好实践相比较；对每一个要素的状态作出评价，找出审查范围内所有安全重要的强项与弱项；同时，还从整体上对hf和oa进行系统的综合性审查，充分考虑各要素

间的相互作用与影响，指出每一个弱项导致或可能导致的不良后果，得出产生每一个弱项的根本原因及相应的纠正措施建议。

6.2 审查工作程度

秦山核电厂人因oa审查的工作程度如图2所示。

图2 秦山核电厂因及组织行政管理安全审查工作程度

7 结束语

hf和oa是psr的重要组成部分，也是psr中评审难度最大的部分之一。难点主要是在于如何用有限的评审指标去刻画出最能表征人因、组织机构及行政管理因素对核电厂系统安全最具影响的特征因子，同时要使所建立的评审体系和程度具有较好的可操作性。笔者正是从这两方面作出了尝试，建立的审查体系已通过国家核安全局评审，秦山核电厂已采用该体系对人因及组织行政管理安全进行了审查。实践表明，该体系是成功的，能够满足我国核电厂psr的需求，同时能与国际同行接轨。

核电厂人因及组织行政管理安全审查体系：核电厂安全壳内仪表与控制电缆的老化管理经验

随着核电厂数量的增加及运行时间的延长，核电厂设备的老化效应越来越引起人们的关注，如何对核电厂的老化实施有效管理、确保在役核电厂的安全性和可靠性，引起了国际原子能机构(iaea)和世界核电大国的严重关注，并已开展了广泛的工作。作为核电厂安全重要部件之一，安全壳内仪表与控制电缆的老化评估与管理也得到了深入的研究，取得了较多的研究成果。iaea和国际主要核能机构已发表了不少专题报告[1]-[4]。

我国的秦山、大亚湾核电厂投入运行已有10多年的历史，虽然运行时间不是很长，但已面临安全壳内仪控电缆的老化问题，随着服役时间的增加，这一问题会更加突出。目前，国内还没有对安全壳内仪控电缆老化评估及寿命管理的系统研究，笔者在相关文献资料的基础上，介绍核电厂安全壳内仪控电缆老化管理的内容，以期对开展这项工作有所帮助。

1 仪控电缆及其使用环境

核电厂包含了成千上万公里不同型号及规格的电缆，这些电缆构成了中压动力回路、低压动力回路、控制回路、仪表回路、接地回路等，表1为双机组核电厂各种回路的分布情况[3]

从表中可见，仪表及控制电缆回路占据了所有电缆回路的4/5以上。所以，将仪控电缆，特别是

将环境条件恶劣的安全壳内仪控电缆作为研究的对象具有典型意义。

1.1 仪控电缆的用途及组成

仪表电缆是一种低压、低容量的电缆，连接各种各样的变送器、传感器，传输数字或模拟信号；控制电缆也是低压、低容量的，应用于控制开关、泵、阀门等的操作机构、继电器和接触器的控制回路。

构成仪控电缆的主要部分有：导体、绝缘材料、屏蔽、护套、多芯导体间的填充物、外部包扎带。所谓电缆的老化，指的是电缆结构中有机材料的老化。虽然填充物和外部包扎带也是有机物，但对电缆老化的影响并不大，因此，研究的重点是针对绝缘材料和护套。

电缆所使用的绝缘体和护套的组成是由一些添加剂和填料合成的聚合材料，在核电厂中，仪控回路使用乙烯基、丙烯基合成的橡胶，玻璃纤维，以及以氯磺化聚乙烯、聚乙亚胺等为绝缘材料的电缆。

1.2 仪控电缆的工作环境

安全壳内部仪控电缆放置在不同的使用环境下，最重要的影响因素是自然环境，主要是有氧气存在时温度、湿度、核辐照的影响，温度、湿度、核辐照的值应从设计文件中取得。表2给出了安全壳内几处具有典型意义的温度值

在正常运行情况下，安全壳内不会受到湿度的影响。辐照的影响可从相关技术数据中获得，在40年时间内，正常运行情况下，安全壳内辐照的最大累计值为3脳107rad。安全壳内的仪控电缆一般不会受到震动的影响，除非有特殊要求，否则，不考虑由于震动引起的老化问题[5]。

2 电缆的老化机理

在现场环境下，电缆的绝缘和护套等聚合物材料随着时间的推移会发生各种缓慢的、不可逆的化学变化和物理变化，这些变化就是电缆的老化过程。从宏观上来看，表现为材料的延伸率降低，即材料的抗拉强度减弱；护套材料的硬度或抗压模量增大；材料的密度增加；电气性能改变(如介质损耗增加)。

电缆的老化机理可分为影响分子结构的化学老化机理和影响材料混合物成分的物理老化机理。

2.1 化学老化机理

(1)高分子链断裂：一个高分子链断裂为2个或多个新链，一般为烷氧基或过氧化根断链，导致物质性质的改变。

(2)交联反应：在2个相邻高分子间共价键的结构发生交联，使原先物质的有效成分减少。

(3)氧化反应：这是一种自由基的链式反应，在氧化反应开始阶段，在温度和辐照的影响下，由于共价键的断裂而产生反应性物质，即自由基，氧化反应既导致断链，又生成交联，这取决于氧化链式反应过程中各阶段的分子运动情况，它随着聚合物中添加剂的不同而不同。

(4)氧扩散控制过程：聚合材料中自由基的初速率大于溶解氧扩散的速率时，老化快慢由氧扩散来控制。

(5)协同效应：当各个环境因素的综合影响大于其各个单一影响之和时，会产生这种效应，如对聚合物而言，既受热，又受到辐照。

2.2 物理老化机理

(1)增塑剂蒸发：材料表面的增塑剂向周围的空气中挥发，其留下的空隙又被由材料的核心向表面扩散的增塑剂所填塞，这2种挥发和填塞的分子运动并存，强弱由温度所决定。

(2)增塑剂迁移：在使用增塑材料的多层电缆中，增塑剂在不同材料层间迁移，直到各层材料中的增塑剂达到均衡状态。

3 环境鉴定

为了保证电缆的设计裕度，必须采用环境鉴定的方法，通过加速老化试验，模拟电缆在运行寿期末经受设计基准事件，验证电缆可以保证其功能，从而证明电缆在服役期的可靠性能。许多国家环境鉴定依据的标准是ieee-323[6]、ieee-383[7]，前者是针对核电厂所有1e级设备的一个通用的标准，后者叙述了针对1e级电缆的试验方案。

核电厂人因及组织行政管理安全审查体系：大亚湾核电厂起重作业

一、前言

起重机械广泛地应用于核电厂的设备安装、检修及生产过程中。它具有机构复杂、吊运负荷变化大、专业技术性强、危险性较大、作业环境复杂、吊运的部分设备部件有放射性等特点。稍有不慎，就可能导致人身伤亡、设备损坏和人员超剂量照射、人体表面沾污等事故。

因此，核电厂的起重作业安全管理的好坏，对核电厂的安全业生产、经济效益均匀有很大的影响。

二、大亚湾核电厂起重作业安全管理

1、起重人员资质

起重工做为特种工之一，国家明确规定必须取得有关部门颁发的证书持证上岗。通常，国内大部分企业对大型起重机都配有专职司机，而一般的电动葫芦、小型起重机却由检修人员操作。这些人员的培训通常采取“师傅带徒弟”的办法，没有经过正规培训考核和取得相关的资质证书。电力生产企业由于减员增效的压力、对起重作业的风险意识不强及不愿在特种工安全培训上增加投入等原因，一般起重机专职司机少，且没有对所有起重机的操作人员进行持证上岗培训。这就违反了《起重机械安全规程》。

大亚湾核电厂规定“核电厂所有操作起重机的人员都必须得国家颁发的《特种设备作业人员证》（包括维修、操作、管理、监督人员）。已取证的专业起重人员（起重班起重工）可操作电厂所有起重机（反应堆厂房的环吊操作还须进行专门培训授权）。已取证的非专业起重人员（电厂设备检修人员）只能操作电厂电动葫芦等小型起重机和吊运500公斤以下的物品。否则由专业起重工吊运”。

手拉葫芦、锚头吊等手动起重设备，在操作人员资格上国家无强制要求，鉴于电力企业出过手拉葫芦、锚头吊事故及作为核电厂工作人员的基本技能要求，规定“操作人员必须经核电厂内部培训、考核（培训学时不得少于0.5天，以实操为主），经授权后才可以操作锚头吊、手拉葫芦，并且只能吊运2000公斤以下的物品。2000公斤以上物品的吊运，由专业起重人员负责”。

2、起重作业人员分工：

起重指挥、司索工、起重司机在起重作业中各自分工不明确、具体。在工作中常出现一人身兼多职，特别是在大件物品吊运时，出现过起重指挥脱岗去干司索工的工作。由于人手紧，精力分散而易诱发事故。

大亚湾核电厂以国家法规、标准为依据，结合核电厂起重作业实际情况，对起重作业中的起重指挥、起重司索工、起重司机（以上统称为起重工）各自的职责做出明确分工，使起重作业人员清楚自己在起重作业过程中该干什么，负什么责任。主要内容包括：

起重指挥主要负责：

-----被吊物重量、尺寸的确定和吊索具的选择

-----设置吊运警戒区

-----在整个吊运过程中跟随、监视被吊物前进，确保被吊物不刮（挂）碰设备

-----在开始指挥起吊负载时，用微动信号指挥，待负载离开地面100～200mm时，停止起升，进行试吊，确认安全可靠后，方可正常起升信号指挥上升。

起重司索工主要负责：

-----根据吊重物件的具体情况与起重指挥一起选择相适应的吊具与索具

-----作业前应对吊具与索具进检查

-----被吊物的绑扎、起升前检查连接点是否牢固可靠

-----在吊件与吊索的接触处加保护衬垫（必要时）

起重司机主要负责：

-----第一次吊物前应对制动器、吊钩、钢丝绳和安全装置进行检查

-----作业过程中严格遵守“十不吊”规定

-----工作完毕后，将吊钩升到接近上极限位置的高度，不准吊挂吊具、吊物等；小车停方在主梁远离大车滑触线的一端，不得置于跨中部位；大车应开到固定位置停放；所有控制器手柄应回零位，紧急开关扳转断路，拉下保护开关。

3、起重作业现场的安全管理

有些国内电力企业对一些大件物品和高风险的吊运作业无吊运方案，或吊运方案的内容不齐全，甚至个别方案只是为了应付检查。普通吊运，无工前会，工前准备不足。安全监督人员对起重作业应该进行哪些检查不清楚。对于连续、长时间的吊运作业（特别是机组大修），没有控制措施。

大亚湾核电厂根据大修吊运的工作内容，制定了大件物品、高风险吊运、普通吊运的管理规定。对连续、长时间的吊运制定申请、审批程序。主要包括：

-----大件物品高风险吊运作业

（1）吊运方案：各执行处负责该项工作的工作负责人召集专门负责该项吊运工作的起重工共同制定。方案主要内容要包括：作业人员组成分工、吊索具规格型号数量、所用的起重机、捆绑方案、被吊物参数、风险及措施等；

（2）大件物品高风险吊运作业前由工作负责人组织召开工前会：工前会主要内容有：交代工作内容、分工、作业风险、安全要求，应急措施等；记录，作业组成人员签名，同时填写《大件物品高风险吊运表》。

（3）作业检查：由工作负责人与起重工制定具体的大件物品高风险吊运作业检查内容，并根据此内容进行检查；安全科依照《安全监督员起重作业检查表》独立抽查与监督。

（4）各执行处可根据本处吊运任务和作业风险的具体情况需要，决定是否专门设置起重作业现场安全监督员。但需明确专门设置的起重作业现场安全监督员，必须有国家颁发的起重类特种工证书；在监督检查起重作业过程中，有权中止作业和提出更换起重作业人员等。要求现场安全监督员应做好起重作业现场监督检查情况记录。

-----普通吊运作业

（1）由工作负责人召集工前会（碰头会）：交代工作内容、分工、作业风险、安全要求，应急措施等；

（2）各处、承包商安全员、安全科进行独立抽查与监督。

-----连续、长时间吊运作业

加班时间严格按有关劳动法规控制（每天不超过3小时）。大件物品、高风险吊运作业如果是非计划且作业时间在晚间10：00点之后的，必须经批准。大修期间由大修经理批准，日常由责任处处长批准。批准人在“大件物品高风险吊运安全检查表”上签字。

4、起重机械的安全管理

大亚湾核电厂对所有的起重机，按不同的地理位置划分成不同的系统并进行了编号。每台起重机都制定了具体详细的检查、维修保养程序。生产计划部门的数据库（核电生产管理信息系统）会定期自动生成工作票，发给起重机械专业检修人员，由其对起重机械进行检查、维保。专业检修人员对检查结果、故障的处理做详细的记录并录入到数据库（核电生产管理信息系统）中。除日常检查外，在每次机组停机大修前，专业检修人员还需对所有起重机械设备进行全面检查。大修期间，成立专项小组24小时待命，为起重作业保驾护航。

起重作业所用的吊索具在新采购入库时都必须编号，录入工具管理数具库中。工具库负责每年定期按检查程序进行检查。对查出的不合格的吊索具能修复的就修复，不能修复的就报废，检查合格的贴上检验合格证。

起重设备是特种设备，国家规定对此类设备必须进行强制性定期检验。大亚湾核电厂对于起重机械强制检查出的隐患进行分类，限期予以整改。对该停止使用的就停止使用，绝不姑息迁就。

核电厂人因及组织行政管理安全审查体系：核电厂换料大修的核安全风险管理

1 核电厂换料大修期间的核安全风险

核电厂换料大修期间，因在短时间内执行大量的维修工作、设备的检查维护、定期试验，变更/技改以及装卸料等操作，使得电厂大量系统、设备集中停役，电源停电，所以在换料大修期间存在着较大的核安全风险。

1.1 系统设备方面存在的风险

换料大修期间，从系统设备可靠性和安全功能上，电厂存在的核安全风险主要涉及以下几方面：反应堆余热排出、堆芯水装量保持、反应性控制、电源保障以及安全壳完整性维持。

1.1.1 反应堆失去衰变热导出功能的风险因素

（1）大修前缺少余热导出能力的分析，如：

1）未事先确定堆芯燃料布置下的初始衰变热热量、堆芯沸腾时间和裸露时间；

2）缺少对堆冷却系统水装量各种状态（如充水、放水、半管水位、换料通道充水和换料水池充水）下余热导出能力的分析；

3）缺少对主系统各种状态（如反应堆冷却剂系统（rcs）加压或已通气、主管道已堵板或主回路隔离阀已关闭、蒸汽发生器（sg）人孔开/关、通风系统可用性、临时假盖或压紧部件已安装、主蒸汽管道已隔离）下的余热导出能力的分析；

4）缺少对sg二次侧热量交换能力的分析。

（2）大修计划未考虑失去乏燃料冷却的纵深防御措施，导致乏燃料池失去冷却，或在高衰变热或低水装量期间，安排对余热导出系统进行检修，使余热导出系统不可用。

（3）操纵员/电厂员工对工况变换/规程不了解，对纵深防御措施不清楚，如未能保障换料大厅通风以及空调系统的可运行性，设备闸门、人员闸门和贯穿件失去关闭能力。

1.1.2 失去水装量的风险因素

在停堆期间，一回路的边界已扩展到衰变热导出管路、乏燃料池、换料水箱及其它相关的系统，这种情况使得水装量丧失的风险大大增加。业界曾发生了水意外排到换料水箱、安全壳地坑、安注箱及安全壳喷淋系统等事件。一回路水装量快速丧失可能导致安全壳内的辐射水平显著升高。下面是常见的几种误操作。

（1）阀门误操作，不可控地改变一回路流道，导致一回路水装量快速丧失。

（2）换料水池充水前，未对反应堆水池密封、蒸汽发生器堵板和其它接管堵板等进行检查或安装后试验，导致出现水装量泄漏。

（3）下列情形下，主系统水位控制不当或意外排水到余热导出系统，导致失去衰变热导出能力。

1）在反应堆顶盖吊运前，排水至压力容器法兰面以下；

2）堆芯水位处在主管道中心线水位（称低水位）；

3）一回路水位处于与反应堆压力壳连接的热端上部以下；

4）关闭一回路隔离阀；

5）安装蒸汽发生器一次侧堵板。

（4）失去乏燃料池和反应堆水池的水装量。即换料水池和乏燃料水池气闸门的气源不可靠，无后备气源（如氮气），未考虑水池密封加流量限制和围堰等其它缓解措施。

1.1.3 电源可靠性风险因素

在停堆状态下，交流电源维持堆芯和乏燃料池的冷却，并把衰变热传输到热阱中，使安全壳保持密封，并支持其它重要功能。许多事件与人员差错引起重要系统失电有关，如大修计划未能提供冗余的交流电源（纵深防御），对停堆期间安全功能的关键系统其交流和直流电源未得到保证，对失去交流电源的事件缺少规程和演练。

典型的高风险作业，如开关站、变压器和电气设备工作未安装警告信号或采取实体屏障，在多路电路停役的情况下在电厂唯一厂外电源的动力线路和变压器上进行维修活动。

1.1.4 反应性控制风险因素

反应性控制主要包括维持反应堆冷却剂系统和乏燃料池有足够的停堆裕量以及计划和控制所有的燃料装卸活动。压水堆意外硼稀释会发生非预期的反应堆临界，甚至在控制棒全插入情况下。

典型的风险包括：探测硼稀释手段（一回路取样，在线分析和源量程探测器的计数）失效，行政管理控制和计划安排不当引起意外硼稀释，无多重的加硼流道可用以响应硼稀释事件，未定期校验停堆裕量，在低于最低安全分析温度期间移动燃料。

在换料期间，由于发生控制棒和燃料组件装载错误，会引起堆芯临界而未被源量程探测器探测到。燃料组件跌落、受装卸料设备撞击以及在堆芯错装位等事件还可能引起人员受超剂量照射以及严重的放射性污染。

1.1.5 安全壳密封性风险因素

安全壳在大修的某些阶段需要密封，以限制放射性物质未受监督的释放。如果安全壳的（设备和人员）闸门以及与大气相连的贯穿件（一次或二次侧）在装卸料操作期间、堆芯沸腾以及电源不可用时不能保持关闭状态，则风险会大大提高。

1.2 人因和管理上的风险

从人因和行政管理上，电厂存在的核安全风险主要涉及大修计划、人员培训、文件控制、经验反馈等

大修中电厂内的工作人员数量很多，包括大量的承包商人员，而人总是要犯错误的，特别是在大量的操作过程中。因此，事先计划不充分、文件包准备不足、培训不足、时间的压力、任务的压力等都可能成为风险源。

2 秦山核电厂的核安全风险管理

2.1 系统状态控制和大修运行程序

为确保大修期间操纵员有能力去监督和控制安全系统及其支持系统的状态，保证系统的可用性，秦山核电厂在停堆前对操纵员进行了专项培训。这种培训在机组长期运行、整个循环都没有停机停堆操作的情况下，特别重要。有针对性地安排在全尺寸模拟机上进行停堆操作、停堆过程中预定试验的操作、备用系统投切、系统和设备的隔离、操纵员的沟通配合演练等，并设计一些异常和故障处理，使操纵员提前进入实战演习，培养和考验操纵员的心理和应变能力，将有助于提高操纵员工作水平，减少人因失误。

让操纵员提前了解大修项目和可能面对的困难，审查关键路径、主隔离、技术规格书隔离窗、冗余系统的状态、纵深防御措施，可以使操纵员了解大修中的关键设备和参数并加强监视。同时，编制应急操作程序，减少核安全风险。

国外一些电厂采用psa技术对一些风险因子较高的大修状态进行分析。通过psa评价，确保风险重要的系统和设备得到足够的重视，使大修活动尽量不增加电厂风险。例如，用psa确定大修计划的优先顺序，即通过系统和设备的风险重要度来指导维修活动的编排，或用psa技术监视维修和试验活动带来的风险变化，估计累积堆芯损伤概率（cdf），并预先采取必要的缓解措施。秦山核电厂刚刚完成一级psa分析，条件成熟后将考虑应用psa成果到大修中。 考虑纵深防御措施是对系统状态实施有效控制的最佳策略，如考虑安全系列、电源序列、关键安全功能的设备的冗余，利用报警和指示向运行人员提醒需要纵深防御的系统的问题，如临时采用ups和后备交流电源，以减少发生失去电源事件的风险。秦山核电厂在日计划中列出安全系统的可利用性和设备的状态报告，以帮助运行人员维持和提高电厂部件和系统的可运行性。

除了正常运行规程（op）、异常处理规程（aop）、事故处理规程（eop）外，秦山核电厂还专门针对大修开发了大修运行程序，特别是对重要的操作都准备了操作票。

2.2 大修计划和关键路径

事实证明，应至少提前一年准备大修计划，大修计划要得到各方人员的支持，以保证系统可利用率符合管理层的核安全期望值、程序要求和技术规格书要求。大修计划要结合以往大修的经验教训进行制订和优化，好的大修进度计划可准确到小时而且不需要经常修改，不但总进度误差小，各分项目的进度计划误差也要求尽量做到很小。

隔离窗口或大修里程碑已证明在制订大修总体进度计划是很有用的。隔离窗口的大小和组成由系统满足停堆安全要求而定，隔离窗口或大修里程碑计划是一种进度安排的技巧，在一台设备或一个系统通道上安排的维修、在役检查和试验工作被安排在大修中的某个时间段进行。例如：在大修某个时间段内安排应急柴油发电机（edg）退出，在此系统窗口中同时安排由edg供电的安全设备的维修或试验。某些电厂对系统窗口起浑号“保护伞”，表明在保护伞下进行活动，既满足停堆安全要求，也保证在隔离窗口或里程碑终点前可安排品质再鉴定和功能验收，而不至于将所有试验拖延到大修近结束时进行，有效地保证大修计划的完成。

根据国际上的运行经验，单靠严格地遵守技术规格书的要求也许不能完全保证大修期间的安全裕量。因此，在进度计划制订期间，应明确规定大修期间必须确保安全功能可用的系统，如衰变热的导出、中子监测、维持停堆裕度、反应堆系统水位监测和控制、正常和备用电源、对人员安全必要的系统和部件（设备隔离或放射性要求）以及安全壳完整性要求、公用水/冷却水的可利用性等。

失去连续冷却手段将导致冷却剂因过热而损耗，最终将导致堆芯裸露烧毁。为避免这种情况的发生，大修计划应充分保证停堆冷却系统上的工作处于严格控制之中，并保障最低的冷却系统要求。在冷却系统（包括废燃料冷却系统）上的工作，必须严格按照计划进行。处于运行或备用的冷却系统及其支持系统应处于良好的保护之中，应有适当的挂牌或隔离围栏等设施。在堆芯水位降低过程中，尽量避免停堆冷却系统或其它冷却系统上的试验工作，避免造成扰动而影响系统的冷却。

在堆芯水位降低过程中，如果失去了堆芯余热排出的手段，将有可能在短时间内导致堆芯温度的升高，甚至损坏燃料。在换料期间，冷却剂的边界相应地延伸到停堆冷却系统、燃料运输通道、废燃料系统，所以除保证必要的系统维持在可运行状态外，尚需注意以下事项：

（1）在降低堆芯水位之前，计划上应保证堆芯有足够长的衰变余热排出时间，尽量使堆芯金属温度稳定在环境温度的水平；

（2）在堆芯有料期间，为防止主系统跑水，应保证停堆冷却系统能从安全壳地坑吸水；

（3）在低水位期间，应尽量避免同堆芯相关联的系统的试验、频繁启动等操作，以免造成波动导致水装量的变化。

电源是安全的最重要要素之一，电源的失去将有可能导致严重事故的发生。所以，从计划上或行动上应确保换料大修期间的任何活动不会导致关键电源系统的丧失。特别需注意下列事项：

（1）任何有可能导致关键配电系统丧失的活动，必须处在可控条件之下，所有的这些活动都是严格按计划进行的；

（2）安全电源系统上的工作是按计划分列进行的，而不是并列进行的，避免同时失去安全电源；

（3）当只有一列电源系统处在运行状态时，此系列电源区域应有良好的保护措施，如醒目的标志、隔离措施、围栏、房间上锁、人员控制等；

（4）相关的试验活动应尽量避免，以免造成电源的丧失。

保证反应性控制也是停堆安全的一个重要因素。意外的硼稀释事故将导致停堆裕度的降低，严重的有可能导致反应堆重返临界，使人员遭受意外的剂量照射，甚至可能损坏燃料元件等。除必须保证必要的系统处在可运行状态外，尚需注意下列事项：

（1）可能导致意外硼稀释事故的系统必须同冷却剂系统隔离挂牌，相关阀门应上锁；

（2）必须保证有硼注入系统处于可运行状态，在硼浓度意外降低情况下，能保证按一定的流量，将高浓度硼注入堆芯；

（3）换料现场和主控室应有临界监测系统，主控室和现场之间的联系保持通畅；

（4）装卸料操作严格按换料方案进行，移出堆芯的燃料按规定放置。

安全壳是防止放射性外泄的最后一道屏障，关闭安全壳是减少放射性释放的最基本也是最有效的方法。一般情况下，安全壳的完整性不应该被破坏。但当由于检修而破坏了安全壳的完整性时，工作前应准备相应的措施或作其他准备，在需要的时候，能快速恢复安全壳的完整性。只要堆芯有料，计划上就应尽量避免安排贯穿件、隔离阀等检修工作，以免破坏安全壳的完整性。即使需要，也应有手段快速恢复安全壳的隔离。

2.3 大修的培训和经验反馈

大修核安全有关的培训应包括余热排出、厂外电源、反应堆冷却剂装量、燃料池的装量和反应性控制或停堆裕量事件以及低水位运行和为防止意外硼稀释方面的培训。外部运行经验应反映到培训中去，特别是对非经常工作和关键项目，应考虑给予专门的培训，并采用班前会进行复习。

电厂人员，包括承包商和其它临时指派去支持大修的人员，需要进行大修核安全方面的培训。他们应了解纵深防御的概念，在大修期间提供纵深防御的系统或部件以及风险预防或限制措施。应使培训人员了解停堆工况下堆芯毁损的潜在危险和事件的潜在后果。培训中应强调怎样去避免这些事件，并包括停堆期间可能发生事件的响应频谱。

大修中应每天提醒昨日的经验和近日的主要风险，特别是历史上已经出过的事件、人因事件等是防范的重点。以下是典型的提醒项目： 降功率过程中注意的问题；

防意外硼稀释和意外人员辐照；

人因失误的十大诱因；

低水位的变化及控制；

承包商问题及监管；

国外电厂在卸料过程中出现的问题；

防异物管理；

人因失误十大诱因之一：时间紧迫；

低水位阀门检修时防止意外跑水；

工业安全；

容器及狭小空间内作业；

起吊作业；

人因失误十大诱因之二：任务繁重；

辐射防护；

乏燃料池冷却系统的运行；

验收——应急柴油机系统；

验收——接线错误。

2.4 大修控制点

对大修的一些关键点设置控制点和停工待检点是一种规避风险的好做法。秦山核电厂根据大修进度计划，设置了10多个控制检查点。包括反应堆开盖、顶盖吊运、压紧部件吊运、吊篮部件吊运、卸料、装料、堆芯核查、反应堆合盖、升温升压、临界、并网等控制点，并开发了相关控制程序。

在进入设定的控制点前，由运行和检修部门按相关程序完成系统/设备条件的准备、检查及确认工作，确认控制点转换条件满足，由工作负责人填写《控制点转换申请单》，再由核安全工程师对控制点条件进行独立验证。如控制点条件不满足要求，不得进行控制点转换。当控制点控制条件满足后，核安全工程师验证后将许可单提交大修核安全经理确认签字，再经大修经理许可释放控制点，授权工作负责人进行节点转换。以下是典型的控制点。

（1）装卸料控制点

装卸料前应充分保证相关系统和设备的可运行性，从而保证有充分的手段控制余热的排出、堆芯水装量的维持、反应性的控制、安全壳完整性以及电源的保证。同时，为避免燃料操作事故的发生，装卸料工具必须经过操作前的验证，操作人员已经过培训，通讯系统畅通，撤离警告装置正常以及撤离通道顺畅。并且，卸料前已进行相关的应急演练。

在燃料运输中防止错装料所采取的步骤包括以下几条：

1）使用规程和详细的燃料移动计划，特别对不用的或很少用的操作，包括人员职责和专门安全措施的安全手册能有助于减少燃料装卸的事件；

2）在堆内移动燃料或燃料运输以前，对换料人员进行培训；

3）在所有装卸料操作期间，保持换料水池的清洁度；

4）在燃料运输前，对所有装卸料设备进行全面的检查和标定，包括水下运输设备的检查；

5）使用辅助设备，诸如使用双筒望远镜或水下电视去观察燃料装卸设备的工作情况，以及核实燃料组件移动的自由度。

因此，卸料控制点至少应检查以下系统和设备：乏燃料池冷却系统、设冷水系统、一回路海水系统、停堆冷却系统、乏燃料池补水系统、换料水池水位、乏燃料池水位、外电源、柴油发电机、交流电源、直流电源、硼水源、硼水注入通道、源量程监测仪、燃料操作事故辐射监测系统、通讯、换料水池硼浓度、衰变时间、装卸料机、燃料厂房吊车、安全壳清洗送排风隔离系统、设备闸门、人员闸门、贯穿件、燃料厂房事故排风净化系统。另外，保持水池区的清洁度，禁止水池四周高处作业，控制人员数量也是非常重要的行政管理措施。

（2）重要物项吊运控制点

堆内构件在吊运前，为保证物项安全移动，必须有充分的手段确认将投入的设备是可靠的。如：

1）长时间停役或经检修改造后设备（如环吊、装卸料机）已经按相关的制度进行了品质鉴定和功能性试验，且试验合格；

2）原备用或运行系统一直按正常的定期试验要求进行试验，试验期限在规定的有效期内；

3）吊具经过检定和充分的试验；

4）计算机控制软件经过充分的验证；

5）吊运人员资格符合要求，指挥人员有特别标记；

6）辐射监测系统就绪，监测人员到位；

7）彻底检查是否还有异物，连接电缆是否已脱开；

8）培训、演练、演习已完成；

9）由指挥负责组织各小组按系统、设备、清洁、程序进行安全与质量检查，且已合格。

（3）临界控制点

反应堆进入临界，意味着核加热运行的开始。此阶段的运行，应特别注意任何操作可能带来的核风险。在进入临界前，应充分保证反应性控制系统、堆芯冷却系统、屏障系统的可运行性。进入临界前至少应检查下列项目：停堆深度、冷却剂平均温度、控制棒、棒位指示器通道、落棒时间、rcs、pzr安全阀、氢气分析器、消氢系统、氢气混合系统。

3 结束语

事实证明，有效的大修计划、完备的规程体系、严格遵守规程、有效利用经验反馈信息、加强人员培训和演习以及预先设置大修过程控制点、核安全监督人员独立验证、采取专项交叉检查等手段，加上良好的安全文化、保守决策、纵深防御、风险分析与防范，都能有效地缓解大修中的核安全风险，确保核电厂满足技术规格书运行限制条件和整个换料大修期间的运行安全。