1 核电厂换料大修期间的核安全风险
核电厂换料大修期间，因在短时间内执行大量的维修工作、设备的检查维护、定期试验，变更/技改以及装卸料等操作，使得电厂大量系统、设备集中停役，电源停电，所以在换料大修期间存在着较大的核安全风险。

1.1 系统设备方面存在的风险
换料大修期间，从系统设备可靠性和安全功能上，电厂存在的核安全风险主要涉及以下几方面：反应堆余热排出、堆芯水装量保持、反应性控制、电源保障以及安全壳完整性维持。

1.1.1 反应堆失去衰变热导出功能的风险因素
（1）大修前缺少余热导出能力的分析，如：
1）未事先确定堆芯燃料布置下的初始衰变热热量、堆芯沸腾时间和裸露时间；
2）缺少对堆冷却系统水装量各种状态（如充水、放水、半管水位、换料通道充水和换料水池充水）下余热导出能力的分析；
3）缺少对主系统各种状态（如反应堆冷却剂系统（RCS）加压或已通气、主管道已堵板或主回路隔离阀已关闭、蒸汽发生器（SG）人孔开/关、通风系统可用性、临时假盖或压紧部件已安装、主蒸汽管道已隔离）下的余热导出能力的分析；
4）缺少对SG二次侧热量交换能力的分析。
（2）大修计划未考虑失去乏燃料冷却的纵深防御措施，导致乏燃料池失去冷却，或在高衰变热或低水装量期间，安排对余热导出系统进行检修，使余热导出系统不可用。
（3）操纵员/电厂员工对工况变换/规程不了解，对纵深防御措施不清楚，如未能保障换料大厅通风以及空调系统的可运行性，设备闸门、人员闸门和贯穿件失去关闭能力。

1.1.2 失去水装量的风险因素
在停堆期间，一回路的边界已扩展到衰变热导出管路、乏燃料池、换料水箱及其它相关的系统，这种情况使得水装量丧失的风险大大增加。业界曾发生了水意外排到换料水箱、安全壳地坑、安注箱及安全壳喷淋系统等事件。一回路水装量快速丧失可能导致安全壳内的辐射水平显著升高。下面是常见的几种误操作。
（1）阀门误操作，不可控地改变一回路流道，导致一回路水装量快速丧失。
（2）换料水池充水前，未对反应堆水池密封、蒸汽发生器堵板和其它接管堵板等进行检查或安装后试验，导致出现水装量泄漏。
（3）下列情形下，主系统水位控制不当或意外排水到余热导出系统，导致失去衰变热导出能力。
1）在反应堆顶盖吊运前，排水至压力容器法兰面以下；
2）堆芯水位处在主管道中心线水位（称低水位）；
3）一回路水位处于与反应堆压力壳连接的热端上部以下；
4）关闭一回路隔离阀；
5）安装蒸汽发生器一次侧堵板。
（4）失去乏燃料池和反应堆水池的水装量。即换料水池和乏燃料水池气闸门的气源不可靠，无后备气源（如氮气），未考虑水池密封加流量限制和围堰等其它缓解措施。

1.1.3 电源可靠性风险因素
在停堆状态下，交流电源维持堆芯和乏燃料池的冷却，并把衰变热传输到热阱中，使安全壳保持密封，并支持其它重要功能。许多事件与人员差错引起重要系统失电有关，如大修计划未能提供冗余的交流电源（纵深防御），对停堆期间安全功能的关键系统其交流和直流电源未得到保证，对失去交流电源的事件缺少规程和演练。
典型的高风险作业，如开关站、变压器和电气设备工作未安装警告信号或采取实体屏障，在多路电路停役的情况下在电厂唯一厂外电源的动力线路和变压器上进行维修活动。

1.1.4 反应性控制风险因素
反应性控制主要包括维持反应堆冷却剂系统和乏燃料池有足够的停堆裕量以及计划和控制所有的燃料装卸活动。压水堆意外硼稀释会发生非预期的反应堆临界，甚至在控制棒全插入情况下。
典型的风险包括：探测硼稀释手段（一回路取样，在线分析和源量程探测器的计数）失效，行政管理控制和计划安排不当引起意外硼稀释，无多重的加硼流道可用以响应硼稀释事件，未定期校验停堆裕量，在低于最低安全分析温度期间移动燃料。
在换料期间，由于发生控制棒和燃料组件装载错误，会引起堆芯临界而未被源量程探测器探测到。燃料组件跌落、受装卸料设备撞击以及在堆芯错装位等事件还可能引起人员受超剂量照射以及严重的放射性污染。

1.1.5 安全壳密封性风险因素
安全壳在大修的某些阶段需要密封，以限制放射性物质未受监督的释放。如果安全壳的（设备和人员）闸门以及与大气相连的贯穿件（一次或二次侧）在装卸料操作期间、堆芯沸腾以及电源不可用时不能保持关闭状态，则风险会大大提高。

1.2 人因和管理上的风险
从人因和行政管理上，电厂存在的核安全风险主要涉及大修计划、人员培训、文件控制、经验反馈等
大修中电厂内的工作人员数量很多，包括大量的承包商人员，而人总是要犯错误的，特别是在大量的操作过程中。因此，事先计划不充分、文件包准备不足、培训不足、时间的压力、任务的压力等都可能成为风险源。

2 秦山核电厂的核安全风险管理
2.1 系统状态控制和大修运行程序
为确保大修期间操纵员有能力去监督和控制安全系统及其支持系统的状态，保证系统的可用性，秦山核电厂在停堆前对操纵员进行了专项培训。这种培训在机组长期运行、整个循环都没有停机停堆操作的情况下，特别重要。有针对性地安排在全尺寸模拟机上进行停堆操作、停堆过程中预定试验的操作、备用系统投切、系统和设备的隔离、操纵员的沟通配合演练等，并设计一些异常和故障处理，使操纵员提前进入实战演习，培养和考验操纵员的心理和应变能力，将有助于提高操纵员工作水平，减少人因失误。
让操纵员提前了解大修项目和可能面对的困难，审查关键路径、主隔离、技术规格书隔离窗、冗余系统的状态、纵深防御措施，可以使操纵员了解大修中的关键设备和参数并加强监视。同时，编制应急操作程序，减少核安全风险。
国外一些电厂采用PSA技术对一些风险因子较高的大修状态进行分析。通过PSA评价，确保风险重要的系统和设备得到足够的重视，使大修活动尽量不增加电厂风险。例如，用PSA确定大修计划的优先顺序，即通过系统和设备的风险重要度来指导维修活动的编排，或用PSA技术监视维修和试验活动带来的风险变化，估计累积堆芯损伤概率（CDF），并预先采取必要的缓解措施。秦山核电厂刚刚完成一级PSA分析，条件成熟后将考虑应用PSA成果到大修中。 考虑纵深防御措施是对系统状态实施有效控制的最佳策略，如考虑安全系列、电源序列、关键安全功能的设备的冗余，利用报警和指示向运行人员提醒需要纵深防御的系统的问题，如临时采用UPS和后备交流电源，以减少发生失去电源事件的风险。秦山核电厂在日计划中列出安全系统的可利用性和设备的状态报告，以帮助运行人员维持和提高电厂部件和系统的可运行性。
除了正常运行规程（OP）、异常处理规程（AOP）、事故处理规程（EOP）外，秦山核电厂还专门针对大修开发了大修运行程序，特别是对重要的操作都准备了操作票。

2.2 大修计划和关键路径
事实证明，应至少提前一年准备大修计划，大修计划要得到各方人员的支持，以保证系统可利用率符合管理层的核安全期望值、程序要求和技术规格书要求。大修计划要结合以往大修的经验教训进行制订和优化，好的大修进度计划可准确到小时而且不需要经常修改，不但总进度误差小，各分项目的进度计划误差也要求尽量做到很小。
隔离窗口或大修里程碑已证明在制订大修总体进度计划是很有用的。隔离窗口的大小和组成由系统满足停堆安全要求而定，隔离窗口或大修里程碑计划是一种进度安排的技巧，在一台设备或一个系统通道上安排的维修、在役检查和试验工作被安排在大修中的某个时间段进行。例如：在大修某个时间段内安排应急柴油发电机（EDG）退出，在此系统窗口中同时安排由EDG供电的安全设备的维修或试验。某些电厂对系统窗口起浑号“保护伞”，表明在保护伞下进行活动，既满足停堆安全要求，也保证在隔离窗口或里程碑终点前可安排品质再鉴定和功能验收，而不至于将所有试验拖延到大修近结束时进行，有效地保证大修计划的完成。
根据国际上的运行经验，单靠严格地遵守技术规格书的要求也许不能完全保证大修期间的安全裕量。因此，在进度计划制订期间，应明确规定大修期间必须确保安全功能可用的系统，如衰变热的导出、中子监测、维持停堆裕度、反应堆系统水位监测和控制、正常和备用电源、对人员安全必要的系统和部件（设备隔离或放射性要求）以及安全壳完整性要求、公用水/冷却水的可利用性等。
失去连续冷却手段将导致冷却剂因过热而损耗，最终将导致堆芯裸露烧毁。为避免这种情况的发生，大修计划应充分保证停堆冷却系统上的工作处于严格控制之中，并保障最低的冷却系统要求。在冷却系统（包括废燃料冷却系统）上的工作，必须严格按照计划进行。处于运行或备用的冷却系统及其支持系统应处于良好的保护之中，应有适当的挂牌或隔离围栏等设施。在堆芯水位降低过程中，尽量避免停堆冷却系统或其它冷却系统上的试验工作，避免造成扰动而影响系统的冷却。
在堆芯水位降低过程中，如果失去了堆芯余热排出的手段，将有可能在短时间内导致堆芯温度的升高，甚至损坏燃料。在换料期间，冷却剂的边界相应地延伸到停堆冷却系统、燃料运输通道、废燃料系统，所以除保证必要的系统维持在可运行状态外，尚需注意以下事项：

（1）在降低堆芯水位之前，计划上应保证堆芯有足够长的衰变余热排出时间，尽量使堆芯金属温度稳定在环境温度的水平；
（2）在堆芯有料期间，为防止主系统跑水，应保证停堆冷却系统能从安全壳地坑吸水；
（3）在低水位期间，应尽量避免同堆芯相关联的系统的试验、频繁启动等操作，以免造成波动导致水装量的变化。
电源是安全的最重要要素之一，电源的失去将有可能导致严重事故的发生。所以，从计划上或行动上应确保换料大修期间的任何活动不会导致关键电源系统的丧失。特别需注意下列事项：

（1）任何有可能导致关键配电系统丧失的活动，必须处在可控条件之下，所有的这些活动都是严格按计划进行的；
（2）安全电源系统上的工作是按计划分列进行的，而不是并列进行的，避免同时失去安全电源；
（3）当只有一列电源系统处在运行状态时，此系列电源区域应有良好的保护措施，如醒目的标志、隔离措施、围栏、房间上锁、人员控制等；
（4）相关的试验活动应尽量避免，以免造成电源的丧失。
保证反应性控制也是停堆安全的一个重要因素。意外的硼稀释事故将导致停堆裕度的降低，严重的有可能导致反应堆重返临界，使人员遭受意外的剂量照射，甚至可能损坏燃料元件等。除必须保证必要的系统处在可运行状态外，尚需注意下列事项：
（1）可能导致意外硼稀释事故的系统必须同冷却剂系统隔离挂牌，相关阀门应上锁；
（2）必须保证有硼注入系统处于可运行状态，在硼浓度意外降低情况下，能保证按一定的流量，将高浓度硼注入堆芯；
（3）换料现场和主控室应有临界监测系统，主控室和现场之间的联系保持通畅；
（4）装卸料操作严格按换料方案进行，移出堆芯的燃料按规定放置。
安全壳是防止放射性外泄的最后一道屏障，关闭安全壳是减少放射性释放的最基本也是最有效的方法。一般情况下，安全壳的完整性不应该被破坏。但当由于检修而破坏了安全壳的完整性时，工作前应准备相应的措施或作其他准备，在需要的时候，能快速恢复安全壳的完整性。只要堆芯有料，计划上就应尽量避免安排贯穿件、隔离阀等检修工作，以免破坏安全壳的完整性。即使需要，也应有手段快速恢复安全壳的隔离。

2.3 大修的培训和经验反馈
大修核安全有关的培训应包括余热排出、厂外电源、反应堆冷却剂装量、燃料池的装量和反应性控制或停堆裕量事件以及低水位运行和为防止意外硼稀释方面的培训。外部运行经验应反映到培训中去，特别是对非经常工作和关键项目，应考虑给予专门的培训，并采用班前会进行复习。
电厂人员，包括承包商和其它临时指派去支持大修的人员，需要进行大修核安全方面的培训。他们应了解纵深防御的概念，在大修期间提供纵深防御的系统或部件以及风险预防或限制措施。应使培训人员了解停堆工况下堆芯毁损的潜在危险和事件的潜在后果。培训中应强调怎样去避免这些事件，并包括停堆期间可能发生事件的响应频谱。
大修中应每天提醒昨日的经验和近日的主要风险，特别是历史上已经出过的事件、人因事件等是防范的重点。以下是典型的提醒项目： ? 降功率过程中注意的问题；
? 防意外硼稀释和意外人员辐照；
? 人因失误的十大诱因；
? 低水位的变化及控制；
? 承包商问题及监管；
? 国外电厂在卸料过程中出现的问题；
? 防异物管理；
? 人因失误十大诱因之一：时间紧迫；
? 低水位阀门检修时防止意外跑水；
? 工业安全；
? 容器及狭小空间内作业；
? 起吊作业；
? 人因失误十大诱因之二：任务繁重；
? 辐射防护；
? 乏燃料池冷却系统的运行；
? 验收——应急柴油机系统；
? 验收——接线错误。

2.4 大修控制点
对大修的一些关键点设置控制点和停工待检点是一种规避风险的好做法。秦山核电厂根据大修进度计划，设置了10多个控制检查点。包括反应堆开盖、顶盖吊运、压紧部件吊运、吊篮部件吊运、卸料、装料、堆芯核查、反应堆合盖、升温升压、临界、并网等控制点，并开发了相关控制程序。
在进入设定的控制点前，由运行和检修部门按相关程序完成系统/设备条件的准备、检查及确认工作，确认控制点转换条件满足，由工作负责人填写《控制点转换申请单》，再由核安全工程师对控制点条件进行独立验证。如控制点条件不满足要求，不得进行控制点转换。当控制点控制条件满足后，核安全工程师验证后将许可单提交大修核安全经理确认签字，再经大修经理许可释放控制点，授权工作负责人进行节点转换。以下是典型的控制点。

（1）装卸料控制点
装卸料前应充分保证相关系统和设备的可运行性，从而保证有充分的手段控制余热的排出、堆芯水装量的维持、反应性的控制、安全壳完整性以及电源的保证。同时，为避免燃料操作事故的发生，装卸料工具必须经过操作前的验证，操作人员已经过培训，通讯系统畅通，撤离警告装置正常以及撤离通道顺畅。并且，卸料前已进行相关的应急演练。
在燃料运输中防止错装料所采取的步骤包括以下几条：
1）使用规程和详细的燃料移动计划，特别对不用的或很少用的操作，包括人员职责和专门安全措施的安全手册能有助于减少燃料装卸的事件；
2）在堆内移动燃料或燃料运输以前，对换料人员进行培训；
3）在所有装卸料操作期间，保持换料水池的清洁度；
4）在燃料运输前，对所有装卸料设备进行全面的检查和标定，包括水下运输设备的检查；
5）使用辅助设备，诸如使用双筒望远镜或水下电视去观察燃料装卸设备的工作情况，以及核实燃料组件移动的自由度。
因此，卸料控制点至少应检查以下系统和设备：乏燃料池冷却系统、设冷水系统、一回路海水系统、停堆冷却系统、乏燃料池补水系统、换料水池水位、乏燃料池水位、外电源、柴油发电机、交流电源、直流电源、硼水源、硼水注入通道、源量程监测仪、燃料操作事故辐射监测系统、通讯、换料水池硼浓度、衰变时间、装卸料机、燃料厂房吊车、安全壳清洗送排风隔离系统、设备闸门、人员闸门、贯穿件、燃料厂房事故排风净化系统。另外，保持水池区的清洁度，禁止水池四周高处作业，控制人员数量也是非常重要的行政管理措施。
（2）重要物项吊运控制点
堆内构件在吊运前，为保证物项安全移动，必须有充分的手段确认将投入的设备是可靠的。如：

1）长时间停役或经检修改造后设备（如环吊、装卸料机）已经按相关的制度进行了品质鉴定和功能性试验，且试验合格；
2）原备用或运行系统一直按正常的定期试验要求进行试验，试验期限在规定的有效期内；
3）吊具经过检定和充分的试验；
4）计算机控制软件经过充分的验证；
5）吊运人员资格符合要求，指挥人员有特别标记；
6）辐射监测系统就绪，监测人员到位；
7）彻底检查是否还有异物，连接电缆是否已脱开；
8）培训、演练、演习已完成；
9）由指挥负责组织各小组按系统、设备、清洁、程序进行安全与质量检查，且已合格。

（3）临界控制点
反应堆进入临界，意味着核加热运行的开始。此阶段的运行，应特别注意任何操作可能带来的核风险。在进入临界前，应充分保证反应性控制系统、堆芯冷却系统、屏障系统的可运行性。进入临界前至少应检查下列项目：停堆深度、冷却剂平均温度、控制棒、棒位指示器通道、落棒时间、RCS、PZR安全阀、氢气分析器、消氢系统、氢气混合系统。

3 结束语
事实证明，有效的大修计划、完备的规程体系、严格遵守规程、有效利用经验反馈信息、加强人员培训和演习以及预先设置大修过程控制点、核安全监督人员独立验证、采取专项交叉检查等手段，加上良好的安全文化、保守决策、纵深防御、风险分析与防范，都能有效地缓解大修中的核安全风险，确保核电厂满足技术规格书运行限制条件和整个换料大修期间的运行安全。