Diablo Canyon 核电站：维基教科书/被动核安全

被动核安全是核反应堆的一种安全特性，它不需要操作员操作或电子反馈就能在特定类型的紧急情况下安全地关闭（通常是由于冷却剂损失事故|冷却剂损失或冷却剂流量损失而导致的过热）。此类反应堆往往更依赖于组件的工程设计，使其根据已知的物理定律预测的行为会在这种情况下减缓而不是加速核反应。这与一些老式反应堆的设计形成对比，在这些设计中，反应的自然趋势是在温度升高时迅速加速，因此需要电子反馈或操作员触发的干预来防止反应堆损坏。

术语

将反应堆称为“被动安全”更像是描述维持一定安全程度的策略，而不是描述安全程度。采用被动安全系统的反应堆是否被认为安全或危险，将取决于用于评估安全级别的标准。话虽如此，现代反应堆设计一直专注于提高被动安全的程度，因此大多数被动安全设计都整合了主动和被动安全系统，使其比老式装置安全得多。可以说，与之前的设计相比，它们“相对安全”。

反应堆供应商喜欢称他们的新一代反应堆为“被动安全”，但这一术语在公众认知中有时会与“固有安全”混淆。务必理解，不存在“被动安全”的反应堆或“被动安全”的系统，只有“被动安全”的安全系统组件存在。安全系统用于在发生预期运行事件或事故时，在工厂偏离正常运行条件的情况下保持对工厂的控制，而控制系统用于在正常运行条件下操作工厂。有时一个系统会同时兼具这两个功能。被动安全指的是安全系统组件，而固有安全指的是控制系统过程，无论是否存在特定于安全性的子系统。

以具有“被动安全”组件的安全系统为例，让我们考虑核反应堆的隔离层。“被动安全”组件是混凝土墙和钢衬里，但为了完成其使命，必须运行主动系统，例如确保通往隔离层外部的管道关闭的阀门、反应堆状态对外部仪表和控制工程|控制（仪表|I&C）的反馈，这两者可能都需要外部电源才能运行。

国际原子能机构 (IAEA) 根据系统不使用什么 对组件的“被动安全”程度进行了 A 到 D 类别的分类。

1. 无移动工作流体
2. 无移动机械部件
3. 无“智能”信号输入
4. 无外部电源输入或力

A 类（1+2+3+4）是燃料包壳，它不使用这些：它始终封闭，将燃料和裂变产物保持在内部，并且在到达后处理厂之前不会打开。B 类（2+3+4）是增压线，它将热管连接到增压器，并帮助控制压水堆主回路的压力，在完成其使命时使用移动的工作流体。C 类（3+4）是蓄能器，它不需要“智能”信号输入或外部电源。一旦主回路的压力下降到弹簧加载的蓄能器阀门的设定点以下，阀门就会打开，压缩氮气将水注入主回路。D 类（仅 4）是 SCRAM，它利用移动的工作流体、移动的机械部件和“智能”信号输入，但不使用外部电源或力：一旦控制棒从其磁性夹具中释放，它们就会在重力的作用下下降。但核安全工程永远不会那么简单：一旦释放，控制棒可能无法完成其使命：它可能会由于地震条件或堆芯结构变形而卡住。这表明，尽管它是一个被动安全系统并且已正确启动，但它可能无法完成其使命。核工程师已经考虑到了这一点：通常，只有一部分下降的控制棒是必要的来关闭反应堆。在几乎所有核电站都可以找到具有被动安全组件的安全系统样本：隔离层、压水堆中的水力蓄能器或沸水堆中的压力抑制系统。

在大多数关于下一代反应堆中“被动安全”组件的文本中，关键问题是，安全系统不需要泵来完成其使命，并且所有系统中的主动组件（通常是仪表|I&C 和阀门）都使用电池提供的电力。

IAEA 明确使用以下警告语

… 被动性并不等同于可靠性或可用性，更不等于安全特性得到保证的充分性，尽管可以通过被动设计更容易地抵消一些可能对性能不利的影响（公众认知）。另一方面，采用可变控制的主动设计可以更精确地完成安全功能；这在事故管理条件下可能特别令人满意。

核反应堆响应特性，如温度系数#温度系数的反应性|温度系数的反应性和空隙系数的反应性通常分别指的是中子慢化剂热传递过程的热力学和相变响应。热传递过程具有负空隙系数反应性的反应堆被称为具有固有安全过程特征。操作故障模式可能潜在地改变过程，使此类反应堆变得不安全。

反应堆可以配备液压安全系统组件，该组件响应慢化剂和冷却剂的流出压力增加而增加冷却剂（特别是水）的流入压力，而无需控制系统干预。此类反应堆将被描述为配备了这种被动安全组件，该组件可以（如果这样设计）在反应堆中产生负空隙系数的反应性，无论其安装的反应堆的操作特性如何。该特征仅在响应速度快于新出现的（蒸汽）空隙以及反应堆组件能够承受更高的冷却剂压力的情况下才有效。配备这两种安全特征的反应堆（如果设计为相互作用）是联锁|安全联锁的一个例子。更罕见的运行故障模式可能使这两种安全特征都失效，并降低反应堆的整体相对安全性。

运行中的被动安全示例

传统的反应堆安全系统是主动的，因为它们涉及按命令系统进行的电气或机械操作（例如，高压水泵）。但一些工程化的反应堆系统完全被动运行，例如使用压力泄放阀来管理过压。仍然需要并行冗余系统。组合的固有和被动安全只依赖于物理现象，例如压差、对流、重力或材料对高温的自然响应来减缓或关闭反应，而不依赖于工程组件（例如高压水泵）的功能。

目前的压水堆和沸水堆是设计了某种被动安全特性的系统。在过功率情况下，随着核反应堆堆芯中的水沸腾，会形成蒸汽气泡。这些蒸汽空隙中子慢化剂|慢化较少的中子，导致反应堆内部的功率水平降低。BORAX 实验和 SL-1 熔毁事故证明了这一原理。

如果反应堆的设计在所有运行模式下，在特定故障情况下，其固有安全的流程直接提供被动安全组件，则通常将其描述为对该故障条件的相对安全。^[1] 但是，大多数当前的水冷和慢化反应堆在紧急停堆时，如果没有过程热传递或主动冷却系统，就无法去除残余的产热和衰变热。换句话说，虽然固有安全热传递过程在运行模式“开启”时提供被动安全组件以防止过度热量，但相同的固有安全热传递过程在运行模式“关闭（紧急停堆）”时不提供被动安全组件。三哩岛事故暴露出这种设计缺陷：反应堆和蒸汽发生器都处于“关闭”状态，但在冷却剂丢失的情况下，它仍然遭受了部分熔毁。^[2]

第三代反应堆|第三代设计通过整合被动或固有安全特征，改进了早期设计。^[3] 这些特征不需要主动控制或（人工）操作干预，就能在发生故障的情况下避免事故，并且可能依赖于压差、重力、自然对流或材料对高温的自然反应。

在某些设计中，快中子增殖反应堆的核心浸没在LMFBR|液态金属池中。如果反应堆过热，金属燃料和包壳的热膨胀会导致更多中子从核心逃逸，核链式反应将无法维持。大量的液态金属也充当热汇，即使正常冷却系统发生故障，也能吸收来自核心的衰变热。

球床反应堆是一个例子，它展示了一种固有安全的流程，该流程也能为所有运行模式提供被动安全组件。随着燃料温度的升高，多普勒展宽会增加中子被铀-238|U-238原子捕获的概率。这减少了中子被铀-235|U-235原子捕获并引发裂变的可能性，从而降低了反应堆的功率输出，并在燃料温度上设置了固有的上限。燃料球的几何形状和设计提供了重要的被动安全组件。

单流体氟化熔盐反应堆的特点是，裂变性、可育性和锕系放射性同位素与氟化物冷却剂以分子键的形式存在。分子键提供了一种被动安全特征，即冷却剂丢失事件对应于燃料丢失事件。熔融氟化物燃料本身无法达到临界状态，只有在添加中子反射体（如热解石墨）后才能达到临界状态。燃料的密度较高，^[4] 以及额外的低密度FLiBe氟化物冷却剂（不含燃料），提供了一个浮动层被动安全组件，其中从控制棒或浸没基质中脱落的低密度石墨在机械故障期间不会导致临界状态。反应堆液体的重力驱动排水提供了被动安全组件。

一些反应堆，如LMFBR|液态金属和熔盐反应堆|熔盐变体，使用钍-232钍燃料循环|燃料，这种燃料在自然界中比铀同位素更丰富，不需要浓缩。铀燃料循环中浓缩的困难为防止核扩散提供了一种被动安全组件。钍-232的中子俘获通过中子敲出效应，同时生成可裂变的铀-233和微量的铀-232。铀-232的中子截面和衰变产物使设计复杂化，如果将其制成核武器，还会损坏电子设备，尽管“茶壶行动”证明了其可能性。目前认为，铀-233与铀-232的分离是不可能的，这为防止核扩散提供了一个部分被动安全组件。

诸如SLOWPOKE和TRIGA之类的低功率池式反应堆已获准在研究环境中进行无人值守操作，因为随着富集铀|低富集（19.75% U-235）铀合金氢化物燃料温度的升高，燃料中分子结合的氢会导致热量传递到裂变中子，因为这些中子被弹出。^[5] 这种多普勒效应|多普勒频移或光谱硬化^[6] 使热量从燃料中更快地散发到整个池中，燃料温度越高，确保燃料快速冷却，同时保持比燃料低得多的水温。快速、自分散、高效的氢-中子热传递，而不是低效的放射性核素-水热传递，确保燃料不会因事故而熔化。在铀-锆合金氢化物变体中，燃料本身也是化学耐腐蚀的，确保燃料分子在整个生命周期内具有可持续的安全性能。池子提供的广阔水域和混凝土外壳，使高能中子能够穿透，确保该过程具有高度的固有安全性。可以通过池子看到核心，并且可以对核心燃料元件进行直接验证测量，便于全面监控并提供核不扩散安全性。燃料分子本身和池子的开阔空间都是被动安全组件。这些设计的高质量实现可以说是最安全的核反应堆。

使用被动安全特征的反应堆示例

三哩岛核电站#三哩岛二号机组|三哩岛二号机组无法阻止大约480 PBq的放射性惰性气体释放到环境中，以及大约120 kL的放射性污染冷却水从安全壳泄漏到邻近的建筑物中。TMI-2的导向阀设计为在将反应堆内部过高的压力释放到一个淬火槽后自动关闭。但是，该阀门发生机械故障，导致PORV淬火槽充满，并且泄压隔膜最终破裂进入安全壳。^[7] 安全壳集水坑的自动泵将污染的水泵到安全壳外部。^[8] 一个带淬火槽的工作PORV和一个独立的安全壳带集水坑，共同提供了两层被动安全。不可靠的PORV使其设计的被动安全失效。工厂设计仅为PORV提供了一个开/关指示器，而不是单独的开和关指示器。^[9] 这直接导致了PORV的机械可靠性无法确定，因此其被动安全状态也无法确定。自动集水坑泵和/或集水坑容量不足，导致安全壳设计的被动安全失效。

臭名昭著的切尔诺贝利核电站切尔诺贝利灾难|灾难中使用的RBMK石墨慢化、水冷反应堆设计具有正空穴系数，并且硼控制棒安装在电磁抓斗上，用于反应速度控制。在控制系统可靠的程度上，这种设计确实具有相应程度的主动固有安全性。反应堆在低功率水平下是不安全的，因为错误的控制棒移动会产生反直觉的放大效应。切尔诺贝利4号反应堆使用手动起重机驱动的硼控制棒建造，这些控制棒的顶部是慢化剂物质石墨，这是一种中子反射体。它设计了一个紧急堆芯冷却系统（ECCS），该系统依赖于电网电源或备用柴油发电机来运行。ECCS安全组件绝对不是被动的。该设计采用了一个部分安全壳，包括反应堆上部和下部的混凝土板（带有管道和棒穿透）、一个充满惰性气体的金属容器（用于使水冷的热石墨远离氧气）、一个防火屋顶以及容器下方密封在二级水箱中的管道。屋顶、金属容器、混凝土板和水箱都是被动安全组件的例子。切尔诺贝利核电站综合体的屋顶由沥青制成（违反设计），使其易燃。与三哩岛事故不同的是，混凝土板和金属容器都无法阻止Gasification|蒸汽、石墨和氧气驱动的氢气爆炸。水箱无法承受管道的高压失效。被动安全组件的设计不足以满足系统的安全要求。

通用电气公司的ESBWR（经济型简化沸水堆，一种沸水堆|BWR）是一种据报道使用被动安全组件的设计。在发生冷却剂丢失|冷却剂丢失的情况下，三天内不需要操作人员采取任何行动。^[10]

西屋电气公司的AP1000|AP-1000（“AP”代表“先进被动”）是一种据报道使用被动安全组件的设计。在发生事故的情况下，72小时内不需要操作人员采取任何行动。^[11]

积分快堆是一种由阿贡国家实验室运行的快中子增殖反应堆。它是一种钠冷反应堆，能够在没有SCRAM的情况下承受（冷却剂）流量损失和散热器损失。这在一系列安全测试中得到了验证，在这些测试中，反应堆在没有操作员干预的情况下成功关闭。该项目由于核扩散|扩散问题而被取消，因为它还没有被复制到其他地方。

熔盐反应堆实验是由橡树岭国家实验室运行的一种熔盐反应堆。它是一种氟化物盐冷却反应堆，其中燃料分子也充当熔融氟化物盐冷却剂。它采用热化学冷冻阀，其中熔融盐通过哈氏合金-N盐管道扁平部分的空气冷却至冰点以阻止流动。如果反应堆容器产生过热或空气冷却失去电力，那么燃料和冷却剂可以通过热化学方式渗透到阀门中，进入远离中子反射器的排放罐，并在被动或主动水冷却的途中变得亚临界。 在测试过程中，观察到约 6-10% 的计算的 54 居里|Ci/天（2.0 太贝克勒尔|TBq/天）氚产量从燃料系统扩散到安全壳大气中，另外 6-10% 通过热量去除系统进入空气。 吸入 70 吉贝克勒尔|GBq 氚相当于成人剂量 3 西弗特|Sv ，预计其中 50% 的病例将在 30 天内死亡。氟化物盐分子键被动安全组件未能阻止氚从裂变中产生，因此存在核扩散|扩散风险。氟化物盐分子键未能阻止氚泄漏到安全壳中。

过去 10 年在美国运行的沸水反应堆|BWR 和压水反应堆|PWR 机组已报告 42 次季度平均每天氚排放量超过 22 毫居里|mCi/天（70 吉贝克勒尔|GBq/天）的事件。 在 2001 年第一季度，帕洛维德核电站|帕洛维德 1 号机组平均每天释放 9 居里|Ci/天（333 吉贝克勒尔|GBq/天）的氚气。 水作为中子慢化剂的被动安全组件未能阻止过量的氚气（含 2 个中子的氢）从工厂中以气体的形式释放出来，以便用空气稀释而不是用水中稀释的三重水。吸入氚的吸收率几乎是摄入氚的两倍。

外部链接

• 斯坦福大学