福岛事故后：印度角核电站的未来？/被动核安全

被动核安全 是核反应堆的一种安全功能，在发生特定类型的紧急情况（通常是由于冷却剂丧失事故|冷却剂丧失或冷却剂流动丧失导致的过热）时，不需要操作员操作或电子反馈即可安全关闭。此类反应堆往往更多地依赖于组件的工程设计，以便它们根据已知的物理定律预测的行为会在这种情况下减缓而不是加速核反应。这与一些较旧的反应堆设计形成对比，在这些设计中，反应的自然趋势是在温度升高的情况下迅速加速，因此需要电子反馈或操作员触发的干预来防止反应堆损坏。

术语

将反应堆称为“被动安全”更像是对维持一定安全程度的策略的描述，而不是对安全水平的描述。采用被动安全系统的反应堆是否被认为安全或危险将取决于用于评估安全水平的标准。也就是说，现代反应堆设计一直专注于增加被动安全，因此大多数被动安全设计都包含主动和被动安全系统，使其比旧的装置安全得多。可以说，与之前的设计相比，它们“相对安全”。

反应堆供应商喜欢将他们新一代的反应堆称为“被动安全”，但这一术语在公众的认知中有时会与“固有安全”混淆。重要的是要理解，没有“被动安全”的反应堆或“被动安全”的系统，只有“被动安全”的安全系统组件存在。安全系统用于在发生预期的运行事故或事故的情况下，在设备超出正常工况时保持设备的控制，而控制系统用于在正常工况下操作设备。有时一个系统会兼具两种功能。被动安全指的是安全系统组件，而固有安全指的是控制系统过程，无论是否存在特定于安全的子系统。

以带有“被动安全”组件的安全系统为例，让我们考虑一下核反应堆的隔离层。“被动安全”组件是混凝土墙和钢衬里，但为了完成其任务，必须运行主动系统，例如阀门，以确保通往隔离层外部的管道关闭，反应堆状态反馈到外部仪表和控制工程|控制（仪表|I&C），这两者可能都需要外部电源才能运行。

国际原子能机构 (IAEA) 根据系统不使用什么来对组件的“被动安全”程度进行分类，从 A 类到 D 类：

1. 没有移动的工作流体
2. 没有移动的机械部件
3. 没有“智能”信号输入
4. 没有外部电源输入或力

A 类 (1+2+3+4) 是燃料包壳，它不使用这些中的任何一个：它始终关闭，并将燃料和裂变产物保持在内部，并且在到达后处理厂之前不会打开。B 类 (2+3+4) 是增压管，它将热管连接到增压器，并有助于控制压水堆一次回路的压力，在完成其任务时使用移动的工作流体。C 类 (3+4) 是蓄能器，它不需要“智能”信号输入或外部电源。一旦一次回路的压力降至弹簧加载蓄能器阀门的设定点以下，阀门就会打开，压缩氮气将水注入一次回路。D 类 (仅 4) 是 SCRAM，它使用移动的工作流体、移动的机械部件和“智能”信号输入，但不使用外部电源或力：一旦控制棒从磁性夹持器中释放，它们就会在重力的驱动下下降。但是，核安全工程永远不会那么简单：一旦释放，控制棒可能无法完成其任务：它可能会因地震情况或变形堆芯结构而卡住。这表明，虽然这是一个被动安全系统，并且已正确启动，但它可能无法完成其任务。核工程师已经考虑到了这一点：通常只需要下降一部分控制棒就可以使反应堆停堆。在几乎所有核电站中都可以找到带有被动安全组件的安全系统的示例：安全壳、压水堆中的液压蓄能器或沸水堆中的压力抑制系统。

在大多数关于下一代反应堆中“被动安全”组件的文本中，关键问题是安全系统不需要泵来完成其任务，并且系统的所有主动组件（通常是仪表|I&C 和阀门）都使用来自电池的电力工作。

IAEA 明确使用了以下免责声明：

... 被动性并不等同于可靠性或可用性，更不等于安全功能的可靠性，尽管被动设计可以更容易地抵消一些可能对性能不利的影响（公众认知）。另一方面，采用可变控制的主动设计可以更精确地完成安全功能；这在事故管理条件下可能特别有利。

核反应堆响应特性，如温度系数#温度系数|温度系数和空隙系数，通常分别指的是中子慢化剂热传递过程的热力学和相变响应。热传递过程具有负空隙系数的操作特性的反应堆被称为具有固有安全过程特征。操作故障模式可能会改变该过程，使此类反应堆变得不安全。

反应堆可以配备一个液压安全系统组件，该组件在慢化剂和冷却剂的流出压力增加时增加冷却剂（尤其是水）的流入压力，而无需控制系统干预。此类反应堆将被描述为配备了此类被动安全组件，该组件可以 - 如果设计如此 - 使反应堆具有负空隙系数，而不管其安装的反应堆的操作特性如何。该功能只有在响应速度快于出现的（蒸汽）空隙并且反应堆组件能够承受增加的冷却剂压力的情况下才会起作用。一个同时配备了两种安全特征的反应堆 - 如果设计为相互构造性地交互 - 是互锁|安全互锁的示例。更罕见的运行故障模式可能会使这两种安全功能都变得毫无用处，并降低反应堆的整体相对安全性。

被动安全运行的示例

传统的反应堆安全系统是主动的，因为它们涉及按指令系统进行的电气或机械操作（例如，高压水泵）。但一些工程化的反应堆系统完全被动地运行，例如，使用压力释放阀来管理超压。仍然需要并联冗余系统。组合的固有和被动安全仅取决于物理现象，例如压力差、对流、重力或材料对高温的自然响应，以减缓或关闭反应，而不依赖于工程组件（例如高压水泵）的功能。

目前压水堆和沸水堆是设计了某种被动安全功能的系统。在发生过功率状况时，当核反应堆堆芯中的水沸腾时，会形成蒸汽气泡。这些蒸汽空隙中子慢化剂|使较少的中子慢化，导致反应堆内部的功率水平降低。BORAX 实验和 SL-1 熔毁事故证明了这一原理。

一个反应堆设计，其固有安全过程在所有运行模式中特定故障状况下直接提供一个被动安全组件，通常被称为对该故障状况具有相对的失效安全性。 但是，大多数目前的用水冷却和慢化反应堆，在紧急停堆后，无法在没有过程热传递或主动冷却系统的情况下去除残余生产和衰变热量。换句话说，虽然固有安全热传递过程提供了被动安全组件，防止在“开”运行模式下过热，但相同的固有安全热传递过程没有在“关（紧急停堆）”运行模式下提供被动安全组件。三里岛事故暴露了这种设计缺陷：反应堆和蒸汽发生器都处于“关”状态，但由于冷却剂损失，它仍然发生了一次部分熔毁。

第三代反应堆|第三代设计通过加入被动或固有安全功能来改进早期设计 ，这些功能在发生故障的情况下不需要主动控制或（人工）干预以避免事故，并且可能依赖于压力差、重力、自然对流或材料对高温的自然响应。

在一些设计中，快增殖堆的堆芯浸没在 LMFBR|液态金属池中。如果反应堆过热，金属燃料和包壳的热膨胀会导致更多中子从堆芯中逸出，核链式反应就无法持续下去。大量的液态金属也充当热沉，即使正常的冷却系统发生故障，也能吸收来自堆芯的衰变热量。

卵石床反应堆是具有固有安全过程的反应堆的一个例子，该过程也能够为所有运行模式提供被动安全组件。随着燃料温度的升高，多普勒展宽会增加中子被铀 238|U-238 原子捕获的概率。这降低了中子被铀 235|U-235 原子捕获并引发裂变的可能性，从而降低了反应堆的功率输出，并对燃料温度设置了一个固有的上限。燃料卵石的几何形状和设计提供了一个重要的被动安全组件。

单流体氟化熔盐反应堆利用氟化物冷却剂将裂变物质、可育物质和锕系放射性同位素结合在分子键中。这些分子键提供了一种被动安全特性，即冷却剂损失事件对应于燃料损失事件。熔融氟化物燃料本身无法达到临界状态，只有在加入诸如热解石墨之类的中子反射体后才能达到临界状态。燃料 的较高密度以及没有燃料的额外低密度 FLiBe 氟化物冷却剂提供了浮力层被动安全组件，其中从控制棒或浸没矩阵断裂的低密度石墨在机械故障期间不会引起临界状态。反应堆液体受重力驱动的排水提供了一个被动安全组件。

某些反应堆，例如 LMFBR | 液态金属和熔盐反应堆 | 熔盐变体，使用钍-232 钍燃料循环 | 燃料，它比铀同位素在自然界中更丰富，不需要富集。铀燃料循环中富集的困难为防止核扩散提供了一个被动安全组件。钍-232 的中子俘获通过中子敲除产生裂变物质铀-233 和少量的铀-232。铀-232 的中子截面和衰变产物使设计复杂化，如果将其用于核武器，则会损坏电子设备，尽管 “茶壶行动” 证明了其可能性。目前认为不可能将铀-233 与铀-232 隔离，这为防止核扩散提供了一个部分被动安全组件。

诸如 SLOWPOKE 和 TRIGA 之类的低功率池式反应堆已获准在研究环境中进行*无人值守*运行，因为当富集铀 | 低富集（19.75% U-235）铀合金氢化物燃料的温度升高时，燃料中分子键合的氢会导致热量转移到裂变中子，这些中子被弹出。 这种多普勒效应 | 多普勒位移或频谱硬化 使燃料在整个池中更快速地消散热量，燃料温度升高越高，确保燃料快速冷却，同时保持比燃料低得多的水温。快速、自分散、高效的氢-中子热传递，而不是低效的放射性核素-水热传递，确保燃料不会因事故而融化。在铀-锆合金氢化物变体中，燃料本身也具有化学耐腐蚀性，确保燃料分子在其整个生命周期内具有可持续的安全性能。池中提供的广阔的水域和混凝土包围使高能中子能够穿透，确保该过程具有高度的内在安全性。核心在池中可见，可以直接对核心燃料元件进行验证测量，从而便于全面监控并提供核不扩散安全性。燃料分子本身和池子的开阔空间都是被动安全组件。这些设计的高质量实现可以说是最安全的核反应堆。

使用被动安全特性的反应堆示例

三哩岛核电站#三哩岛第二号机组|三哩岛第二号机组无法阻止约 480 PBq 的放射性惰性气体释放到环境中，以及约 120 kL 的放射性污染冷却水从围阻体释放到邻近建筑物中。TMI-2 的导向式安全阀旨在将反应堆内部的过度压力释放到淬火罐中后自动关闭。但是，阀门发生机械故障，导致 PORV 淬火罐充满，并且安全阀最终破裂到围阻体建筑物中。 围阻体建筑物集水坑泵会自动将污染水排放到围阻体建筑物外部。 具有淬火罐的工作 PORV 以及独立的具有集水坑的围阻体建筑物提供了两层被动安全。不可靠的 PORV 取消了其设计的被动安全性。工厂设计仅为 PORV 提供了一个开/关指示器，而不是单独的开和关指示器。 这使得 PORV 的机械可靠性直接无法确定，因此其被动安全状态也无法确定。自动集水坑泵和/或不足的围阻体集水坑容量取消了围阻体建筑物设计的被动安全性。

臭名昭著的切尔诺贝利核电站切尔诺贝利灾难 | 灾难中的 RBMK 石墨慢化、水冷反应堆的设计具有正空隙系数，并且使用电磁抓钩上的硼控制棒来控制反应速度。在控制系统可靠的程度上，这种*设计*确实具有相应程度的*主动*固有安全性。反应堆在低功率水平下不安全，因为错误的控制棒移动会产生反直觉的放大效应。切尔诺贝利 4 号反应堆是用手动起重机驱动的硼控制棒建造的，这些控制棒的顶端是中子反射体石墨。它被设计为具有一个紧急堆芯冷却系统 (ECCS)，该系统依赖于电网电源或备用柴油发电机运行。ECCS 安全组件绝对不是被动的。该设计包含一个部分围阻体，包括反应堆上方和下方的混凝土板 - 管道和棒穿透，一个惰性气体填充的金属容器，用于将氧气与水冷热的石墨隔离，一个防火屋顶，以及容器下方的管道密封在二次水填充的盒子里。屋顶、金属容器、混凝土板和水箱都是被动安全组件的例子。切尔诺贝利核电站综合体的屋顶是用沥青制成的 - 与设计不符 - 导致其可燃。与三哩岛事故不同，混凝土板和金属容器都无法阻止*汽化* | 蒸汽、石墨和氧气驱动的氢爆炸。水箱无法承受管道的高压破坏。设计的被动安全组件不足以满足系统的安全要求。

通用电气公司的 ESBWR（经济简化沸水反应堆，一种沸水反应堆 | BWR）是一种据报道使用被动安全组件的设计。在冷却剂损失 | 冷却剂损失的情况下，不需要操作员操作三天。

西屋电气公司的 AP1000 | AP-1000（“AP” 代表“高级被动”）是一种据报道使用被动安全组件的设计。在事故发生的情况下，不需要操作员操作 72 小时。

整体快堆是一种由阿贡国家实验室运行的快中子增殖反应堆。它是一个钠冷反应堆，能够在没有 SCRAM 的情况下承受（冷却剂）流量损失和没有 SCRAM 的散热损失。这在一系列安全测试中得到了证明，在这些测试中，反应堆在没有操作员干预的情况下成功关闭。该项目因核扩散 | 扩散问题而被取消，还没有在其他地方被复制。

熔盐反应堆实验是橡树岭国家实验室运行的一种熔盐反应堆。它是一种氟化盐冷却的反应堆，其中燃料分子也充当熔融氟化盐冷却剂。它具有热化学冻结阀，其中熔融盐被空气主动冷却到冰点，在 Hastelloy-N 盐管道扁平部分中阻止流动。如果反应堆容器产生过热或如果电网电源无法供电给空气冷却，那么燃料和冷却剂可以通过热化学方式穿透阀门进入排水罐，远离中子反射体，在被动或主动水冷却过程中变得亚临界。 在测试过程中，观察到大约 6-10% 的计算出的 54 居里 | Ci/天 (2.0 十亿贝克勒尔 | TBq/天) 氚产量从燃料系统扩散到围阻体室大气中，另外 6-10% 进入空气通过热量去除系统。 吸入 70 十亿贝克勒尔 | GBq 的氚相当于成年人剂量 3 西弗 | Sv ，其中 50% 的病例预计在 30 天内死亡。氟化盐分子键被动安全组件未能防止氚的裂变产生，从而带来了核扩散 | 扩散风险。氟化盐分子键未能阻止氚泄漏到围阻体中。

过去 10 年在美国运营的沸水反应堆 | BWR 和压水反应堆 | PWR 舰队报告了 42 次，每季度平均每天氚排放量超过 22 毫居里 | mCi/天 (70 十亿贝克勒尔 | GBq/天)。 在 2001 年第一季度，帕洛维德核电站 | 帕洛维德一号机组平均每天释放 9 居里 | Ci/天 (333 十亿贝克勒尔 | GBq/天) 的氚气。 水作为中子慢化剂的被动安全组件未能阻止过量的氚气 (具有 2 个中子的氢) 从工厂释放到空气中进行稀释，而不是用氚化水稀释的水。吸入的氚的吸收率几乎是摄入的氚的两倍。

外部链接

• 斯坦福