文/环保部核电安全监管司司长 汤搏

核电厂设计的难题

日本福岛第一核电厂位于日本福岛县双叶郡的大熊町和双叶町，在日本东海岸的面向太平洋侧，共建有6台沸水堆核电机组。其中1号机组1967年7月25日开始建设，1970年11月17日并网发电；2号机组1969年6月9日开始建设，1973年12月24日并网发电；3号机组、4号机组、5号机组和6号机组开始建设的时间分别是1970年12月28日、1973年2月12日、1972年5月22日和1973年10月26日，并网发电的时间分别是1974年10月26日、1978年2月24日、1977年9月22日和1979年5月4日。

沸水堆核电厂最早由美国通用电气公司开发，是目前世界上机组数量居第二位的核电机型。沸水堆核电机型和压水堆核电机型各有优缺点，从安全水平来说，美国在上世纪80年代到90年代开展了电厂安全评价计划和外部事件下的电厂安全评价计划，针对美国的35座沸水堆核电机组和73座压水堆核电机组的评价结果表明，沸水堆核电厂平均的反应堆堆芯熔化频率比压水堆核电厂约低一个数量级，但在发生严重事故的条件下，沸水堆安全壳的失效概率比压水堆核电厂高。这个结果主要是由沸水堆核电厂的应急堆芯冷却系统拥有更多的多样性，但安全壳内部的自由容积大大低于压水堆核电厂所决定的。但是对于一个具体核电厂的设计来说，安全水平还取决于在设计阶段是否正确地识别和确定了内外部事件所造成的影响，以及针对这些内外部事件所采取的设防措施是否充分。举个例子，当你设计一辆汽车时，你首先要确定这辆汽车未来是要在市内行驶还是做越野，你拿一辆为市内行驶设计的汽车去越野，出问题的可能性肯定会很大。

前面提到核电厂在设计时要考虑“最大假想地震”、“可能最大洪水”、“可能最大降水”等自然灾害，这个要求并不是一开始发展核电就有的，而是上世纪60年代中期美国人首先关注到这个问题，然后逐渐形成相关设计要求和确定这些自然灾害水平的方法。但在早期确定这些“最大假想”、“可能最大”时，通常使用最大历史记录法，后期又发展了一些其他方法。例如在我国和美国，在确定“最大假想地震”时，还采取地质构造法。所谓地质构造法，即在核电厂址一定范围内，通常为150公里或更大，寻找可能的发震构造，如能动断层，并评估其一旦发生地震对核电厂厂址的影响。

福岛第一核电厂在确定地震和海啸的设防基准时，也经历了这样一个过程。在福岛核电厂开始建设时，海啸高度使用了当时能够得到的最大记录3.1米，这个高度的海啸记录产生于1960年智利发生的世界上已知的最大地震。对于日本东海岸外的日本海沟，没有有关其导致海啸的历史数据。

尽管日本的核安全监管当局没有对地震和海啸的再评价要求，但在事故发生前的运行周期内，东京电力公司还是数次进行了地震和海啸的再评价。如2002年日本土木工程师学会制订和颁布了新的海啸评价方法后，东京电力公司进行了海啸再评估，但新的评价方法仍然使用基于历史数据的模型。东京电力公司评价出的海啸高度高于原设计值，为此在福岛第一核电厂采取了一些补救措施。

2006年，日本核安全监管当局发布了新的导则，要求除了考虑内陆地震外，还要考虑板间地震（日本海沟就是由于太平洋板块插入欧亚板块和菲律宾板块下部所造成）。东京电力公司再次进行了复查，但复查中考虑日本海沟可能发生的地震震级是8级，日本的地震学家也普遍不相信日本海沟会发生9级地震。对于福岛第一核电厂，评价表明日本海沟8级地震对核电厂的影响是小于内陆地震的影响的，但海啸影响的评价直到事故发生时仍未完成。

2009年，东京电力公司使用最新测深数据和潮汐数据再评估的最大海啸高度是6.1米。根据这一新估计值，东京电力公司对福岛第一核电厂进行了改造，特别是抬高了余热排出泵的电机高度。不幸的是，事实证明这个措施仍然是不够的。

在2007年到2009年期间，东京电力公司还使用日本地震调查研究推进本部推荐的模型进行了评价。使用日本地震调查研究推进本部的模型进行评价没有仅仅依靠历史海啸数据，而且考虑了日本海沟地震引发海啸的可能性。在评价方案中考虑日本海沟发生的地震是8.3级，评价结果表明在福岛第一核电厂厂址海啸爬高达到约15米（这个结果与2011年3月11日的实际海啸爬高很接近，但2011年3月11日日本海沟的实际地震是9级）。根据这一新的评价结果，东京电力公司、日本核安全监管机构等都认为需要开展进一步的研究，东京电力公司委托日本土木工程师学会审查模型的适当性，到事故发生时，这些审查仍然在进行中。

从灾难中汲取教训

2011年3月11日14时46分（日本时间），日本东海岸外的日本海沟发生9.0级大地震，震源距离福岛第一核电厂约130公里。地震发生时，福岛第一核电厂的1、2和3号机组处于功率运行状态，4、5和6号机组处于停堆换料和大修维护阶段。当核电厂的地震传感器探测到地震后，自动对正在功率运行的1、2和3号机组实施了停堆保护。

虽然核电机组的反应堆被停闭，但存在于核燃料中裂变产物的衰变热仍然需要被排出，这也包括存放于乏燃料水池中的已辐照燃料。冷却系统通常需要交流电源提供动力和直流电源提供控制和监测，但地震导致外电网全部被破坏，外部电源的供应丧失，厂内应急柴油发电机自动启动，蓄电池的供电也没有问题。或者核电厂的安全系统自动动作，或者操纵人员按规程采取了行动，似乎核电厂的一切都处于控制之中。

大约40分钟后，第一波海啸到达厂址，但海啸爬升高度只有4～5米，处在防浪堤的防护高度之下。在第一波海啸的大约10分钟后，第二波海啸到达厂址，海啸爬升高度达到约15米，海水涌入厂区，导致除6号机组一台位于较高位置的附加气冷柴油发电机外，其他所有的应急柴油发电机失效，海水也导致1、2和4号机组的直流电源失效。这使核电厂运行人员面临困难的局面，因为虽然严重事故管理指南中提供了对全厂断电工况进行处理的指导，但必须保证直流电源的存在，以提供必要的监测数据和控制电源。操纵员和应急响应人员必须重新审查可用的方案并确定恢复电源的可能方法。

针对1号机组制订的方案是设法恢复交流电源，同时考虑使用固定的柴油机驱动消防泵或消防车向反应堆堆芯注水。3月11日23时50分，能够得到的第一个监测参数显示1号机组安全壳内压力已超过最大设计压力，这威胁到安全壳的密封功能，需要采取安全壳卸压通风措施（实际上，由于柴油机驱动消防泵和消防车的注入压力有限，为了实现注水功能，也需要对反应堆甚至安全壳进行卸压）。3月12日1时48分，发现柴油机驱动消防泵不起作用，于是实施使用消防车注水的方案。3月12日4时，反应堆压力已降到允许消防车注水，在堆芯失去冷却约12.5小时后，开始使用消防车向堆芯注水。由于消防车要往返淡水箱装水，所以这种注水时断断续续的。在断断续续注水约5.5个小时后，一条直通淡水箱的管线被建立，开始了连续的注水过程。3月12日4时19分，在没有操纵员干预和安全壳卸压通风的情况下，安全壳内压力出现下降，这意味着安全壳的密封功能可能已经受到损害。3月12日14时53分，淡水箱的水源几乎消耗完，现场主管决定注入3号机组反冲洗阀井内积存的海水。在用半个多小时完成了注水准备工作后，1号机组反应堆厂房的氢气爆炸破坏了注水工作。在对受损设备进行维修和更换后，3月12日19时4分开始了向堆芯的海水注入工作，期间堆芯再次失去约4小时的冷却。3月14日1时10分，由于反冲洗阀井内的海水水位已降到很低，注水工作停止，等待井内的水位恢复，但就在准备恢复注水时，3号机组的反应堆厂房爆炸，再次影响了注水工作。等到从海洋的抽水管线完成布置，再次向堆芯注水时，1号机组又有19个小时失去了堆芯注水。

与1号机组不同，2号机组设有堆芯隔离冷却系统。这个系统的泵由堆芯产生的蒸汽直接驱动，而不需要外部动力源，所以急需确认2号机组堆芯隔离冷却系统的运行状况。但直到3月12日2时10分，一个小组才进入堆芯隔离冷却系统的设备房间，确认了堆芯隔离冷却系统的运行。3月13日12时5分，为了在堆芯隔离冷却系统一旦失效的情况下向堆芯注入海水，现场主管下令做好注入海水的准备，将消防车连接到注入管线。3月14日13时左右，2号机组丧失了冷却，反应堆水位下降并且压力增加，由于压力过高，13时5分开始的海水注入没有成功。为了使海水能够注入，开始对反应堆进行卸压，但这使安全壳的压力增加，并在22时50分超过了设计压力，现场对安全壳进行卸压通风的努力也没有成功。3月15日6时14分，现场听到爆炸声，2号机组安全壳抑压池的压力下降（有推测认为可能在抑压池发生了氢爆），这意味着2号机组安全壳的密封功能可能受到损坏。

3号机组维持了直流电源。在全厂断电后，反应堆冷却剂系统的卸压阀自动开启，以限制压力。操纵员手动启动了堆芯隔离冷却系统，并且关闭了一些非重要设备，以节约直流电源。3月12日11时36分，在连续运行20.5小时后，堆芯隔离冷却系统停止了运行，操纵员几次重新启动都未能成功，堆芯水位开始下降。12时35分，反应堆压力下降到高压安全注射系统的启动定值，高压安全注射系统自动启动以维持堆芯水位，操纵员通过手动控制避免系统的频繁自动启动和停止，以节约直流电源。在高压安全注射系统工作14个小时后，由于担心低参数的蒸汽会损坏高压安全注射泵的驱动汽轮机，且反应堆压力已经低于柴油机驱动消防泵的注入压力，并且可以使用卸压阀来控制反应堆压力，操纵员决定停止高压安全注射系统，而使用柴油机驱动消防泵来实施注入。但在操纵员关闭高压安全注射泵后，开启卸压阀的尝试却多次失败，反应堆的压力迅速升高到超过消防泵的压力，3号机组堆芯丧失冷却，操纵员随后恢复高压安全注射系统的努力也以失败告终，于是现场主管下令使用消防车实施堆芯注水，同时准备建立安全壳的卸压通风。3月13日5时21分，开始使用5、6号机组的消防车以及赶到现场的柏崎•刈羽核电厂消防车建立海水注入管线，但由于接到东京电力公司总部的一个电话，现场主管推迟了使用该管线，而将注水源改为含硼淡水源。为了实现消防车的注入，需要降低反应堆的压力，现场使用轿车电池实现了这一点。但随着反应堆卸压的进行，安全壳内的压力激增，9时20分，安全壳卸压通风系统的爆破盘爆破。9时25分，在失去冷却4个多小时后，开始向堆芯注入含硼淡水。3月13日12时20分，淡水源耗光，现场主管决定注入海水，约1小时后实现了利用反冲洗阀井中海水的注入。3月14日1时10分，由于反冲洗阀井中的海水水位下降，停止了海水的注入，在将进水管更深地插入井中，2小时后恢复了3号机组的海水注入。在接下来的几个小时内，3号机组被发现反应堆水位不断下降，安全壳内压力持续上升。3月14日6时20分，反应堆水位超出正常范围，意味着堆芯可能裸露。由于担心氢气爆炸，现场主管下令停止注水活动，人员撤离。在恢复注水工作时，11时1分，3号机组反应堆厂房发生了爆炸。在暂停2小时后，开始恢复从海洋向3号机组的注水工作，待海水重新注入时，堆芯已经9个小时失去了冷却。

3月17日至20日，外部电源陆续连接到现场。1号和2号机组在全厂断电约9天后恢复了外部电源供应。3号和4号机组在全厂断电约14天后恢复了外部电源供应。6号机组又恢复了1台水冷柴油发电机，向5号和6号机组供电，随后5号和6号机组实现了冷停堆。1至3号机组则按照东京电力公司制订的路线图，在维持反应堆和乏燃料水池的持续冷却、监测和减少放射性物质释放、控制氢气聚集及预防堆芯重返临界方面开展后续工作。

在事故发展过程中，包括美国核管理委员会在内曾经很担心乏燃料水池，特别是4号机组乏燃料水池内存贮的大量乏燃料的安全，甚至推测乏燃料与水反应可能产生氢气，所以使用直升机、高压水枪、消防车和混凝土泵车等对3号和4号机组的乏燃料水池进行了补水。但后来对乏燃料水池的检查表明，乏燃料没有出现明显的损伤，美国核管理委员会后期承认，在福岛第一核电厂事故期间对乏燃料水池的风险估计过高。

事故过程中，1、3和4号机组的反应堆厂房先后发生了爆炸，爆炸极大地影响了相关的事故处理工作。1号和3号机组的爆炸是由于熔融堆芯与水发生反应产生了大量氢气，但4号机组反应堆压力容器内并无燃料，事后推测是3号机组产生的氢气通过通风管道泄漏到了4号机组反应堆厂房。

由于事故过程中安全壳密封性能的损坏，或者是对安全壳实施了卸压通风（安全壳卸压通风是严重事故管理指南中提供的措施，但卸压时机很重要。在堆芯已经熔毁后实施卸压，大量的放射性物质则会进入环境），大量的放射性物质，包括放射性废水进入环境，造成了严重的环境后果。福岛第一核电厂1、2、3号机组采用了MARK-I型安全壳，美国电厂安全评价计划和外部事件下的电厂安全评价计划的结果显示，其安全壳下部的环形抑压池是薄弱环节。福岛第一核电厂事故向环境的大量放射性废水的排放，很可能是抑压池的损坏所致。

后期评估表明，在福岛第一核电厂事故中，1号机组反应堆堆芯的损坏大约发生在海啸后第4～5小时，在海啸后约6～8小时熔化的堆芯熔穿了反应堆压力容器底部，在海啸后约12小时观察到放射性物质释放，在海啸后约23小时对安全壳卸压通风时导致了大规模放射性物质释放。2号机组在海啸后约76小时发生了堆芯熔化，在海啸后约89小时由于安全壳压力边界的失效导致放射性物质释放。3号机组大约在海啸后43小时堆芯开始熔化，由于抑压池的爆破盘破裂，海啸后47小时开始大规模放射性物质释放。