三里岛核事故原因解析(下)

40年前的1979年3月28日，由大都会爱迪生公司(Metropolitan Edison Company)运营的三里岛核电站2号机组(TMI-2)发生了严重核事故。事故发生后，总统委员会进行了两次主要调查，一次由卡特总统任命，第二次由核管理委员会(NRC)特别调查小组进行。两次调查记录了事故发生的详细过程、设备可用性及故障，并分析了事故期间操作人员的行动、操作员培训以及适用于事件的NRC程序。

5、核电站安全分析

1979年4月1日卡特夫妇在丹顿、宾州州长陪同下参观主控室

核电站的安全分析有许多目的。它使电厂的设计者和操作员了解电厂如何应对特定事件或事故，指出如果不采取缓解措施可能造成的损害，指导设计者设计所需的安全系统，并为培训操作人员提供信息。

分析显示了反应堆操作员如何识别特定事件以及他们必须采取的行动，并为应急程序的准备提供所需的信息。分析结果也表明是否符合适用法规。 所有的结果都可以在某种程度上证明，潜在的损害已得到缓解，并确保了电厂人员和公众的安全。

TMI-2 LOCA分析由设计师进行。要求相当完备，但执行的并不完全，它没有设想到非常小的缺陷也可造成不一样的后果。 作为TMI-2许可程序的一部分，设计师未进行LOCA分析，公用事业公司未向NRC提交任何接近PORV排放口(约2平方英寸)破裂尺寸的LOCA分析。未对稳压器顶部的任何尺寸破裂或因PORV卡在打开位置而导致的LOCA进行分析。

不幸的是，从TMI事故和事故后进行的分析中得知，卡在打开位置的PORV LOCA与针对TMI-2的小破裂LOCA分析有很大不同。 对较小破裂的分析表明，随着破裂尺寸的减小，趋势逆转，后果变得严重。电厂的反应不同，依赖于安全系统和仪表的变化，需要不同的操作员操作。

PORV失效的后果更为不同。当稳压器中的水位上升时，RCS压力会下降。当稳压器水位较高时，堆芯中会形成空洞，并在RCS的较高位置积聚。 此外，当稳压器水位仍然很高时，水位可能下降到堆芯顶部以下，导致堆芯损坏。显然，稳压器水位指示不是处理这起事故的有用工具。

B&W工厂的特殊设计进一步加剧了这种影响。稳压器喘振管线设计有回路密封，以防止蒸汽进入稳压器。消除流向稳压器的蒸汽流可防止稳压器中的水位下降，从而保持较高的水位，同时RCS中会积聚空隙。由于缺乏分析，PORV失效的后果不得而知。

事实证明，如果不采取适当的缓解措施，实际后果比人们预期的要严重得多。假设结果随着破裂尺寸的减小而变好是不正确的。事故的实际后果同样令设计者、核电站的所有者/经营者以及监管机构感到惊讶。核电站对PORV故障的反应完全出乎意料。

6、事故管理

1979年3月28日一大早，TMI-2的四名年轻操作员意识到发生了什么事，但他们不知道具体情况。

汽轮机关闭，反应堆紧急停堆，一连串的警报响起并闪烁。稳压器水位上升时，RCS压力下降。操作人员以前从未遇到过这种情况。这在他们的训练中也没有涉及。他们不知道该怎么办。

操作人员面临的事件是一个卡在打开位置的PORV和一个非常小的LOCA。他们不知道这种情况，跟不知道如何应对。 控制室中没有直接指示PORV的位置，他们看不到PORV是开着的。由于不知道发生了什么，也不熟悉事件，操作人员只能临场发挥，试图将RCS的水位维持在规定的范围内。

他们依赖于稳压器水位读数，就像被训练的那样。不幸的是，他们采取了一些不适当的行动，其中包括关闭高压紧急堆芯冷却系统，打开下泄管线，忽视反应堆堆芯过热的迹象，以及向辅助厂房泵送放射性水。

事发当时的主控室

所有这些动作，都发生在他们得知事故发生两小时20分钟后，即PORV卡在打开位置之前。然后他们采取了纠正措施，关闭了截止阀。

显而易见的问题是，“为什么操作人员临场发挥，为什么他们对这一事件不熟悉?”他们的培训涵盖缓解假设事故，包括LOCA。 只有一组事故没有进行培训——非常小的LOCA事件，包括PORV故障。

由于设计师没有分析该事件，因此未将其纳入操作员培训。由于不知道电厂对PORV故障的反应，设计人员和培训人员指示操作员始终依靠稳压器水位指示来测量RCS中的水位。操作人员在那天上午还接受了此项培训。

尽管完全缺乏针对卡在打开位置的PORV事件的培训，但操作员是否意识到发生了什么并采取了适当的措施?答案是肯定的。 监测到PORV排水管的温度并显示高读数，发出警报信号，表明安全壳厂房地坑中的水位偏高，在反应堆堆芯中观察到高中子水平指示，安全壳厂房中的温度和压力升高，反应堆冷却剂泵振动。

这些观察结果，都可以推断出是典型的LOCA，都可能引起人们注意到卡在打开位置的PORV。 补救措施应该很明显：关闭截止阀。

一旦截至阀关闭，LOCA终止。下一步是通过RCS中水的自然循环来冷却堆芯。 然而，这是不可能的，因为RCS中积累了大量的空隙。操作人员不得不再次临时准备减少RCS中的空隙和气泡，然后建立中性循环。

他们花了几天的时间才完成这项工作。核电站的设计者和运营商都不知道核电站将如何应对卡在开启位置的PORV。

他们所不知道的，不能转达给操作人员。操作人员的培训具有误导性，应急程序对他们所面临的事件不正确。行业经验和监督B&W对PORV和PORV截止阀的两个安全相关分类遗漏，以及缺少PORV故障分析——并非B&W独有。

其他美国PWR设计公司，西屋公司(Westinghouse)和燃烧工程公司(Combustion Engineering)，也出现过同样的遗漏。

三个独立的工程师怎么会犯同样的错误?

核电站的许可证发放是一个主要考虑因素。SAR是许可审核的核心。电厂运维先例为编写报告提供了指导。报告中包括了以前申请中提出的分析，没有要求的分析就忽略了。许多设施收到了一样有误的SAR。这些疏忽遗漏在反应堆操作员培训中造成了直接主要的影响。

操作员接受了电厂模拟机培训，模拟机中编程设定了假设事故。一次事故，PORV故障，无(相关培训)。

没有人注意到或采取纠正措施。在B&W核电站的PORV发生7次故障后，操作员培训计划和模拟器中仍然没有出现这起事故。

就PWR评估而言，NRC(核管理委员)会在审查三位独立设计师的SAR方面具有明显的优势。三种设计之间的比较经常有助于审查。

然而，NRC没有意识到自己对核电站设计和分析的影响。核电站是一个复杂的系统。监管审查和评估不能涉及设计的所有方面，必须确定优先事项。

有一种倾向，即对申请人的要求不超过对前几位申请人的要求。不鼓励花时间审查过去没有审查过的设计领域。因此，监管机构和设计人员一次又一次地讨论设计和安全分析的相同领域，而忽略了其他领域。

7、结论

未能将PORV和截止阀的安全功能纳入电厂设计，为TMI事故创造了条件。

由于控制室中没有打开PORV的正向指示，也没有截止阀的正向位置指示，操作员只能猜测发生了什么以及需要做什么。

由于没有在电厂安全分析中解决PORV故障，设计人员以及培训员和操作人员对电厂对此类事故并不熟悉。他们不知道可能会面临这种问题，因此，培训和指导不够。

当一个接一个地审查或评估类似的工厂设计时，有一种倾向，在每种情况下解决相同的问题。电厂是非常复杂的，并不是所有的东西都可以作为一个评估的一部分。

正确的做法是在后续的审查中转移重点，解决以前没有涉及的问题。 当B&W设计第一批核电站时，为控制核电站安全系统的设计和运行，制定操作员培训计划和应急程序，已经正在制定与LOCA相关的适当NRC法规，在TMI-2获得许可证时就已就位。问题是有些规定没有得到遵守。

对PORV和截止阀的安全功能认识不足，以及未能分析PORV卡在开启位置的事件是TMI-2事故的根本原因。 纠正第一个疏漏本来可以防止事故的发生。纠正第二个疏漏本可以迅速有效地减轻事故。

8、经验教训

直升机进行环境辐射巡测

了解TMI事故的根本原因对核电站设计人员，特别是小型模块堆等新型核电站的设计人员具有重要的指导意义。

识别与安全相关部件和特定设计事故，比表面上看起来更为复杂和困难。设计师有责任识别所有安全相关系统和部件，并分析所有事故类型。

电厂的许多系统和部件既有运行功能又有安全功能。在每个系统的设计中，都必须提出一个问题，即一个系统或部件是否具有安全功能。如果适用，它必须设计出操作功能和安全功能。

事故期间的电厂响应可能是异常的，在正常运行期间从未见过。电厂的安全分析必须完整，必须描述所有潜在的电厂响应。 设计师不能依靠公用事业公司的审查和监管评估来纠正缺陷。设计首先要做好，质量保证过程要保证设计的完善。