《EJ/T917-1994池式研究堆安全功能及部件分級》專題研究報告深度目錄一、專家視角：從標(biāo)準(zhǔn)起源窺探池式研究堆安全哲學(xué)的演變脈絡(luò)二、深度剖析：安全功能分級——構(gòu)筑縱深防御體系的理論基石三、核心聚焦：部件安全分級方法論——如何界定“安全相關(guān)

”邊界？四、熱點解構(gòu)：安全級、質(zhì)量級與抗震級的關(guān)聯(lián)與差異化管控五、疑點澄清：非安全級部件的“安全角色

”與分級實踐中的灰色地帶六、未來趨勢：數(shù)字化浪潮下，安全分級原則面臨的新挑戰(zhàn)與適應(yīng)性思考七、實戰(zhàn)指南：從設(shè)計到退役——安全分級在反應(yīng)堆全生命周期中的貫徹八、

國際比較：

EJ/T917

與

IAEA

安全標(biāo)準(zhǔn)體系的對接與本土化特色九、深度拷問：現(xiàn)行分級標(biāo)準(zhǔn)在面對極端外部事件時的完備性審視十、前瞻瞭望：小型模塊化反應(yīng)堆（SMRs）

時代的安全分級范式革新預(yù)判專家視角：從標(biāo)準(zhǔn)起源窺探池式研究堆安全哲學(xué)的演變脈絡(luò)歷史坐標(biāo)：EJ/T917誕生于中國核安全監(jiān)管體系構(gòu)建的關(guān)鍵期該標(biāo)準(zhǔn)制定于1994年，正值中國在汲取國內(nèi)外核能發(fā)展經(jīng)驗基礎(chǔ)上，系統(tǒng)性建立自身核安全法規(guī)標(biāo)準(zhǔn)體系的重要階段。它并非孤立產(chǎn)生，而是與當(dāng)時國際原子能機(jī)構(gòu)（IAEA）的安全理念、以及國內(nèi)大亞灣等核電項目引進(jìn)的法國技術(shù)標(biāo)準(zhǔn)體系（如RCC系列）相互激蕩的產(chǎn)物。理解其歷史背景，有助于把握其技術(shù)條款背后所承載的、從“技術(shù)導(dǎo)向”向“安全導(dǎo)向”過渡的初期核安全文化思想。承前啟后：標(biāo)準(zhǔn)如何反映九十年代初期的安全設(shè)計理念？標(biāo)準(zhǔn)內(nèi)容直接體現(xiàn)了當(dāng)時對池式研究堆安全特性的認(rèn)知深度。它將安全功能置于首位，強(qiáng)調(diào)通過分級實現(xiàn)安全措施的“有的放矢”和資源優(yōu)化配置。這種思路，相較于更早時期可能存在的“泛安全化”或經(jīng)驗主義做法，是一種顯著的進(jìn)步。它標(biāo)志著中國在研究堆安全領(lǐng)域，開始采用系統(tǒng)化、工程化的方法論，將有限資源集中于對安全最為關(guān)鍵的系統(tǒng)和部件上，這一核心理念至今仍具指導(dǎo)價值。哲學(xué)內(nèi)核：標(biāo)準(zhǔn)中蘊含的“合理可行盡量低”（ALARA）與“縱深防御”思想盡管標(biāo)準(zhǔn)文本未直接引用“ALARA”術(shù)語，但其分級邏輯本身就體現(xiàn)了這一原則：通過對部件進(jìn)行安全等級劃分，要求與安全功能相關(guān)性越高的部件，在設(shè)計、制造、檢驗等方面的要求越嚴(yán)格，這實質(zhì)上是將有限的安全投入進(jìn)行優(yōu)化分配。同時，安全功能的識別與保障，是構(gòu)筑“縱深防御”各道屏障的物質(zhì)基礎(chǔ)。標(biāo)準(zhǔn)可視為將宏觀安全哲學(xué)（縱深防御）轉(zhuǎn)化為具體工程實踐（部件分級）的一座關(guān)鍵橋梁。深度剖析：安全功能分級——構(gòu)筑縱深防御體系的理論基石基石定義：標(biāo)準(zhǔn)如何界定與歸類池式研究堆的“安全功能”？標(biāo)準(zhǔn)首要任務(wù)在于明確“安全功能”的內(nèi)涵。這通常指那些為預(yù)防事故、或在事故發(fā)生時控制其后果、直至達(dá)到穩(wěn)定安全狀態(tài)所必需的功能。對于池式研究堆，典型安全功能包括：反應(yīng)性控制、堆芯熱量排出、放射性包容（尤其是水池密封性）、以及監(jiān)測與顯示功能。標(biāo)準(zhǔn)需對這些功能進(jìn)行系統(tǒng)性的識別與列表，這是所有后續(xù)分級工作的起點和依據(jù)。12邏輯演繹：從安全功能到安全系統(tǒng)的分解路徑1識別出安全功能后，下一步是確定實現(xiàn)每一項安全功能所需的“系統(tǒng)”。例如，“堆芯熱量排出”功能，可能由正常運行的冷卻系統(tǒng)、以及專設(shè)的安全冷卻系統(tǒng)共同實現(xiàn)。標(biāo)準(zhǔn)需要提供一種清晰的邏輯，將抽象的功能要求，分解到具體的、可設(shè)計的系統(tǒng)層面。這一分解過程確保了安全功能在工程上得以“落地”，并為后續(xù)針對具體部件進(jìn)行分級提供了清晰的歸屬路徑。2分級映射：不同安全功能等級對應(yīng)的設(shè)計基準(zhǔn)差異01并非所有安全功能都同等重要。標(biāo)準(zhǔn)需要建立安全功能自身的分級體系（例如，基于其失效后果的嚴(yán)重性）。通常，與預(yù)防或緩解設(shè)計基準(zhǔn)事故（DBA）直接相關(guān)的功能被賦予最高等級。不同等級的安全功能，對其實現(xiàn)系統(tǒng)的可靠性、冗余性、多樣性、獨立性等方面的設(shè)計要求存在顯著差異。這種差異化的要求，正是安全分級制度的核心價值體現(xiàn)，旨在實現(xiàn)安全與經(jīng)濟(jì)的平衡。02核心聚焦：部件安全分級方法論——如何界定“安全相關(guān)”邊界？判定準(zhǔn)則：部件歸屬“安全級”的充分必要條件探析這是標(biāo)準(zhǔn)執(zhí)行中最關(guān)鍵也最易產(chǎn)生爭議的環(huán)節(jié)。標(biāo)準(zhǔn)需明確規(guī)定，一個部件被劃分為“安全級”（或某一具體安全等級）的邏輯準(zhǔn)則。通常，這基于“功能重要性準(zhǔn)則”：即該部件對執(zhí)行某一已確定的安全功能是否是必需的？以及“故障后果準(zhǔn)則”：其失效是否會直接導(dǎo)致安全功能喪失或顯著降級？標(biāo)準(zhǔn)應(yīng)提供清晰的判斷流程圖或決策樹，指導(dǎo)設(shè)計者進(jìn)行一致性的判定。12接口管理：安全級與非安全級部件接口處的特殊要求在復(fù)雜的反應(yīng)堆系統(tǒng)中，安全級部件與非安全級部件之間存在大量的物理或信息接口。標(biāo)準(zhǔn)必須關(guān)注這些接口的管理。例如，一個非安全級的控制信號如果錯誤觸發(fā)了一個安全級動作，可能引發(fā)問題。因此，標(biāo)準(zhǔn)需要對接口提出要求，如采用隔離措施、確保非安全系統(tǒng)的故障不會危及安全系統(tǒng)的功能，或者對接口部件本身提出特定的可靠性要求，這常常是分級實踐的難點和重點。共因故障防范：分級制度中如何體現(xiàn)對系統(tǒng)性失效的抵御？01部件分級不能孤立進(jìn)行，必須考慮共因故障（CCF）的風(fēng)險。即某些共同的原因（如地震、火災(zāi)、洪水、設(shè)計缺陷、維護(hù)錯誤）可能導(dǎo)致多個相同或不同等級的部件同時失效。標(biāo)準(zhǔn)在分級方法論中，應(yīng)要求對安全級部件進(jìn)行獨立性分析和評估，通過物理分離、電氣隔離、功能多樣等手段，減少共因故障的可能性。這意味著分級不僅是“貼標(biāo)簽”，更影響著系統(tǒng)的整體架構(gòu)設(shè)計。02熱點解構(gòu)：安全級、質(zhì)量級與抗震級的關(guān)聯(lián)與差異化管控概念辨析：三個“級”的本質(zhì)內(nèi)涵與隸屬關(guān)系1“安全級”是一個總括性概念，指部件所歸屬的安全重要性類別?！百|(zhì)量級”（或質(zhì)量保證等級）主要指為達(dá)到該安全等級所需的設(shè)計、制造、檢驗、運行和質(zhì)保要求的總和，更側(cè)重于過程控制和文檔化要求?！翱拐鸺墶眲t特指部件在地震載荷下的設(shè)計和鑒定要求，是“安全級”要求在抗震這一具體領(lǐng)域的體現(xiàn)。一個安全級部件，必然對應(yīng)相應(yīng)的質(zhì)量級要求，并通常（但不絕對，需根據(jù)其在地震中的作用分析）具有特定的抗震等級。三者環(huán)環(huán)相扣，但維度不同。2要求矩陣：如何建立安全等級與質(zhì)量保證要求的對應(yīng)關(guān)系？標(biāo)準(zhǔn)應(yīng)提供或引導(dǎo)建立一套清晰的對應(yīng)關(guān)系矩陣。例如，安全1級部件，必須遵循最高級別的質(zhì)量保證大綱（如核工業(yè)現(xiàn)行的HAF003系列要求），在材料選擇、工藝評定、無損檢驗、過程記錄、人員資格等方面有最嚴(yán)格的規(guī)定。而較低安全等級的部件，則可以適用相對簡化的質(zhì)量要求。這種差異化的質(zhì)量管控，是實現(xiàn)資源優(yōu)化配置的關(guān)鍵，確?！昂娩撚迷诘度猩稀?。標(biāo)準(zhǔn)的可操作性很大程度上取決于此矩陣的合理性。抗震分類：基于安全功能與位置的雙重考量抗震分級不僅取決于部件的安全等級，還與其在反應(yīng)堆廠房內(nèi)的地理位置、所支持的抗震類別構(gòu)筑物的關(guān)系，以及其自身失效對安全功能的直接影響方式有關(guān)。標(biāo)準(zhǔn)需提供抗震分類的方法。例如，直接執(zhí)行安全功能的部件，即使位于低抗震類別的廠房中，也可能因其功能重要性而被要求按較高抗震水平設(shè)計。反之，一個安全級部件若其功能在地震后仍有充足時間恢復(fù)，則抗震要求可能調(diào)整。這是一個需要深入工程判斷的領(lǐng)域。疑點澄清：非安全級部件的“安全角色”與分級實踐中的灰色地帶支持性角色：非安全級部件失效會如何“拐彎抹角”地影響安全？1并非所有非安全級部件都可以被忽視。某些部件雖然不直接執(zhí)行安全功能，但其失效可能通過間接途徑影響安全級部件的可用性或可靠性。例如，為安全級儀表供電的普通電源的失效，雖然電源本身非安全級，卻會導(dǎo)致安全級儀表失靈。再如，非安全級的冷卻水系統(tǒng)失效，可能導(dǎo)致廠房環(huán)境溫度升高，進(jìn)而影響安全級電氣設(shè)備的工作。標(biāo)準(zhǔn)應(yīng)要求進(jìn)行接口分析和間接影響評估，識別這些“支持性”角色并施加適當(dāng)要求。2裕度與可靠性：對非安全級部件的“隱含”期望1在實際運行中，許多非安全級系統(tǒng)被期望具有較高的可靠性和一定的設(shè)計裕度，以盡量減少其對安全級系統(tǒng)的需求，這是提高反應(yīng)堆整體可用性和經(jīng)濟(jì)性的需要，也間接提升了安全水平。例如，正常功率運行的主冷卻系統(tǒng)雖屬非安全級，但設(shè)計時仍會考慮一定的冗余和可靠性，以減少其故障觸發(fā)安全系統(tǒng)動作的頻率。這種“非安全級的高可靠性”設(shè)計，是工程實踐中普遍存在的灰色地帶，標(biāo)準(zhǔn)雖不強(qiáng)制，但可通過最佳實踐指南加以引導(dǎo)。2分級爭議的典型場景與仲裁原則1在工程實踐中，常會出現(xiàn)對一個部件是否應(yīng)劃歸安全級產(chǎn)生爭議的情況。例如，某些用于事故后監(jiān)測的儀表，或者用于緩解超設(shè)計基準(zhǔn)事故的設(shè)備。標(biāo)準(zhǔn)需要為處理這些爭議提供原則性指導(dǎo)?？赡艿闹俨迷瓌t包括：保守決策原則（當(dāng)判斷不清時，傾向于劃入更高等級）、功能追溯原則（嚴(yán)格追溯其是否為實現(xiàn)某一明確定義的安全功能所必需）、以及后果導(dǎo)向原則（分析其失效的最壞可能后果）。清晰的仲裁原則有助于統(tǒng)一設(shè)計團(tuán)隊的認(rèn)識。2未來趨勢：數(shù)字化浪潮下，安全分級原則面臨的新挑戰(zhàn)與適應(yīng)性思考數(shù)字化儀控系統(tǒng)（DI&C）的安全分級難題傳統(tǒng)的安全分級方法主要基于硬件部件（泵、閥、管道）。而現(xiàn)代及未來的研究堆將廣泛采用數(shù)字化儀控系統(tǒng)。軟件、網(wǎng)絡(luò)、數(shù)字處理單元的安全分級成為一個新課題。軟件沒有物理失效模式，其“失效”源于錯誤。如何將基于硬件可靠性的分級邏輯應(yīng)用于軟件？標(biāo)準(zhǔn)需要前瞻性地思考：是基于軟件實現(xiàn)的功能重要性來分級，還是基于軟件的復(fù)雜度和開發(fā)過程的嚴(yán)格度來分級？這涉及到對軟件生命周期（如需求、設(shè)計、編碼、測試、V&V）提出差異化要求。網(wǎng)絡(luò)安全因素的融入：信息安全的“安全級”考量隨著系統(tǒng)數(shù)字化、網(wǎng)絡(luò)化，網(wǎng)絡(luò)安全成為核設(shè)施安全的新維度。一個用于控制或監(jiān)測安全級功能的數(shù)字系統(tǒng)，其網(wǎng)絡(luò)接口可能成為攻擊入口。傳統(tǒng)的安全分級未涵蓋網(wǎng)絡(luò)安全。未來的標(biāo)準(zhǔn)修訂或衍生指南，需要考慮將網(wǎng)絡(luò)安全要求與安全等級掛鉤。例如，安全級儀控系統(tǒng)必須滿足最高級別的網(wǎng)絡(luò)安全防護(hù)要求，包括物理隔離、訪問控制、入侵檢測、軟件完整性保護(hù)等。網(wǎng)絡(luò)安全已成為功能安全不可分割的一部分?；陲L(fēng)險指引與性能導(dǎo)向的分級方法演進(jìn)1傳統(tǒng)的確定論分級方法可能略顯保守和固化。未來趨勢是引入更多風(fēng)險指引和性能導(dǎo)向的元素。即在堅持確定論基礎(chǔ)的同時，利用概率安全分析（PSA）的結(jié)果，對某些部件的安全重要性進(jìn)行再評估，從而可能對其分級進(jìn)行優(yōu)化調(diào)整（升級或降級）。例如，PSA可能揭示某個傳統(tǒng)上認(rèn)為重要的部件對堆芯損傷頻率（CDF）的貢獻(xiàn)其實很小，這為適當(dāng)調(diào)整其質(zhì)量要求提供了依據(jù)。這種靈活性是未來標(biāo)準(zhǔn)發(fā)展的方向之一。2實戰(zhàn)指南：從設(shè)計到退役——安全分級在反應(yīng)堆全生命周期中的貫徹設(shè)計源頭：如何在初步設(shè)計和詳細(xì)設(shè)計階段落實分級？1分級工作必須始于設(shè)計初期。在概念設(shè)計和初步設(shè)計階段，就應(yīng)根據(jù)安全分析報告（SAR）識別出的安全功能和事故序列，初步確定主要系統(tǒng)和部件的安全等級，這直接影響系統(tǒng)架構(gòu)設(shè)計和設(shè)備選型。在詳細(xì)設(shè)計階段，分級需細(xì)化到每一個閥門、傳感器、電纜，并體現(xiàn)在設(shè)備規(guī)格書、采購技術(shù)條件和施工圖紙中。設(shè)計文件必須建立并維護(hù)一份完整的“安全相關(guān)部件清單”，作為后續(xù)所有活動的基準(zhǔn)。2采購與制造：不同安全等級部件的差異化管控實踐1采購部門必須依據(jù)設(shè)計文件中的安全等級，向制造商傳遞明確的要求。對于安全級設(shè)備，采購合同必須引用嚴(yán)格的質(zhì)量保證標(biāo)準(zhǔn)，并要求制造商具備相應(yīng)的核資質(zhì)。制造過程中，需執(zhí)行特定的工藝評定、見證點、停工待檢點（H點）和文件審查。而非安全級部件則可按常規(guī)工業(yè)標(biāo)準(zhǔn)采購。這一環(huán)節(jié)是確?！凹埳戏旨墶弊?yōu)椤皩嶓w質(zhì)量”的關(guān)鍵，任何要求的混淆或降低都可能導(dǎo)致安全隱患。2運行、維護(hù)與修改：基于分級的在役管理策略1運行階段，安全分級指導(dǎo)著運行規(guī)程、預(yù)防性維修大綱、在役檢查（ISI）計劃和備件庫存管理。安全級部件通常有更頻繁的測試和校準(zhǔn)要求，更短的維修周期，以及更嚴(yán)格的備件保管和可追溯性要求。當(dāng)進(jìn)行系統(tǒng)修改或設(shè)備更換時，必須執(zhí)行嚴(yán)格的設(shè)計修改控制程序，重新評估修改對安全分級的影響，確保分級的一致性和有效性。安全分級是運行安全管理活動的核心依據(jù)之一。2退役考量：安全分級對退役計劃與廢物管理的指導(dǎo)1在反應(yīng)堆退役階段，安全分級依然發(fā)揮作用。安全級部件通常含有更高活性的放射性核素或位于關(guān)鍵部位，其拆除順序、切割技術(shù)、去污要求和廢物包裝標(biāo)準(zhǔn)都更為嚴(yán)格。退役計劃需要依據(jù)部件安全等級（結(jié)合其放射性存量）來制定詳細(xì)的工作程序、輻射防護(hù)措施和廢物分類方案。分級信息幫助退役團(tuán)隊識別和管理高風(fēng)險作業(yè)，確保退役過程的安全。2國際比較：EJ/T917與IAEA安全標(biāo)準(zhǔn)體系的對接與本土化特色I(xiàn)AEA安全標(biāo)準(zhǔn)框架下的研究堆安全要求1IAEA發(fā)布了一系列安全標(biāo)準(zhǔn)（SSR系列）和安全導(dǎo)則（SSG系列），其中SSR-3《研究堆安全》和SSG-20《研究堆分級》是直接相關(guān)的國際基準(zhǔn)。IAEA標(biāo)準(zhǔn)強(qiáng)調(diào)安全分級是研究堆安全的基礎(chǔ)，其原則是通用和基礎(chǔ)性的。EJ/T917在核心原則上與IAEA標(biāo)準(zhǔn)保持一致，例如都基于確定論方法，強(qiáng)調(diào)安全功能識別和縱深防御。比較研究可以確認(rèn)我國標(biāo)準(zhǔn)在基本安全理念上與國際接軌的程度。2本土化特色：EJ/T917如何體現(xiàn)中國核工業(yè)實踐與監(jiān)管要求？1EJ/T917并非IAEA標(biāo)準(zhǔn)的簡單翻譯，它融入了當(dāng)時中國核工業(yè)的具體實踐和監(jiān)管框架。例如，它在質(zhì)量保證要求上，會與中國的核安全法規(guī)（如HAF系列）進(jìn)行銜接；在具體的技術(shù)參數(shù)、材料標(biāo)準(zhǔn)、驗收準(zhǔn)則上，可能會引用當(dāng)時的中國國家標(biāo)準(zhǔn)（GB）或行業(yè)標(biāo)準(zhǔn)（EJ）。此外，它可能針對中國當(dāng)時池式研究堆的主流設(shè)計（如原型或改進(jìn)型），在安全功能的列舉和部件分級的示例上更具本土針對性。這些細(xì)節(jié)體現(xiàn)了標(biāo)準(zhǔn)的適用性。2趨同與差異：標(biāo)準(zhǔn)細(xì)節(jié)中的技術(shù)選擇與文化折射1在趨同的大原則下，不同標(biāo)準(zhǔn)在細(xì)節(jié)上可能存在差異。例如，對于某個特定系統(tǒng)（如應(yīng)急注硼系統(tǒng)）的安全等級劃定，不同標(biāo)準(zhǔn)或不同國家的實踐可能有所不同，這反映了各自的安全文化（保守程度）、設(shè)計傳統(tǒng)和運行經(jīng)驗。分析這些差異點，并非判斷孰優(yōu)孰劣，而是理解不同技術(shù)路徑背后的邏輯。隨著中國更多參與國際協(xié)作，這種比較有助于我國標(biāo)準(zhǔn)的持續(xù)改進(jìn)和國際化。2深度拷問：現(xiàn)行分級標(biāo)準(zhǔn)在面對極端外部事件時的完備性審視超設(shè)計基準(zhǔn)事故（BDBA）情景下的分級局限性EJ/T917等標(biāo)準(zhǔn)主要基于設(shè)計基準(zhǔn)事故（DBA）確定安全功能和部件分級。然而，福島核事故后，業(yè)界高度重視超設(shè)計基準(zhǔn)事故（BDBA）和極端外部事件（如超強(qiáng)地震、海嘯、洪水、飛機(jī)撞擊等）。對于這些“設(shè)計擴(kuò)展工況”（DEC），原有安全分級可能不覆蓋為緩解這些工況而專門增設(shè)的設(shè)備（如移動式電源、非固定式冷卻設(shè)備）。標(biāo)準(zhǔn)是否需要擴(kuò)展，將這些“補(bǔ)充性”安全設(shè)施納入分級體系，是一個值得審視的問題。全廠斷電（SBO）與共因故障對分級架構(gòu)的考驗全廠斷電（SBO）是典型的共因故障場景，可能使依賴電力的多個安全級和非安全級系統(tǒng)同時失效?，F(xiàn)有的分級制度雖然強(qiáng)調(diào)獨立性，但在面對SBO這種長時間、全廠性的極端工況時，其有效性面臨考驗。標(biāo)準(zhǔn)應(yīng)引導(dǎo)設(shè)計者深入分析在SBO等極端工況下，各級安全功能的可執(zhí)行性，以及執(zhí)行這些功能所需的設(shè)備是否具備非電動的多樣性手段或足夠的蓄電池續(xù)航能力。這要求分級思維從“單部件”向“全廠工況”延伸。長期堆芯冷卻與放射性包容功能的再評估1對于池式研究堆，在極端事故導(dǎo)致正常冷卻喪失后，維持水池完整性（放射性包容）和實現(xiàn)堆芯的長期冷卻（即使功率很低）至關(guān)重要。標(biāo)準(zhǔn)中對于支持這些長期安全功能的系統(tǒng)（如廠用水系統(tǒng)、水池泄漏監(jiān)測、事故后環(huán)境監(jiān)