濮继龙简历

工作经历

详细经历

部分成果

学术文章

濮继龙简历

性别：男

年龄：69岁

1943年7月生，江苏江都人，中共党员；1968年12月毕业于北京清华大学工程物理系，研究员级高级工程师；

曾任大亚湾核电站第一任中方厂长、中国广东核电集团公司党组成员、副总经理兼技术中心主任、安全总监；

1943年7月生，江苏江都人，中共党员，1968年12月毕业于北京清华大学工程物理系，研究员级高级工程师。

曾任中国广东核电集团公司党组成员、副总经理兼技术中心主任，安全总监。

毕业后，参加了我国第一座高通量工程试验反应堆的设计、建造和试运行。1982-1984年，作为访问学者赴美国BNL国家实验所从事与核安全分析有关的合作研究。后从事过快堆研究的部分课题。1986年8月，在北京中国原子能科学技术研究院堆工所任副研究员，从事核电安全及严重事故的课题研究。

1991年3月，调入广东核电合营有限公司，历任应急工程师、核安全处处长，第三副厂长、第一副厂长、厂长、公司生产副总经理。2000年调中国广东核电集团公司工作至今。在核工程建设与营运、安全分析、安全管理、企业安全文化建设、应急准备及企业经营等方面，均取得一定成绩，曾发表著述数十篇。现担任国家核电国产化专家组成员、国家处置核辐射恐怖袭击事件专家咨询组专家、国家核事故应急协调委员会专家咨询组成员、国家核安全与环境专家委员会委员、海军核安全专家委员会委员、中国核工业集团公司科技委委员、中广核集团公司科技委委员。曾多次参与过在IAEA、WANO和其他国际组织框架下的国际核能与核安全活动，曾担任过国际原子能机构总干事巴拉迪的核保卫顾问组主席。

工作经历

1968年12月于“北京清华大学工程物理系”毕业后，参加了我国第一座高通量工程试验反应堆的设计、建造和试运行。

1982-1984年，作为访问学者赴美国BNL国家实验所从事与核安全分析有关的合作研究。后从事过快堆研究的部分课题。

1986年8月，在北京中国原子能科学技术研究院堆工所任副研究员，从事核电安全及严重事故的课题研究。

1991年3月，调入广东核电合营有限公司，历任应急工程师、核安全处处长，第三副厂长、第一副厂长、厂长、公司生产副总经理。

2000年调中国广东核电集团公司工作至今。

详细经历

濮继龙是我国最早赴美从事核安全分析的访问学者之一，我国最早从事核电厂严重事故及其对策研究的科技人员，我国大陆第一座大型商用核电站的第一位中国人厂长。此外，他还是担任国际原子能机构总干事巴拉蒂高级顾问团主席的第一位中国专家。

早在1963年，濮继龙就以全国高考成绩上海地区总分第一名考入清华大学，攻读工程物理系重同位素分离专业，毕业后下放农场劳动锻炼两年，1970年进入北京194研究所，从事高通量工程实验反应堆物理设计与计算，翌年调任四川核工业第一研究院参加重要课题研究，至1980年出色完成反应堆调试启动，第一炉生产设计，特种同位素生产研究。

特区建设大风唱响的1991年初，濮继龙接到调令，赴任广东大亚湾核电站生产部应急准备工程师，先后建立起了核安全监督，经验反馈，运行质量保证等信息化建设管理体系。此后，他被总部推荐为大亚湾核安全咨询委员会委员。1995年大修中出现的核反应堆控制棒落棒时间超差事件，他全力以赴，带领大家攻克了一个国际性难题，使得大亚湾核电站当年的生产任务顺利完成。

1996年3月，濮继龙被任命为第一副厂长，不仅证明他被电站董事会赏识，也受法国专家的信任：中国有很多优秀人才，中国的事业终究靠中国人来完成。

“而一生中最值得珍贵的日子，是1997年7月1日，香港回归祖国之际，我正式接任厂长，大亚湾核电建设史上首任中国人厂长。而此前，这个职位都是由法国人担任的。”濮继龙充满感情地说，“作为中国第一个大型商用核电站的中国人厂长，这种荣誉是人人都会感到羡慕的，而我却是兴奋与忧虑交织，深感任重而道远。”

担任厂长后，濮继龙面临的一个大挑战是电站内部加强管理，增强团队凝聚力，“我的对策是：充分发挥班子内专家的作用，首先解决励磁机故障问题，让生产先正常起来。在此同时，我一改过去的‘救火式’、抓计划和滚动管理，进而形成十大管理法。同时抓‘三基’，即基本技能、基本技术、基层班组，推动体制与机制创新。”

濮继龙告诉我们，接任厂长时他设定了三个目标：创造一个比法国机组更好的运行安全记录;把大亚湾的管理从法国模式中提升出来，形成有大亚湾特色的管理文化;培养一支后继有人的员工和干部队伍。

由于始终坚持“安全第一，质量第一”的方针，核电机组的性能业绩已经达到了世界先进水平。1999年和2000年，大亚湾核电站在与外国电力公司同类机组的安全生产竞赛中，连续两年获得第1名。与美国106个核电机组相比，大亚湾的综合竞争力排在第7位。2004年，濮继龙过了退休年龄，但集团让他留任工作。去年，他正式离开了行政岗位，仍继续担任董事、顾问、科技委员。他说，“大亚湾核电站的经历，是我人生中最大的考验、最珍贵的财富。在有限的人生中，如何为祖国的核电事业发挥出更多光和热，这是我一辈子的追求。”

部分成果

在核工程建设与营运、安全分析、安全管理、企业安全文化建设、应急准备及企业经营等方面，均取得一定成绩，曾发表著述数十篇。现担任国家核电国产化专家组成员、国家处置核辐射恐怖袭击事件专家咨询组专家、国家核事故应急协调委员会专家咨询组成员、国家核安全与环境专家委员会委员、海军核安全专家委员会委员、中国核工业集团公司科技委委员、中广核集团公司科技委委员。曾多次参与过在IAEA、WANO和其他国际组织框架下的国际核能与核安全活动，曾担任过国际原子能机构总干事巴拉迪的核保卫顾问组主席。

学术文章

敬畏核安全，加深对核安全问题的全面准确理解

(2012-03-13 10:06:03) (本文原载《核电》2011第4期）

由一场超强自然灾害引发的福岛核电厂事故引起世界震惊，引发了国内外各界对核电安全的高度关注和广泛讨论，安全是人类和平利用核能的首要条件，是政府决心发展核电的重要承诺。国内有识之士在福岛事故后提出：我们要“敬畏核安全，守护核安全”，这一口号无疑是及时的，也十分正确。然而，要真正做到由衷地敬畏，首先必须加深对核安全内涵、特点与要求的理解，全面、客观、系统地认识核电安全。只有这样，才可能形成较为统一的认识，更科学、更有效地指导我们在核电发展问题上的决策与管理。

已经没有人质疑我国发展核电“安全第一、质量第一”的方针了，但核安全究竟意味着什么？我们如何把握核安全问题的内核？以下将从三个方面阐述对有关问题的理解。

一、安全问题本质上是一种社会心理体验，仅从技术层面研究是远远不够的

生存是人类的基本需要，安全也是人类的基本需要。多年以来，我们从事工业活动的专家通常总认为安全是一种合理的技术措施，对风险做到“可知可控”便是安全了，并且我们常以这样一种思维，试图去说服政府与公众。

这一理解本身并没有错，但不够完整。现实工作中，我们经常会遇到这样的情况：在解决安全问题的时候，从代价与利益平衡角度所作的技术决定本身并没有错，但总有一些非技术因素，迫使得我们不得不放弃简便途径，转而采取费时费力又费钱的方案，才能得到政府部门与社会公众的认可。可见，安全不仅仅是技术问题，它还包含其它层面，也就是经常被忽略的法规层面和社会心理层面。

在法规层面，安全必须是“合法合规”的，符合国家法律法规要求的才是安全的。在社会心理层面，安全必须是“可靠可信”的。这一层面讲的不是理智问题，而是情感问题。政府层面的“合法合规”，本质上所遵循的是对此时此地人群社会心理的道德取向，在很大程度上也仍然是心理认同问题。一项工业活动，能使得政府、公众等相关方对其安全有信心，对从业人员有信任，才能得以实施。换句话说，只有政府、公众信得过才是安全的，只要政府、公众信得过，它就是安全的！尽管它未必意味着永远不出意外。全球每年因道路交通事故死亡人员约120万人，2000万～3000万人遭受各种非致命伤害，可是没有哪个国家因此规定禁止汽车，因为在长期的生活实践中，他们越来越享受现代交通带来的便捷与舒适，公众的情感体验总体上认可汽车是安全的。正因为安全潜含一种情感体验，所以一个不为大家所接受的事物，就不能说是安全的，再怎么从技术上论证也是不全面的。

核电，由于其物理特点，即放射性对人群与环境的潜在伤害具有超越时空界限的特征，因而特别难以为公众所认同。所以，对于核电安全，也必须从合理、合法、合情三个层面来全面认识和理解。当前一些观点，甚至是主流观点，明显地存在着两个偏差：比较多的核电热心人士往往注重和强调技术层面，把确保核电安全只归结为技术因素，总想向政府与公众“在技术上说清楚”，而忽略了在法律层面和社会心理层面的努力。对公众的质疑与政府的谨慎总是不解，感到郁闷，这实在是没有理解“发展核电，造福人民”的深刻含义。也有个别人士或团体，为了一己之私利，片面误导舆论，从技术上支持一方贬低另一方，寻求舆论及政府对本身有利的偏向。这部分人士表面讲的是纯技术，其着力点却是社会心理层面，通过动摇政府和公众对某些技术的信任，从而稳固自身所握有技术的市场地位和发展前景。这种不客观的观点在公众和政府官员中造成了很大的疑惑和不安，动摇了我国核电发展的基石，最终也会伤害到他们自身。在这个问题上，相关各方应保持清醒的认识。

二、核电安全是一个综合管理的结果

核安全是一个综合管理的结果，它不可能由一两个人来成功实施，更不可能由一两个指标来表达。核安全的实现与系统状况、人员素质、运行环境三方面都密切相关。

核安全管理有着三个明显的特征。首先，核安全管理是全过程的，它涉及核电产业链上的每一个环节，包括研发、设计、选址、建造、设备加工、安装、调试、运行、退役，乃至放射性废物的处置。这其中，设计是龙头，设计必须赋予核电机组固有安全特性，这是核电安全的物质保证。但仅强调技术和设计，是远远不够的；其次，核安全是一个综合体系，核安全不是孤立的，工业安全、辐射安全、电网安全、消防安全、食品卫生等均可能引发核安全问题，反之，核安全事故也常常伴随着其他工业伤害，因此核安全管理也是全方位的；此外，由于现场环境、设备状态、从业人员状态千变万化，核安全管理还必须是动态的，才能落实有针对性和有效的安全举措。固守某些条文和框框，不是正确的核安全管理之道，是不科学的，也是不可取的。

确保核电安全的根本，在于严格有效的安全管理，而不仅仅取决于技术的先进性。现在有一种观点，认为堆芯损坏概率（CDF）代表了核电安全水平的高低，显然是不准确的，更不全面。

系统评价核电机组安全水平的高低，需要考虑两个重要因素：

1．“实践是检验真理的唯一标准”，在先进性与成熟性的关系上，我们认为技术成熟性是机组安全性的基础，国际核安全原则中明确要求核电必须采用“经过验证的技术（Proven Technology）”，就是这个道理。也就是说，设计的安全目标能否达到，需要通过工程和运营的全过程实践来检验和证明。我国引进的先进技术，其成熟性仍有待来自工程实践的统计及验证，现阶段不可过分依赖，更不应盲目乐观。

2．安全业绩是靠人做出来的，既然核电的安全性要求贯穿于核电站全过程的各个环节，整个体系内高素质的人才和科学严密的管理就是关键。越是先进的技术，越需要更加严格科学的安全管理。这一点，日本福岛核电厂事故和近期发生的甬温线高铁事故，都从反面给予了充分的警示。

三、核电安全管理要求必须充分，但也必须适度和均衡

说到底，安全并不是目的，而是为达成某项工业活动实现社会价值、同时又能有效保护公众与环境而采取的措施。正因为如此，安全要求并非越高越好，考虑到前面所说的安全是一种社会心理体验，安全标准应当是在一定社会政治经济环境下，代价利益均衡的结果。要说绝对的核安全，“弃核”是绝对安全的。然而，“弃核”立场必然要求社会付出比“用核”更大更多的代价。

安全不是目的，但安全总有底线。核安全管理的基本要求必须是充分的。所谓充分就是必须保证足够安全，“多安全是足够安全的（How safe is safe enough）？”美国三哩岛事故以来，人们一直在这样问。最好的回答还是由美国核管会作出的。其在1986年发布的《核电安全目标》政策声明中，提出“两个千分之一”[1]作为安全目标所导出的定量指标，这一定量指标，已被国际核电界所广泛接受。按照有关方面的深入分析，现有世界核电机组，基本都能满足这一标准，因而都可以认为是足够安全的。福岛核电厂事故后各国所作的大规模核安全评估与压力测试，并未颠覆这一结论。

从“两个千分之一”指标看，相对于其它发电形式，核电的安全要求是非常苛刻的，这是充分考虑了核电不为广大公众所理解与支持的社会心理因素的结果。在这一基础上的层层加码，绝不意味着核电不够安全，更多地是为了让公众更放心。

在充分的前提下，核安全要求还必须适度。所谓适度，一是技术上可实现、代价上可承受，二是在技术层面上，即便可以实现，也要防止响应过度。技术上画蛇添足的举措，不但不能提高机组的安全性，反而破坏了合理的电厂配置，加重了设备维护保养的复杂性，最终增加了风险。

核安全的要求，也必须是均衡的。所谓均衡，就是避免短板效应，所有安全要素，必须达到同一安全等级，具有同样的事故耐受性（robustness）。纵深防御五道防线，每道防线都应得到同等重视，达到同等水平的坚固。事实教育我们：并不是最强大的一环保证核安全，而是最弱的一环决定了核安全的命运。

一直以来，我们一再强调预防为主，把它作为处理核安全问题的重要原则。福岛核电厂事故提醒我们：预防措施固然是管理工作的重点，但在事故后果缓解措施的环节，也绝不可掉以轻心。各国核安全大检查的重心，无一不包括严重事故处置方略和应急响应与救援问题，核安全五道防线中的最后两道，正是事故后果缓解的重要内容。

福岛核事故之前的很长一段时间里，核电的管理者们，往往把自己的注意力，集中到若干最能反映“水平”的指标上去，而忽略了最基本的核安全管理要素。在一些人的脑海里，发生严重事故，那是遥不可及的不可思议的事情。福岛核电厂事故向我们敲响了警钟。关切公众的感受，注重管理的每一个细节，克服追逐利益最大化的本能冲动，确保核安全，保障核电稳妥、有序、高效发展，理应是核电从业人员最基本的职业道德。

守护核安全，坚守“终极安全”底线

(2012-03-13 10:10:05)

（本文原载《中国核能》2011年第3期）

终极安全，是我们必须坚守的底线

福岛核电站事故原因调查还在继续，但目前至少可以肯定，福岛核事故并未颠覆人们对核安全的基本认识，也并未挑战成熟的核安全原则与法规，几十年来形成的核安全认识、理念、要求、原则与标准，依然是正确有效的。作为核电从业者，首要任务就是立足现有原则和标准，结合福岛核电事故的反馈，更深入地理解和认识核安全，切实提高核电安全管理水平，为我国核电发展营造一个良好环境。

核安全的终极目的，是采取一切措施，有效保护公众与环境免遭意外过量放射性照射的伤害，这就是核安全的最终底线。守住了这条底线，我们就可以说实现了核电的绝对安全。

安全不是目的，而是措施和手段。“安全”不等于要求“不出事”和“不出意外”，核安全也不等同于堆芯绝对不损坏。安全是在万一发生意外或极端事件（包括堆芯毁损）时，我们有充分的把握保护民众的健康，并使环境受到的影响是有限的、暂时的、可以恢复的。这是核电从业者追求的核安全目标，也是核电的“终极安全”。

“终极安全”是指在各种极不可能的事件发生时，即便所有常规手段都难以发挥作用的情况下，机组、环境、公众健康等所能达到的安全状态。这与我们一般意义上的“十分安全”、“足够安全”、“绝对安全”有所区别。为了实现核电的终极安全，必须有“兜底”的措施。

本文试图汇总说明我们对这些措施的认识与理解。

CDF，不是核安全的底线

在核安全的总目标下，技术安全目标要求在设计上可靠地预防核电站发生事故。一是对于设计中所考虑的任何事故条件下，确保其可能的放射性后果是极其有限的；二是要在技术上确保导致严重放射性后果的重大事故发生的可能性是微乎其微的。

过去一段时间以来，人们热衷于拿堆芯损坏频度（CDF）来说事，认为CDF一个数值，就代表了机组的绝对安全水平。实际上，CDF并非核安全的底线。为了说清楚这一点，我们不妨通过下表回顾一下最基本的核安全原则：纵深设防。

防御层次　目标　基本手段　相关的对应指标

第1层　防止运行异常与故障　保守设计，高质量建造与运行　初因事件发生频度PIE

第2层　控制异常防止发生事故　控制、限制、保护系统，其他监督手段　

第3层　把事故控制在设计基准以内　专设安全设施与事故规程　堆芯损坏频度CDF

第4层　控制严重电厂工况，包括防止事故演进，缓解严重事故后果　补充措施与事故管理　放射性物质早期大量释放频度LERF

第5层　缓解放射性材料明显释放的严重后果　场外应急响应　“两个千分之一”从中我们可以看到，CDF值属于纵深防线中的第三层次，并不是终极安全的极限。固然，我们坚持预防为主的大原则，“关口前移”，只要堆芯不损坏，就不会有场外的放射性后果。同样，我们在实际核电机组运行管理中，还要求尽量降低假设始发事件（PIE）的频度。此外，我们还要求控制放射性物质的早期大量释放（LERF）。这些要求体现了一条最重要的安全原则，那就是“安全措施的均衡性”，其核心内涵是，每一道防线都必须同等坚固，都必须作为“最后一道防线”来认识与落实。

需要进一步思考的是，当我们把CDF强调到不适当的高度时，我们是否意识到，我们轻视了对安全壳完整的关注，漠视了应急准备的重大贡献？我们是否在大方向上已经破坏了纵深设防的原则？

为了实现终极的安全，必须抓住四个环节：源头管理、过程控制、后果缓解，以及万一发生严重事故后为保护公众与环境所必须采取的应急行动管理。四个环节，一个都不能少。

源头管理：决不能“意想不到”

福岛核事故后，一些人陷入了巨大的不可知论阴影：“谁知道会出什么事？！”“凡事皆有可能。”他们对几十年来核能界已经达成的共识都失去了信任。而另一些人则心怀侥幸，总觉得“不会吧？”“不能吧？”这两种态度都不可取。

总的来说，事故的发生发展有规律可循。要确保核安全，就必须把事故消灭在萌芽状态，减少诱因事件的发生频度。如果我们认真研究一下假设始发事件就不难看到，引起意外的根源，不外乎设计缺陷与设备故障、人为操作管理失当以及自然灾害及外部影响这三大类。核电历史上的严重事故，都是由其中一项或两项叠加作用的结果。

福岛核事故是由超强自然灾害合并多重故障引发的。核电机组能否抵御超设计基准的外部自然灾害，能否应对多重故障，正成为诱因分析的重要内容，无论美国NRC的工作组分析，还是由欧盟倡导的压力测试，这两方面都是关键检查领域。

还有一个尚未列入假设始发事件清单的重要诱因，那就是针对核电机组的人为破坏和恐怖袭击。这与前述“人为操作管理失当”（指的是人们因技术或心理原因产生差错）不一样，与前述“外部影响”主要是水淹、火灾等非恶意物理过程也绝然不同。所以，有必要把假设始发事件扩充到四大类，把“人为破坏和恐怖袭击”也考虑为一种可能引起安全问题的根源。

所以从现在起，核电从业主们就应着手对假设始发事件清单进行重新梳理和完善，强化事故预想的完整性，并制定好相应的有效对策。

过程控制：预防胜于抢险

尽管我们可以采取各种措施防范初因事件，但并不能保证它绝对不会发生。根据纵深设防的原则，在发生意外事件后，我们必须坚持预防为主，采取一切可能的措施，防止事件从初始状态逐步恶化演变为严重事故。

经过几十年的研究，对于核电机组运行技术偏差演变到堆芯严重损坏全过程的物理现象，核电从业者们已经普遍形成了非常清晰、准确的认识和理解，并且具备了完整、有效的相应对策。我们知道，核电厂辐射风险的产生需要历经一系列重要物理过程，而并非是瞬间的行为，因此完全可以通过果断采取一系列经过验证的有效手段，及时终止事故的演进过程，从而避免产生严重后果。

人们会提出的另外一个问题是，恐怖袭击与人为破坏，特大自然灾害及其次生灾害的叠加，具有极大的不确定性，并且超出了设计与技术防范的预想。在这种“意外”情况下，如果诱发产生了严重事故，还有什么办法，可以保证绝对的安全?能否设计出一个事故处置的技术策略，可以覆盖千变万化的情景？

这一点是可以做到的。据研究，就目前所知的情况，所有内外部事件（包括恐怖袭击）引发的核电机组严重事故，其技术方面的后果，都可以由“全厂断电”或“失去热阱”来包容，因此现有严重事故对策中，有关处置全厂断电和失去热阱的一切手段都是继续有效的。换一个角度来说，不管事件的演变是否超出设计基准，机组的安全性，最终所依赖的就是热阱、电源、应急响应这三大能力。从技术上说，极限安全措施应从这三方面下手。

后果缓解：守住最后一道屏障

保护公众与环境的最后一道屏障是安全壳功能，这是多道屏障中的最后一道，也是纵深设防的第五道防线。这就是终极安全的“物质底线”。

世界核电史上发生的三次严重事故，都为安全壳功能的极端重要性给出了深刻诠释。切尔诺贝利与福岛核事故在技术上的共同教训，其中一条都是缺乏一个强健的安全壳。切尔诺贝利机组根本没有安全壳，而福岛核电厂所采用的是早期设计的沸水堆，其安全壳不足以抵御严重事故。相比之下，属于压水堆的三哩岛机组，虽然也有堆芯严重损坏，但由于有安全壳的有效保护，所产生的放射性物质释放后果几乎可以忽略不计。

因此，在极限事故工况下，必须确保放射性物质被有效包容在安全壳内。这就要求在任何情况下，都必须确保安全壳的完整性。要确保所有安全壳贯穿件始终处于密封状态，防止出现安全壳旁路；要防止因蒸汽爆炸、氢气爆炸、DCH、晚期缓慢超压等现象引起安全壳超压爆裂；还要采取有效措施防止安全壳底板被融穿。

做好核应急工作，把住最后一道防线

福岛核事故的教训再次证明：核事故应急准备及响应，是纵深设防体系中不可忽视的组成部分，而且是最后的一道防线，其重要性为事故处置的经验和教训所充分证明。各国在事故后的核安全检查及评估中，均对应急工作提出了更为明确的要求。如美国NRC工作组在福岛核事故后提出的核安全相关建议中，要求建立更有效的监管框架，其中就包括现场应急措施，并把总体应急准备作为一个独立的篇章提出了特别要求。

场外应急是核事故后的终极防卫措施。作为一种预防性行动，应当有组织地采取事故后果防范措施，包括隐蔽、撤离、服用碘片等。在目前的技术与经济条件下，这是完全可以做到的。启动应急响应本身就是对核风险与后果的预防，是核安全管理体系的有机组成部分。有些人认为，“只要启动了应急行动，核电就不安全了”，这是是一种模糊的，甚至是错误的认识，也与国家应急计划法规的立意相去甚远。

强健可靠的安全壳，真实有效的应急准备，这两者就是核电终极安全的“兜底”手段。只要我们保持清醒认识，认真采取一切可用的手段，核电的终极安全就会得到切实可靠的保障。

对核电设计安全标准升版问题的若干认识

(本文原载《核电》2011年第5期）

2011年11月14日

福岛核事故后，人们对核安全的要求再次上升，他们首先想到的就是对现有法规是否充分的担心。一旦面临意外，人们首先会从外部查找原因，这是人群寻求心理安慰的一种模式，完全可以理解。人们一谈及提高核安全水平，很容易想到通过提高法规要求来实现。通过完善法规要求来提高核安全水平，应该毫无疑义。随着技术的发展和认识的不断提高，使提高安全标准成为可能。但是想通过提高要求的量化标准来提高核安全水平则必须十分小心。我们要防止简单地企图通过提高某些参数指标来提高“安全性”。在这个问题上，我们要有系统冷静的思考。

一、HAF102是目前世界上最严格的安全标准

切尔诺贝利事故之后，IAEA组织了国际同行专家，对旧版核安全标准NUSS系列作了修订，内容上发生了重大变化。新版标准具有明显的层次性。我们过去已经习惯了的最低限度法规要求的强制性口吻，如“严禁、不许、必须”等等，在新的核安全标准中已经演化为一种层次性的要求，每一层次的强制性程度有所不同。

第一类要求是“必须”，它表达一种无可置疑的强制性。这一类普适的安全要求，也可以理解为对核动力厂设计的最低限度要求。第二类也是强制性的，但是它是针对某一技术选择提出的“必须”，就是“若，则必须”，业者可以通过不作某一选择而规避这些要求。第三类是“必须考虑”，安全监管部门只提出需要关注的问题，解决问题的技术途径则可以容业者自行做主。强制性更弱一些的要求是第四类“必须尽量（必须尽可能，as far as practicable, as far as possible）”，它要求业者在其条件与技术许可时尽某些义务。第五类的“应当”可以理解为某种较弱的要求，它也可以被理解为某种建议，通常不强制必须作到。不过从执照申请的角度说，做到了显然于己于人都更为有利。第六类“可能，也许”，可以理解为某种变通，某种程度的宽松。但实际上新标准中的“可能，可以（may）”，有时是一种很弱的要求，也是不得不考虑的。第五第六两类要求，本身并非可有可无，很多时候它是支持其他强制性要求的补充条款，有时候它本身就是一种提倡性的要求。

我们特别注意到，在涉及有关严重事故对策的条款中，新版标准属于高强制性的“必须”要求，只占总要求的30%左右，远低于新标准总体上高强制性要求的比例，而属于“充分考虑”，“考虑”的条款占到了40%以上。为什么很多要求是“应当”而不求“必须”呢？

这主要有三方面的原因。一是IAEA的标准汇集了世界各国核安全专家学者的意见，可称得上是“最严格的标准”，然而，核安全管理是成员国自身的主权事项，能否完全做到则取决于该国的技术经济实力，IAEA只能提供建议而不能强制推行；二是从法理上说，核安全管理遵从预防为主的原则，IAEA倡导的重点还是在事故预防的前端，即设计基准以内的工况，不想不分主次地提出一揽子的“严格要求”；三是从技术上说，三里岛事故以来世界各国针对严重事故开展的大量的理论研究和实验研究，除个别几个问题外，对严重事故的大部分现象和物理机理有了比较透彻的认识，并提出了各种防止严重事故发生和恶化演变的安全措施和事故管理方法。就目前的认识水平而言，对于制定严重事故对策和事故管理导则已经足够。但是，毕竟在严重事故工况下情况极为复杂，到目前为止，对严重事故的理论分析还只能是定性的，无法做精细化模拟，更谈不到严格意义上的仿真。在此情况下，标准以较为温和的态度阐述某些要求，就比较主动。

IAEA的新标准，把最低限度要求与最新技术建议写在一起，意在促进成员国在满足基本要求的同时努力追求卓越，这体现了促进安全文化建设的大原则。

在随后的实践中，各成员国中绝大部分都会依国情对标准作必要的增删，只有很少国家几乎全盘接受新标准的所有条款。我国就是这少数几个国家之一。我国目前生效的核安全法规HAF以及其它相关法规与导则，与国际原子能机构IAEA的安全标准有着深刻的渊源关系。IAEA所形成的一系列公约、标准，是我国核安全监管的主要参照文件，而且，在一些当事人心目中，所有“应当”、“应当考虑”和某些“可以”，都被理解成了“必须”。因此可以说，我国的核安全法规HAF102，是世界上目前最严格的核安全标准。

二、核安全标准的升级势在必行

但是，福岛核事故从一个侧面说明了，对那些“应当”、“应当考虑”和“可以”做到的事情，做不到是会有严重后果的。这就证明了，我们全盘接受新版核安全标准，是对的。各国应当仿照我国的榜样，把国际原子能机构组织全球顶级专家编写出来的核安全标准，作为各国核安全法规的基本参照物。

在过去几年HAF102的执行过程中，我们遇到很多困惑，执照申请单位和核安全监管部门，不得不在某些一时无法严格做到的条款上作个案处理。这一困惑，是因理论上的认识不足造成的。

与此同时，福岛事故后国际上统一并强制推行更高的核电标准呼声渐高，其中法国最为积极，并得到了日本、欧盟等的响应。国际上统一核电标准的建议涉及到多方利益，协调难度大，到目前为止，核电工业界还没有采取具体的步骤。

但是，不管怎么说，核安全标准的升级势在必行。就我国的情况而言，首先必须加深对IAEA新标准的正确理解，再结合我国实际情况，对已发布的核安全法规进行修订补充，实现与国际先进标准的一致性。其次，新法规必须有相应的导则及工业标准作支撑，这方面正好是我们的弱项。

福岛事故后，世界各国对核安全标准的思考与总结有着重要的启示性。在选址、设计基准、多重故障、严重事故应对等方面，都有不少新的认识。按照国际核能界的共识，及时修订IAEA的标准系列并相应修改我国的HAF系列，是一件确定无疑的任务。

在执行这一操作之前，我们还是应当想清一些原则问题。

第一点，核安全标准的总体框架不可能被颠覆，HAF102的总体理念及框架无需调整。国际核能界多年来行之有效的实践中，最重要的是纵深设防。现有核安全管理，已经实现了对核安全风险的全覆盖。我们所需做的是如何加强各层次防线的有效性，而不是颠覆之。

表1核安全假想事件的管理策略

发生频度（1/堆年）　物理过程　技术与管理措施

100　正常运行及功率调整　正常运行

100-10-1　预计瞬变　EOP前端

10-1-10-4　一般事故，紧急停堆动作，安全注射系统动作，堆芯依然完整　EOP后端

10-4-10-6　堆芯损坏，安全壳完整　严重事故处置导则（SAMG）

10-6及以下　安全壳破裂，放射性物质外泄　场外应急响应 第二点，确定论的“设计基准事故+保守假定+验收准则”的基本套路继续有效，单一故障准则不可能被推翻。

福岛核事故是特大自然灾害叠加多重故障的结果。那么，过去我们用于处置设计基准事故的监管手段及其基本假设是否应当被推翻？应该看到，就核安全管理而言，重点设防的应当是那些发生频度较高的事件，也即我们所说的“一般事故”，对付一般事故，根据经验与理论分析，安全保障系统中只要有一列有效即可抵御，这就是“单一故障”准则得以成立的依据。事实上从过往的经验来看，按单一故障准则设计出来的安全系统，多数情况下在处置多种故障时依然能发挥作用。从20世纪80年代开始一直到现在，美国NRC维持了设计基准方法，并将其拓展以解决某些关注的问题。随着新的问题出现，NRC又增加了对每个新问题的要求，但并未对设计基准事件这一基本概念或事件的列表进行过改变，为解决超设计基准问题而采取的行动大体被看作是安全上的增强。为此，设计基准事故以内手段，正是增强超设计基准安全的前提保障。

福岛核事故后，显然我们看到在极端情况下，超过设计基准的事件或外部自然灾害是依然会发生的。那么，有必要考虑设计基准事故的“扩招”吗？现在看来，这也是不必要的。这里涉及到的是核安全监管的策略问题。有两种处理问题的逻辑：把原先的超设计基准事件上升为设计基准加以严格设防，或者我们也可以把针对设计基准事件的严格管理延伸到超设计基准事件，两种做法同等有效。由于超设计基准事件的物理过程不易做数理上的量化分析，看来加强管理要优于简单的升级。

关于多重自然灾害和多重故障问题，其实在HAF102中已经有了明确的规定，包括严重事故都已经成了“电厂状态”的一个重要类别。这与旧版核安全法规有着巨大的差别。从这一点来看，设计基准事故扩容的问题可以说是一个伪命题。

第三点，核电厂选址和抗御特大自然灾害的标准要提高吗？究竟提高到什么程度？

当一些人纠结于福岛核事故的时候，他们变得不十分冷静。当然也有冷静的人群。美国NRC认为，重要的是，在评估地震和海啸这类自然事件时，不能将世界上某一地方发生的地震和海啸的数据外推到世界上的另一个地方。这些灾难性的自然事件是与具体区域和位置非常密切相关的，取决于构造和地质断层位置。WANO主席斯蒂科尔先生也认为：“我们不好说一种核反应堆设计比另一种好多少。相反，我们必须针对每一座反应堆的实际情况包括其所处的地理位置进行研究。一座反应堆经受了海啸的威胁，并不意味着在世界另外地方的同一设计的反应堆也会经受同样的命运。”他们都不主张一概而论，不主张“一竹篙打翻一船人”。

这样的问题是很难在法规上“一刀切”的。福岛核事故以后。由欧盟发起的“压力测试”为我们在处理超设计自然灾害事项时提供了一个成功的思路。这一思路其实与1975年著名的拉斯缪森报告（WASH1400）如出一辙，在WASH1400中，这部分内容称为“设计充分性（Design Adequacy）”。

针对超强自然灾害的问题，由于其高度的差异性和不确定性，“压力测试”或“设计充分性”论证，应当是比较妥帖的要求。这些要求，以在HAF102的下游文件中规定为好。

三、对严重事故处置的一些要求应是强制性的

我们认真研究现有的HAF102法规及其参照物IAEA的NS-R-1，就会发现，法规最需要升级的内容，不是个别地提高一两件量化标准，而是充分做好安全要求的均衡性工作。

原法规在设计基准事故以内的事故预防及早期干预部分，可以说综合了国际核能界的丰富经验，做足了功夫，也是很有成效的。但在应对最后一类工况“严重事故”部分，很多要求是以“必须充分考虑”、“必须考虑”等形式提出的，显得较为松软。

表2 HAF102中有关严重事故对策的部分要求

要求的形式　涉及的事项

“必须充分考虑”　堆芯应急冷却、安全壳泄漏、安全壳隔离、安全壳贯穿、安全壳气闸门、安全壳内部结构、安全壳排热、安全壳大气净化与消氢

“必须考虑”　电厂在严重事故下的行为、严重事故序列挑选、涉及严重事故设计活动要点、多重性、多样性、防止共模故障、厂外支持，主要是外电源、利用所有可能应用的系统转到安全状态、利用相邻机组的支持、安全壳设计有利于缓解选定的严重事故后果、保证安全壳完整性的措施 由上表可以看出，有关安全壳功能的部分，在严重事故条件下的要求是不充分的。所谓“考虑”，其法理意义是要求执照申请单位开展必要的分析论证，并不强求采取技术或管理措施，更没有强求必须采取硬件手段。安全壳完整性的要求，仅是“必须考虑（shall consider）”是远远不够的。

因此，法规在预防与缓解两方面，侧重于预防，这是对的。但在事故缓解方面则较为薄弱。现在要考虑的就是事故预防与事故缓解要求的均衡性。有关安全壳及严重事故的这部分条款，理应将“考虑（consider）”升格为“确保（ensure）”。当然，也并非所有“应当”都可以升格为“必须”，所有“考虑”都升格为“确保”，这取决于我们对有关物理现象的把握，以及具体工程实践中的可操作性。

四、CDF暂不可以提升成指令性要求

近来，一些人频频发声，要求在法规中加入堆芯损坏概率的量化要求。这一动议，大有商榷的必要。

众所周知，堆芯损坏频度（CDF）只是核电机组定性安全目标的导出要求，它最先出现于三里岛事故后的“用户要求文件”中，是一个指导性的意见，并不是极限安全要求。时至今日，世界各国还没有谁把CDF值列入法规成为强制性要求。以法规的形式强制推行CDF，并没有国外可资借鉴的案例，因而不能认为是一种“成熟的”实践。

其次，我们知道，CDF是概率风险评价的结果，而目前各国沿用的核安全法规，其基本构架是以确定论分析为基础的。如在法规中引入CDF数值，势必挑战法规的理论基础。概率风险分析方法虽号称是“系统化的分析方法”，但要把一个高度复杂的核电系统模化成一个可以进行量化分析的数据库，必然要作适当简化，这一简化过程带有很强的技巧性，因而也是高度不确定的。此外，PSA分析的结果在很大程度上与可靠性数据的可信度有关，而这正是目前PSA结果不确定性的主要来源之一。正因为有以上法理与技术两方面的原因，目前世界各国的实践，都还是以确定论方法为依据。概率安全分析必不可少，但只是辅助性的。我国HAF102的第3.2.3款也肯定概率论安全分析的结果是“补充性的”。如想在法规文件中写入PSA的结果作为执法依据，则必须先肯定PSA的法规地位。这一点在目前还没有条件做到。

第三，从执法的实践来看，法律法规的要求，必须具备可监管性，必须有验收准则和验收的技术手段。而PSA的分析结果有着很高的不定性，要对它作确定论式的监控评估目前还不太可能。事实上，国内外针对PSA结果的评估，采用的都是同行评估方式，它取决于业内专家的个人学识与经验，很难把它变为一种严格的执法行动。

从以上三方面分析看来，CDF值目前还不具备提升为法规强制性要求的条件。

五、小结

我国的核安全设计标准HAF102 充分借鉴了国际最先进的核安全理念与实践，总体来说是先进的。福岛核事故向我们提出了新的问题，标准的再评判与修改自然是事故后纠正行动的题中应有之义。然而，我们必须十分注意，切实把握修改标准的基础。我们不能任意地增加条款或执行难度而忽略法规的整体逻辑性，不能破坏了既有的成功实践。我们还要注意的是，在把NS-G-1转化成HAF102的时候，由于对原文理解上的差异，导致一些条款比参照版还要疲软。这一部分是需要加强的。

因此，我们有必要根据近几年来的实践，重新审视法规本身的协同性和可操作性，紧密跟踪国际核能界的认识与行动，积极稳妥地做好核安全法规的修订工作。

个人安全文化素养的“三大纪律，八项注意”

2011年12月16日

福岛核事故引发的思考是多层次的。我们要问：难道这只是一场天灾吗?在核电的运作与监管中，我们应当牢记哪些教训？

人们在总结1986年切尔诺贝利事故的时候，曾经指出，其教训之一，就是前苏联“从上到下，普遍缺少安全文化意识。”福岛核事故过程中，我们也看到，在日本核电运作过程中，同样是“从上到下，普遍缺少安全文化意识。”从1986年至今25年过去了，日本有关方面究竟在“管理”与“文化”方面有何反思，有何动作？时至今日，日本方面还把福岛核事故归因于“技术”与“纪律”问题，绝不想触及任何其它涉及人文科学的内容。可以说，福岛核事故的最大教训，就是日本的某些核电相关方，根本没有从切尔诺贝利事故中汲取教训。利益和自大蒙蔽了一些人的双眼。

因此，福岛核事故后，我们更要强调注重安全文化建设，从根本上建立确保核安全的基石。

一、什么是安全文化

国际核能界所提倡的安全文化，绝不如一般人所想象的是一种常规的文化活动，而是一种高境界的核安全管理。我们说它是一种管理，因为安全文化的要素，涵盖了组织、参与者责任、制度、执行、监控等环节，具有可量化的指标体系。我们说它“高”，因为安全文化是人文科学与自然科学的结合，是技术手段与管理手段的综合运用，它集中了全球核安全专家的智慧，将原本零散、机械、孤立、静止的核安全要求，整合成了一套可操作一体化的理念与制度。

安全文化首先表现为一种有效的体系，即一套系统科学的管理制度。正如“INSAG-13”所指出：“具有强势安全文化的组织必然有一个有效的、为全体员工所支持和拥有的安全管理体系。然而，安全管理体系具有更广泛的作用，因为它提供了一个框架，使组织能够确保安全相关活动的计划、控制和监督都取得良好的安全业绩。反过来，安全管理体系又为组织提供了一种促进和支持强势安全文化的手段。特别是，安全管理体系能塑造人们工作的环境，进而影响他们对待安全的行为和态度。因此，安全管理体系通常被看成是组织质量管理体系不可分割的一部分，后者用于确保核电厂运营所有方面的质量，包括安全。然而，质量管理体系的存在本身并不能确保就有一个有效的安全管理体系，因为还要求确保安全所需的各项安排都已识别和实施。”

同时，安全文化还表现为核电从业人员正确的思想方法和正当的行为习惯，这两者可以说是文化层面的要素。正因为如此，安全文化的推行必然触及每个从业人员的习惯并使之改变。安全文化的推进就是要改变人，这正是最难的部分。

二、推行安全文化建设为（略）

三、为什么说“安全文化在某种程度上就是企业领导人的文化”？

安全文化是一个组织的价值观和行为模式，取决于其领导者以身作则，致力于对核安全给予最重要和最优先的考虑。关于领导人在安全文化建设中的作用，国际同行有着精当的表述：

“对质量保障的安全文化来说，对精益管理和持续改进的态度，需要被所有运行和维护核电事业的人员所认同。安全运行人人有责，但是确保整个组织对待安全的态度得以强化和落实，却是领导的职责，也就是一线领导团队的责任。（David M. Collins）”

“领导们创造文化。如果一种文化的意图被偏离，最终需要领导们有所作为来成全这项文化的初衷（麻省理工学院埃德加·施恩博士）。”

从历次事故或意外的分析中，我们可以看到，领导人一时的不当决策或言行，可能彻底摧毁下属的价值观与信仰。“领导者的言行直接影响到下属和身边的人，好的作风与良好的文化素养对他人的影响是潜移默化的，并经长期的作用下才能显现效果；而领导者的不良习惯和短视行为对下属的影响则是立竿见影，效仿者甚众。（摘自“一位员工的感悟”）”

领导者在安全文化建设中有着举足轻重的作用，他们应当能客观认识安全业绩，尽力查找有待改进的领域，实现持续进步。在面临巨大经营压力或者某些业绩指标“滑坡”的时候，依然保持冷静的头脑和平和的心态，而不是试图用消防队的方式急于扭转不利的外部形象。在取得极为骄人的业绩的时候，仍然愿意从成绩和赞扬声中查找自己的不足和有待改进之处。当外部的批评和内部的不满铺天盖地而来的时候，愿意承认其中合理的成分而不是把它当作恶意攻击而拒之门外。

他们应当能正确把握安全文化理解的要点，冷静处理突发事件，客观看待人的行为。并能学会辩证地处理好各有关范畴。

领导人应当有计划地建立起持续改进的长效机制。安全文化的精髓是追求卓越，实现持续改进。安全文化建设不是搞运动，风一吹过就完了，安全文化建设是每日每时都要做的事情。这就是抓责任落实和制度建设，使之规范化、制度化、常态化。制度是否严密，责任是否清楚，有没有履行责任，敢不敢承担责任，是安全文化好不好的一个重要标志。

以上有关领导人的执行力，就是安全文化建设中能冲破层层阻力的根本动力所在。

四、个人安全行为习惯的“三大纪律八项注意”

虽说安全文化本质上是高层次的管理，但安全文化的确与文化密切相关。这个关节点就是安全文化对从业人员的品质与素养的要求。

多年以来，我们对安全文化的人员素养要求即三条铁律已经耳熟能详，这就是：质疑的工作态度、严谨的工作方法、良好的沟通习惯。但我们必须知道，这固然是个人安全文化素养的重要部分，却不是其全部。

《安全文化（INSAG-4）》指出：良好实践本身是安全文化的一个重要组成部分，但机械地套用是不够的。安全文化的要求更进了一步，即在严格履行良好实践基础上，还需要对所有的安全事项具备警觉性、充分的思考、全面的知识、准确的判断和高度的责任心。

安全文化的原则不变，但它对个人修养的要求却会随着时间与空间的变化而变化。个人修养的重点是需要“与时俱进”的。针对当前所处的特定情况，我们可以把它较为完整地归纳为：责任心、谦虚好学的探索态度、严谨的工作作风、合作的精神、互相交流的工作习惯、正确的理解能力、良好的技能和健康的心理素质。这些要素，缺一不可。这种要求对高层管理者与基层员工一律适用。

为了使我国的干部员工便于理解与记忆，我们不妨把安全文化的个人修养要求总结为核安全文化的“三大纪律”和“八项注意”。

三大纪律是：

第一，一切行动都要服从规则。

安全文化一种制度文化。核电风险巨大，系统复杂，一个人要想全盘掌控很难。而规则与标准，是人们从过去千百次的失败与教训中总结出来的真知灼见。严格遵守规则要求，可以保证我们不犯别人曾经犯过的错误，减少发生严重差错的机会。在对待规则的问题上，我们的态度应当是：规则当然是可以修改的，但那要经过严格的论证辨析。而违反既有规则的事，不管规则有多不完善，不管动机如何良好，也不管做事的结果如何有效，一律都应作为“违章”来处理。子曰：“尔爱其羊，吾爱其礼”，这就是程序体系的神圣不可侵犯性。

第二，做事要留有余地。

安全文化也是一种稳健经营文化。话不可说绝，力不可使尽，一定要留点后手。这种文化，在技术上称为裕度，在管理上称为保险系数，在决策上称为保守，在经营上称为稳健。其目的是确保纵深防御有效，同时，要有事故预案，技术路线要经得起推敲。

第三，一有异常，立即报告。

安全文化还是一种报告文化，也可称之为透明度文化。核安全管理所坚持的经验反馈体系，是以所有失误与意外都能得到及时报告为基础的。只有及时报告，才能组织深入可靠的分析找到教训和改进的空间，防止重犯同类的错误。当然，仅有报告是不够的，还必须有严格分析总结和纠正行动落实。我们所强调的透明度，不仅要求下级对上级的透明，也要求上级对下级的透明，还要求企业内部对外部公众和监管机构的透明。只有坚持透明度，才能实现及时有效的报告和及时真实的经验反馈。

除以上所述的三大纪律之外，针对目前普遍存在的不良工作习惯，我们提出如下的“八项注意”：

一要要勤于思考，理解所发生的变化，善于发现问题；

二要会举一反三，实现有效的经验反馈与共享；

三不弄虚作假；

四不姑息迁就，问题不过夜，响应及时，不留遗憾；

五不敷衍了事，要从根本上有效解决问题背后的问题，不留后患；

六不逞能充好汉，而要发扬团队力量，成绩与错误都不要仅仅归于个人；

七不要走捷径，图省事；

八不搞繁琐哲学，不要把管理过程复杂化。

“三大纪律和八项注意”，是我们从业人员的基本职业素养，也可以说是我们的职业道德。只要其中有一条做不好，安全就会存在隐患。

行文至此，笔者不由心生感叹：我们可以做到其中的一条或几条，我们能全部做到吗？我们几个人可以做到，我们能要求所有人都做到吗？我们也许有一次碰巧能做到，我们能永远做到吗？安全文化建设真是一件不容易的事情。

核电安全无小事。核安全文化的建设，任重而道远。

从事核电行业的人们，你们要警惕啊。我是爱你们的！