工组织设计方案.doc

目录
第一章 引言 2
第二章 安全原理 3
第三章 设计总准则 6
第四章 反应堆堆芯 24
第五章 反应堆冷却剂系统 27
第六章 信息和控制 31
第七章 保护系统 34
第八章 应急动力供应 35
第九章 安全壳系统 36
第十章 辐射防护 41
第十一章 燃料装卸和贮存系统 46
第十二章 设计的确认 47

第一章 引言
1.1目的
本规定提出了陆上固定式热中子反应堆核电厂的核安全原则，确定了保证核安全所必需的基本要求。这些要求的适用范围包括安全重要的构筑物、系统和部件以及有关规程和程序。规定中只强调设计中必须满足的要求，对于如何满足这些要求则不作具体规定。
附录I所列安全导则是对本规定的说明和补充。
本规定适用于核电厂设计、制造、建造、运行和监督管理。
1.2范围
本规定阐述了构筑物、系统和部件为满足安全运行以及防止（或减轻）可能危及安全的事件后果所应遵守的设计方法和设计要求。可能危及安全的事件统称为假设始发事件。假设始发事件用于确定核电厂物项的设计基准。它们包含多种可能单独地或相互组合后影响安全的因素。这些因素有如下几种类型：
与核电厂厂址及其环境有关联的因素；
由人员行动引起的因素；
源自核电厂本身运行的因素。
本规定不考虑下列事件：
极不可能发生的事件（对严重事故的考虑见3.5条）；
能导致核电厂厂址区域的全面破坏而又不能加以防范的人为事件和自然事件；
绝无可能影响核电厂安全的工业事故；
本规定不考虑核电厂对环境的非放射性影响。第5章和第9章的某些要求只适用于水冷堆。

第二章 安全原理
2.1安全目标
核能与任何一种对于人类和环境具有一定风险的工业活动一样，均须尽力降低风险。核能的风险与电离辐射（以下简称辐射）有关。因此核安全的最终安全目标为：
建立并保持对辐射危害的有效防御，保护厂区人员、公众和环境。
具体而言，辐射防护的目标为：
保证厂区人员和公众在运行状态下所受到的辐射照射低于规定限值并保持合理可行尽量低；保证减轻事故引起的照射。
保证从总体上防止事故的发生，保证在出现核电厂设计中在考虑到的所有事故序列（即使是概率很低的序列）时，其放射性后果不大；通过预防和缓解措施保证发生严重后果的事故的可能性极低。
2.2纵深防御
纵深防御概念是安全原理的重要组成部分。此概念必须贯彻于安全有关的全部活动，包括与组织、设计或人员行为有关的方面，以保证这些活动均置于重叠措施的防御之下，即使有一种防御失效，亦将得到补偿或纠正。
设计过程中必须贯彻纵深防御概念，从而提供多层次的保护。这方面的实例为：
（1）设置多种手段以保证每个基本安全功能（反应性控制、余热排出和放射性包容）的执行；
（2）除固有安全特性外，采用可靠的保护装置；
（3）通过安全系统的自动触发和运行人员的行动，加强对核电厂的控制； （4）提供设备和规程以支援事故预防措施、控制事故发展过程和限制事故后果。
作为一条基本要求，任何时候各防御层次都必须按照不同运行方式的规定一一备齐。在缺少一个防御层次而其他防御层次虽在的条件下，继续运行就没有足够的基础。
纵深防御概念在设计过程中的第一种应用如下：提供多层次的设备和规程，用以防止事故，或在未能防止事故时保证适当的保护。
（1）第一层次防御的目的是防止偏离正常运行。这一层次要求按照恰当的质量水平和工程实践正确并保守地设计、建造和运行核电厂。为达到此目的，对设计规范和材料的恰当选择以及部件制造和核电广施工的控制，均应十分注意。对于核电厂的检查、维护和试验规程，以及进行这些活动时良好的可达性﹑核电厂的运行条件和运行经验的利用等项，亦应予以关注。
（2）第二层防御的目的是检测和纠正偏离正常运行的情况，以防止预计运行事件升级为事故工况。这是由于尽管注意预防，核电厂在其寿期内仍然会发生假设始发事件。这一层次要求设置专用系统并制定运行规程以防止或尽量减小这些假设始发事件所造成的损坏。
（3）第三层次防御是基于以下假定：尽管极少可能，某些预计运行事件的升级仍有可能未被前一层次防御所制止，因此必须提供附加的设备和规程以控制由此引起的事故工况的后果。设置这一层次防御的另一主要目的是使核电厂在事故工况后达到稳定的、可接受的状态。
在第三层之后可借以进-步保护公众和厂区人员的措施为：核电厂用于减轻超设计基准事故后果的特定的补充设施、应急计划和准备。
纵深防御概念的第二种应用是核电厂设置多道实体屏障，防止放射性物质外逸。这些屏障通常包括燃料本身、燃料包壳、反应堆冷却剂系统压力边界和安全壳。设计必须保证每一屏障的有效性，并为之提供保护。

第三章 设计总准则
3.1 辐射防护①
必须提供措施，以保证2.1条所提出辐射防护目标的实现。
核电厂安全设计中辐射防护接受准则必须遵循以下原则：导致高辐射剂量或放射性物质大量释放的核电厂状态的发生概率要低，而发生概率较高的状态的辐射后果要小。
接受准则通常仅为与核电厂的正常运行、预计运行事件和事故相对应的为数有限的几组准则。接受准则必须由国家核安全部门认可。

3.2安全功能②
把安全视作整个设计过程中的内在要素，对于达到充分安全至为重要。本规定中所提出的安全对策的目的是：使核电厂保持在正常运行状态中；保证发生假设始发事件后，电厂能立即作出正确的近期响应以及在事故工况后便于处理。
为保证安全，必须满足下列总的设计要求：
（1） 必须提供安全停堆手段，使在运行状态中和事故工况期间及事故工况后的反应堆安全停堆，并使之保持在安全停堆状态。
（2） 必须提供排除余热的手段，使停堆后（包括事故工况停堆后）从堆芯排出余热。
（3） 必须提供减少放射性物质释放的可能性的手段，并保证任何释放在运行状态期间低于规定限值，在事故工况期间低于可接受限值。
对安全功能进行考虑是系统地满足上述设计总要求的一个处理方法。安全功能包括厂内各系统在运行状态中和事故工况期间及事故工况后为保证电厂安全所必须执行的所有功能。
① 有关设计中辐射防护的进一步指导见安全导则HAF0209。
② 有关安全功能及其应用的进一步指导见安全导则HAF0201。

3.3电厂安全特性
纵深防御概念的基本思想也反映在电厂的下列特性中。
核电厂设计的一个总体要求是电厂对假设始发事件的敏感性必须合理地低。电厂对任何假设始发事件的预计响应可用下列（1）-（3）中的一项特征表示。核电厂的设计和运行应能促使任何假设始发事件的后果按下述顺序排列，并在合理可行的条件下尽可能接近于（1）。
（1）依靠核电厂的固有特性，假设始发事件不产生与安全有关的重大影响或核电厂只产生趋向安全状态的变化。
（2）在发生假设始发事件后，依靠在此状态中连续运行的系统动作，以控制该假设始发事件，使核电厂趋于安全。
（3）在发生假设始发事件后，依靠对该事件作出响应而投入工作的系统动作使电厂趋于安全。

3.4设计基准
设计基准必须规定核电厂在确定的辐射防护要求范围内适应规定的运行状态范围和事故工况的必备能力。设计基准包括正常运行技术规格、假设始发事件引起的状态、重要的假设以及在某些情况下特定的分析方法。
3.4.1正常运行
设计过程中必须针对电厂安全正常运行的要求，制定一组运行要求和限制，包括：
（1）过程变量和其他重要参数的限制；
（2）安全系统整定值；
（3）电厂维护、试验和检查的要求，以保证构筑物、系统和部件的功能与设计规定相符。
这些要求和限制是制定运行限值和条件的依据。
3.4.2假设始发事件
核电厂设计中必须认识到纵深防御的各个层次都可能受到考验，因此设计中必须采取措施以保证安全功能的执行，并实现安全目标。上述考验来自假设始发事件。假设始发事件的选择系基于确定论法或概率论法，或两者的某种组合。不同类型的假设始发事件及其可能的组合见附件A。应指出，独立事件同时发生的可能性通常不予考虑。
3.4.3设计规范
应有国家核安全部门认可的工程设计规范，作为系统和部件设计的接受准则。
3.4.4厂址特征 ①
在确定核电厂设计基准时，必须考虑到核电厂与环境之间的各种相互作用，包括人口、气象、水文、地质和地震等因素。还必须考虑到为获得电厂安全和保护公众可依托的厂外服务（如电力供应和消防设施）可能遇到的困难。

3.5严重事故
正常运行、预计运行事件和事故工况的设计基准对于防止反应堆堆芯的严重损坏以及抑制放射性物质的释放，使之在运行状态下低于规定限值并在事故工况下低于可接受限值，必须提供高的可信度。
但是应该意识到某些低概率的事件序列有导致严重的堆芯损坏的可能。
从安全观点出发，还以在一定限度内计及严重事故为妥。对于严重事故的考虑可基于现实的分析，而毋需严格地运用确定设计基准时所采取的保守的过程方法。根据运行经验，结合安全分析和安全研究的结果，设计中应考虑的事项有：
（1）针对特定设计，确定能导致严重事故的重要事件序列；
（2）考虑电厂的已有能力，包括超越其预定功能和设计基准时利用某些系统的可能，以及利用某些暂设系统使电厂恢复到受控状态并减轻严重事故的后果；
（3）应对能降低这些事件出现的概率或能减轻这些事件后果的可能的设计修改作出评价。若通过适当努力能提高总的安全性，则应进行这种设计修改。
（4）在计及有代表性的和起主导作用的严重事故的条件下，制定事故处理规程。
① 进一步指导见HAF0100（91）《核电厂厂址选择安全规定》及其安全导则。

3.6核电厂质量
必须明确规定构筑物、系统和部件的全部安全功能。构筑物、系统和部件必须按其安全的重要性进行分级。
为保证高度的功能可靠性，对于与质量有关的各个方面，诸如构筑物、系统和部件的设计，材料的选择、技术规格、建造、运行、维护和试验规程以及合格人员的配备，必须予以极大关注，使之适应所赋与的安全功能。不仅对于不同防御层次中的工艺和安全系统及其辅助设施有此要求，对于防止放射性物质外逸的各道实体屏障尤其如此。
凡属可行，设备必须按照适用的、经认可的标准设计，其设计必须是此前在相当使用条件下验证过的；设备的选择必须与安全所要求的电厂可靠性目标相一致。对于所采用的标准和规范，必须加以鉴别和评价，以确定其适用性、恰当性和权威性，并根据需要进行补充和修正，以保证设备的质量符合安全功能的要求。
选择设备时必须考虑到误动作和不安全的故障模式（例如要求脱扣时不脱扣）。系统或部件有发生故障的可能并需要在设计中针对此种故障作出适应性措施之处，则必须先选择具有可预见的故障模式并便于修理或更换的设备。①

3.7在役试验、维护、检查和监测的措施
安全重要构筑物、系统和部件的设计必须符合下列要求：它们的可靠性达到足够高的水平；为保持其执行功能的能力，可在核电厂的寿期内进行标定、试验、维护、修理和检查或监测；完成这些活动时所达到的标准与所执行安全功能的重要性相当，且厂区人员不致于由此而受到过量的照射。
安全重要构筑物、系统和部件的设计不足以适应试验、检查或监测的需要时，必须采取适当的补充措施，以消除潜在的未发现的故障影响。

3.8系统和部件的可靠性设计 ②
① 这方面的进一步指导见HAF0400（91）《核电厂质量保证安全规定》及其有关导则。另见安全导则HAF0302《核电厂在役检查》﹑HAF0307《核电厂维修》和HAF0308《核电厂重要物项的监督》。
②关于系统可靠性和设计措施的进-步指导见安全导则HAF0203﹑HAF0204﹑HAF0205﹑HAF0206﹑HAF0207﹑HAF0213.
本条所列的几种措施可用于达到和保持与全部三个防御层次内所执行安全功能的重要性相当的可靠性。如有必要，可使用这些措施的组合。
表示不同防御层次的可靠性要求，不能采取通用的定量指标。但第一层次无疑应视作重点。这与营运单位为了生产电力保持核电厂高可用率的目标也是吻合的。
为保证安全功能的执行具有必需的可靠性，经国家核安全部门同意，对某些安全系统可制定最大不可用率的限值作为基准或用作接受准则。
3.8.1多重性
为完成一项特定安全功能而采用多于最少套数的设备，即多重性，它是提高安全重要系统的可靠性并借以满足单一故障准则（见3.8.2）的重要设计原则。在运用多重性原则的条件下，一套设备出现故障或失效是可承受的，不致于导致功能的丧失。例如，在某一特定功能可由任意两台泵完成之处，设置三台或四台泵。为满足多重性要求，可采用相同的或不同的部件。
3.8.2单一故障准则
满足单一故障准则的设备组合，在其任何部位发生单一随机故障时，仍能保持所赋予的功能。源自单一故障的各种继发故障，均视作单一故障不可分割的组成部分。
对于构成核电厂设计的每个安全组，都必须运用单一故障准则。安全组是用以完成各项为抑制特定假设始发事件的后果使之不超过设计基准所规定限值所需要的动作的设备组合。
为检验核电厂是否符合单一故障准则的要求，必须对各有关安全设备组进行下述分析：假设单一故障及其全部继发故障依次出现在设备组合的各个单元上，并逐一进行分析，直至完成此组合内的全部故障分析为止，对各有关组合依次一一进行分析，直至完成所有组合和全部故障的分析为止。有关特定安全系统需要符合单一故障准则的叙述见后。单一故障准则在上述系统中的假设是此前已作了描述的过程中的一部分。单一故障分析中，不考虑同时发生一个以上的随机故障。
如上述分析的结果表明，每个安全组在计及假设始发事件的影响后均能完成各有的功能，则认为，设计达到了单一故障准则的要求。
单一故障分析中，对于设计、制造、在役检查和保养的质量达到极高水平的非能动部件的故障，可不予考虑。但在排除非能动部件发生故障的可能时，必须计及始发事件后需要部件发挥作用的全时程，并对基于此种假设的分析方法的正确性作出论证。
乱真动作必须视为故障的一种模式。
对于下列各种情况，毋需遵守单一故障准则：
（1）极为罕见的假设始发事件；
（2）假设始发事件极不可能的后果；
（3）某些设备因进行维护、修理或定期试验，在有限的时间内停止使用。
对某些安全系统可能需要提出多重性或多样性的附加要求。例如在相同部件用于几种安全功能或同时用于安全和非安全目的之处、有共因故障的可能之处以及定期试验的有效性受到限制之处，均可据以提出附加要求。
3.8.3多样性
采用多样性原则能减少某些共因故障的可能，从而提高某些系统的可靠性。应考查这类潜在故障的原因，以确定在何种场合能有效地应用多样性原则。
多样性应用于执行同一功能的多重系统或部件，系通过多重系统或部件中引入不同属性而实现。获得不同属性的方式有：采用不同的工作原理、不同的物理变量或不同的运行条件以及使用不同制造厂的产品等。
为保证所采用的多样性确能提高所完成设计的可靠性，在运用多样性原则时必须审慎。例如，为降低共因故障的可能性，设计人员必须对材料、部件和制造工艺中有无任何相似之处，运行原理或公用的辅助设施中有无细微的类似之处给以关注。采用多样化系统或部件时，应计及诸如运行、维护和试验程序中额外的复杂性，或使用可靠性较低设备所带来的缺点，并取得此种追加措施有利于总体效益的合理保证。
3.8.4独立性
为提高系统的可靠性可在设计中采用下列独立性原则：
（1）保持多重系统部件之间的独立性；
（2）保持系统中各部件与假设始发事件效应之间的独立性，例如，假设始发事件不得引起为减轻该事件后果而设置的安全系统或安全功能的失效或丧失；
（3）保持不同安全等级的系统或部件之间适当的独立性；
（4）保持安全重要物项与非安全重要物项之间的独立性。
独立性可在系统设计中通过功能隔离或实体分隔实现。
（1） 功能隔离
必须使用功能隔离，以减少多重系统或相连接系统中由正常运行或异常运行，或这些系统中任一部件的故障所引起的设备和部件间不良相互作用的可能性。
（2） 部件的实体分隔和布置
在系统布置和设计中，必须尽实际可能采用实体分隔原则以增强实现独立性的保证，对于某些共因故障尤其如此。
这些原则包括：
空间分隔（距离、方位等）；
屏障分隔；
上述两种方法的组合。
分隔方法的选择取决于设计基准中所考虑的假设始发事件，例如火灾、化学爆炸、飞机坠毁、飞射物、淹没、温度、湿度等效应。
核电厂内的某些场所，有可能成为不同安全重要性的各种设备或线路的自然汇合点，例如安全壳贯穿区、电动机控制中心、电缆走廊、设备间、控制室和核电厂的工艺控制电脑等。在这些场所，必须尽实际可能采取适当的措施以防止共因故障。
3.8.5故障安全设计
在设计核电厂的安全重要系统和部件时，应尽可能贯彻故障安全原则，即系统或部件发生故障时，电厂应能在毋需任何触发动作的情况下进入安全状态。
3.8.6辅助设施
为保持电厂安全状态所必需的辅助设施有供应电力、冷却水、压缩空气或其他气体的设施及润滑设施等。辅助设施用于支持构成安全重要系统部分的设备时，必须视作安全重要系统的一部分。它们的可靠性、多重性、多样性﹑独立性﹑用于隔离和功能实验的措施必须具有与所支持系统相对应的可靠性。
3.8.7共因故障
若干装置或部件的功能可能由于出现单一特定事件或原因而失效。这种事件或原因可能是设计缺陷、制造缺陷、运行或维护差错、自然事件、人为事件、信号饱和、环境条件的变化或电厂内任何其他运行或故障所引起的意外的级联效应。必须尽实际可能在设计中采取适当措施尽量减少这种效应。
3.8.8设备停役
核电厂及其安全系统的可靠性设计中，必须计及设备停役的影响，包括预计的维护、试验和修理工作对于各个安全系统的可靠性所产生的影响。如系统的可靠性在设备停役的条件下不能满足设计和运行所采用准则的要求，且临时停役的部件不能在规定时间内进行更换或重新投入时，核电厂必须停止运行或置于安全状态之下。核电厂开始运行前必须明确规定可用于各种情况下部件的更换或重新投入的时间和应采取的行动。

3.9运行人员操作优化的设计①
从安全观点出发，厂区人员的工作场所和工作环境必须按人机工效学原则进行设计。
对人的因素和人机关系的全面考虑应始于设计的早期阶段，并贯彻于设计全过程。
控制室内必须以协调的方式向操纵员提供反映本规定3.2条中各种安全功能所必需的全部设备和系统现状的各种参数的清晰的显示。在辅助控制点内也必须提供类似设施（见6.3条）。
若将操纵员视为承担双重任务，即设备操作和系统管理（包括事故处理）的人员，则有助于确立信息显示和控制的设计原则。
为进行系统管理，操纵员需要借以作出下述判断的信息：
（1）在任何状态下（即正常运行、预计运行事件或事故工况），迅速评估电厂的概况，并确认预定的自动安全动作正在进行；
①进一步指导见安全导则HAF0203、HAF0208和HAF0303。
（2）决定应采取的恰当行动。
为进行设备操作，操纵员需要各系统和设备有关参数的信息。
设计必须利于操纵员在有限的时间内、预计的周围环境中和有心理压力（的状态）下能采取成功的行动。应尽量减少操纵员在短期内进行干预的必要性。设计时应考虑这种干预可予接受的前提是：设计者能够证明操纵员有足够的时间作出决定并采取行动，操纵员据以决定采取行动的必要信息系以简单和明确的方式呈现，在该事件发生后控制室内或辅助控制点内及其通道中的环境是可接受的。

3.10余热向最终热阱的输送①
必须设置传热系统，向最终热阱输送来自安全重要构筑物、系统和部件的余热。这些系统在正常运行、预计运行事件和事故工况下都必须具有极高的可靠性。用于输送热量的各系统，包括传递热量、提供动力以及向余热输送系统供应流体的设计都必须与它们的整个余热输送系统中所分担的功能相适应。
为实现系统的可靠性，必须恰当地选择经考验的部件，并采用多重性、多样性、实体分隔、相互连接以及隔离等。
在设计这些系统、选择最终热阱和传热流体贮存系统的多样性方案时，必须考虑到自然事件和人为事件的影响。

3.11防火和防爆②
设计和布置安全重要构筑物、系统和部件时，除满足其他安全要求外，还必须尽量降低外部和内部事件引起火灾和爆炸的可能性及其后果。作为最低要求，必须保持停堆、排出余热和包容放射性物质的能力。为实现这些要求，必须采取多重部件、多样系统、实体分隔适当组合和故障安全设计。
①进一步指导见安全导则HAF0206。
②进一步指导见安全导则HAF0202。
在整个核电厂中，尤其在诸如安全壳和控制室等场所中，凡属可行，必须采用不可燃的或阻燃的和耐热的材料。
必须设置足够容量和能力的火警检测和灭火系统。在必要的场合，这些系统必须能自动触发。灭火系统的设计和布置必须保证在其出现破裂、误动作或意外操作时，对安全重要构筑物、系统和部件的能力不致于产生显著的影响。

3.12设备故障的影响①
安全重要构筑物、系统和部件的设计必须能经受运行状态和事故工况的影响并适应这两种状态的环境条件（对于严重事故，尽实际可能予以考虑）。为防止能加重初始事件对安全所造成的后果的次级故障，这些构筑物、系统和部件必须采取适当的布置方式，或为之采取保护措施，以防止设备损坏时可能出现的飞射物、管道甩动、流体喷射和淹没等动力作用的破坏。如果这些条件不能满足，必须在设计中采取其他合适的措施。
安全重要的流体系统与工作压力较高的另一流体系统相连接时，必须按较高的压力设计，或设置符合单一故障准则的过压保护。

3.13多堆共用的构筑物、系统和部件
两个或两个以上的动力堆，一般不应共用安全重要构筑物、系统和部件。共用的方式如予采用，必须证明：此种方式能满足每一座堆的全部安全要求；一座堆发生事故时，其它各堆能有秩序地停堆、冷却并排出余热。

3.14含有可裂变或放射性物质的系统②
必须保证核电厂内可能含有可裂变或放射性物质的所有系统在运行状态和事故工况下均有足够的安全性。

3.15撤离路线和通讯手段
核电厂必须设置有简捷、以醒目而持久的标志识别的安全撤离路线，并配备为安全使用这些路线所必需的可靠的应急照明和其他辅助设施。撤离路线必须符合工业安全、辐射分区、防火和电广保卫方面的要求。
为使厂区人员即使在事故状态下也能得到警告指令，必须设置适当的报警系统和通讯手段。
安全必须的核电厂厂区内部以及对外的通讯联系，必须保持昼夜畅通。进行通讯设计和选择多样性措施时，必须计及这一要求。
①进一步指导见安全导则HAF0204。
②进一步指导见安全导则HAF0204

3.16核电厂出入口控制
为严密控制出入口，必须以适当的构筑物的布置方式，使核电厂与其周围相隔离。进行厂房设计和厂区布置时，尤其须注意此点，并为保卫人员或监测设备作出安排，以防未经批准的人员和物品进入核电厂。

3.17退役
在设计阶段对便于核电厂退役的措施必须给以关注，还必须为厂区人员和公众在退役期间所受到的辐射照射保持于合理可行尽量低的水平，以及充分有效地保护环境防止放射性污染作出努力。

第四章 反应堆堆芯
4.1反应堆设计
为保证在所有运行状态下不超出设计规定的可接受限值，反应堆堆芯和有关冷却剂系统、控制和保护系统的设计必须留有适当的裕量。
组成反应堆堆芯的部件和反应堆压力容器内靠近堆芯的其他部件的设计和装配，必须符合下述要求：在运行状态和事故工况中所预计到的静、动荷载的作用下，可保持必要的结构稳定性，以保证安全停堆和堆芯冷却。

4.2燃料元件
燃料元件的设计必须适应各种劣化过程后仍能满意地承受所预计的堆内辐照的要求。
设计燃料元件时必须考虑下列劣化因素：冷却剂外压、燃料内裂变产物所造成的附加内压、燃料和燃料组件中其他材料的辐照效应、功率变化所造成的压力和温度的变化、化学效应、静载荷、包括流体所引起的，振动和机械振动在内的动载荷以及变形或化学效应所引起的传热性能的变化等。设计必须为数据、计算和制造中的不确定因素留有裕量。
燃料元件在正常运行中，必须保持于设计规定限值之内（包括裂变产物的容许泄漏值）；预计运行事件中的各种瞬态影响不得造成元件显著的进一步劣化，裂变产物的泄漏量必须保持于现实可行的最低水平，燃料组件的设计应计及便于检查其结构和零件的要求；在事故工况中，燃料元件必须能保持原位，其变形不得发展到有碍于堆芯在事故后保持足够有效冷却的程度，并且不得超过燃料元件在事故工况下的规定限值。
①进一步的指导见安全导则HAF0214。

4.3反应堆堆芯控制
堆芯的中子通量的水平和分布，各种状态下，包括停堆后，换料期间和换料后的状态、以及预计运行事件和事故工况引起的状态在内，必须符合4.2条的规定。用于检测上述通量分布的手段必须总能保证堆芯内不存在任何未能检测到的违反4.2条规定的部位。堆芯设计应尽量减少依赖控制系统使通量分布在各种运行状态下保持在规定限值内。

4.4反应堆停堆
必须备有在运行状态和事故工况下安全停堆的手段。必须保证，即使在堆芯具有最大后备反应性的情况下，仍能保持停堆状态。停堆手段的有效性﹑动作速度和停堆深度必须足以保证反应堆不超出规定的限值。
停堆手段必须由两个不同的系统组成。
两个系统中，至少有一个系统能在单一故障情况下独立行使使反应堆从运行工况和事故工况迅速进入有足够深度的次临界的功能。
即使在堆芯具有最大后备反应性情况下，两个系统中至少有一个系统能独立使反应堆从正常运行工况进入次临界，并以足够的深度和高的可靠度保持次临界状态。
判断停堆手段是否足够时，必须高度重视发生在核电厂任何部位的、可能导致一部分停堆手段失去作用的故障。
停堆手段必须足以防止反应堆失控地转向临界。为满足这一要求，必须考虑到停堆期间能增加反应性的各种预定操作（诸如维护和换料操作时移动中子吸收体）及停堆手段中的单一故障。
必须通过检测和试验保证停堆手段处于所要求的状态。
如能在全部正常功率运行期间保持停堆能力，则部分停堆手段可用于反应性控制和通量整形。

第五章 反应堆冷却剂系统
5.1反应堆冷却剂系统的设计
反应堆冷却剂系统及其有关的辅助系统、控制和保护系统必须具有足够的裕量，以保证冷却剂的压力边界在任何运行状态不超过设计条件。为达到此目的所设置卸压装置的动作，即使在事故工况下，也不得导致核电厂放射性物质的向外释放超过可接受的程度。
包容反应堆冷却剂的部件，如反应堆压力容器或压力管、管道和接头、阀门、配件、循环泵和热交换器以及用于固定这些部件的器件，必须能在所有运行状态和事故工况下承受预计的静、动载荷。
反应堆冷却剂压力边界必须具有能保证任何微裂纹缓慢扩展（如微裂纹可检测性、先漏后破）的特性。必须避免属于反应堆冷却剂压力边界的部件可能呈现脆性的设计和工况。所设计和制造的反应堆压力容器、压力管必须在材料选择、设计标准、可检查性和加工方面均具有最高质量。
设计中必须考虑到压力边界材料在运行、维护、试验和事故工况下的所有条件，并对使用中可能出现劣化（诸如由于侵蚀、蠕变、疲劳、化学环境、辐射环境和老化）以及在确定部件初始状态和劣化速率时的任何不确定因素，留有适当的裕量。
必须尽量减少反应堆冷却剂压力边界范围内的部件，诸如泵的叶轮和阀门零件在各种运行状态和事故工况下发生故障的可能性以及此种故障对一回路系统内其他安全重要物项造成的损伤，并对使用中可能发生的劣化留有适当的裕量。
①本章的某些要求仅适用于水冷反应堆，进一步的指导见安全导则HAF0213。

5.2-回路压力边界的在役检查
一回路压力边界内部件的设计、制造和布置，必须便于在核电厂整个寿期内对边界定期进行充分检查和试验。应采取措施，贯彻材料监督大纲，借以确定反应堆压力容器和其他重要部件的结构材料的辐照效应和老化效应。
一回路压力边界的各部件必须具有与其安全重要性相对应的直接或间接的可检查性，以验明不存在不可接受的缺陷或劣化。
此外，必须设置指示器以监测一回路压力边界完整性（如泄漏检测）。设置此种监测手段，对于安全所必需的在役检查的选择可能产生影响。
核电厂的安全分析表明二回路冷却剂系统中的某些特定故障可能导致严重后果时，其有关部分必须具有可检查性。

5.3反应堆冷却剂装置
必须采取措施保证冷却剂的装载量和压力在任何运行状态下，在计及容积变化和泄漏后保持在设计规定的限值之内。为满足这一要求，执行上述功能的系统必须具有足够的容量（流量或储量）。这些系统可由用于发电过程的部件或专门为此而设置的部件组成。5.4反应堆冷却剂净化
必须采取措施，清除反应堆冷却剂中的放射性物质，包括从燃料泄漏的裂变产物。相应系统的能力必须基于设计所规定的燃料容许泄漏限值和保守的裕量，以保证核电厂可在回路中的放射性水平处于合理的低水平和释放量低于规定限值的条件下运行。

5.5堆芯余热的排出
必须为排出堆芯的余热提供手段。它们的安全功能是在不超过规定的燃料设计限值和冷却剂压力边界设计条件的前提下，以一定速度从堆芯排出裂变产物的衰变热和其他余热。
为了在单一故障的前提下足以可靠地实现上述要求，余热排出系统的设计必须具备适当的多重性、多样性以及诸如泄漏检测、适当的相互连接和隔离能力等特征。

5.6应急堆芯冷却
为限制冷却剂丧失事故时裂变产物的外逸，必须设置应急堆芯冷却系统。此系统必须具有下述冷却效能：
（1）包壳温度不超过事故工况的容许设计值；
（2）可能出现的化学反应限制在容许水平内；
（3）燃料和堆内构件的变形不致于显著降低应急堆芯冷却手段的有效性；
（4）堆芯冷却保持足够长的时间。
为了在单一故障的前提下也足以可靠地实现上述要求，应急堆芯冷却系统的设计必须具备适当的多重性、多样性及诸如泄漏检测、适当的相互连接和隔离能力等的设计特征。

5.7应急堆芯冷却系统的检查和试验
应急堆芯冷却系统及其重要部件必须具备进行定期检查和定期试验的条件，以保持下述性能：
（1）系统中各部件的结构和密封的完整性；
（2）正常运行期内系统中各能动部件可达到的最佳可运行性和工作性能；
（3）作为一个整体，系统按现实可能与设计基准条件相接近的可运行性，例如为系统投入运行所需全部操作顺序的执行，包括保护系统中有关部分的操作、正常和应急动力源之间的切换，以及有关安全系统辅助设施的操作等。

第六章 信息和控制
6.1总的要求
必须设置能在正常运行、预计运行事件和事故工况下对变量和系统进行全程监测的仪表，以获取核电厂现状的充分信息。必须设置能测量所有影响裂变过程、反应堆堆芯完整性、反应堆冷却剂系统和安全壳完整性的主要变量的仪表以及借以获取核电厂的安全可靠运行所需的任何信息的仪表。对安全重要的导出参数，如冷却水的过冷度，必须配置足够的自动记录装置。
必须设置适当的控制手段将上述变量保持在规定的运行范围以内。控制系统的设计应采取适当的可达到高度可靠性的手段。
必须设置检测仪表和记录装置，用以获取为跟踪事故工况过程和主要设备现状所需的基本信息；按安全要求，预测放射性物质可能自设计部位外逸的数量和位置。应视实际可能使检测仪表中有一定数量的仪表提供在严重事故期间反映电厂现状和据以作出决策的信息。
①进一步的指导见安全导则HAF0208。

6.2控制室①
必须设置主控制室，借以进行下述活动：在各种运行状态下安全地运行核电厂；出现事故工况和控制室设计中所采用的设计基准事件后，采取相应措施，以保持核电厂的安全状态或使之返回安全状态。 必须采取适当措施保护控制室内的人员，防止事故工况下形成的过量照射或有毒气体之类险情的危害，以保持其采取必要行动的能力。
控制室内仪表的布置和信息显示的方式必须便于运行人员正确掌握核电厂现状和性能的全貌。
必须设置光示装置，并在相宜之处设置音响装置，以效果良好的方式指示偏离正常和可能危及安全的运行工况和过程。

6.3辅助控制点②
必须在一个独立于主控室的专用控制点（二者之间采取电气和实体分隔）配置足够的检测仪表和控制设备，借以在主控室丧失执行基本安全功能时，完成下述任务：使反应堆进入并保持于停堆状态，排出余热并监测核电厂的主要变量。

6.4应急控制中心
应设置一个与核电厂控制室相分离的应急控制中心，作为发生应急情况时集合应急工作人员的场所。应急控制中心内应提供电厂主要参数和核电厂内及其外围放射性状况的信息。应急控制中心应备有通往核电厂控制室及其他重要地点和厂外应急机构的通讯手段。应尽实际可能，采取适当措施，借以在相当长的时间内有效地保护应急控制中心内的人员，从而防止严重事故对他们的危害。
①见3.9条。
②见3.9条。
③进一步的指导见安全导则HAF0203。

第七章 保护系统
7.1保护系统的功能
保护系统必须具有下述功能：
（1）自动触发有关的系统动作，必要时包括自动触发停堆系统动作，以保证在发生预计运行事件时不超出规定的设计限值；
（2）检测到事故工况并触发为减轻其后果所需的系统动作；
（3） 抑制控制系统自身的不安全动作。

7.2保护系统的可靠性和可试验性
保护系统必须具有与所执行功能相适应的高度可靠性和定期可试验性，保护系统所具有的多重性和独立性必须足以保证：
（1）单一故障不致于导致保护功能的丧失；
（2）保护系统的运行可靠性未经其他方法证明确属可接受时，其任一部件或通道的停役不得导致所需最低限度多重度的丧失。
必须保证正常运行、预计运行事件和事故工况对多通道的影响不致于导致保护系统功能的丧失，或者必须根据其他基准证明该保护系统是可以接受的。必须在实际可行的范围内采用各种设计技术，如可试验性（必要时包括自检能力）、故障安全性能、功能的多样性、部件设计或工作原理的多