关于先进反应堆安全分析软件与方法的监管要求

全球核能安全动态

关于先进反应堆安全分析软件与方法的监管要求

在监管法规体系方面，各国对分析软件的要求均源于与安全论证相关的高层监管原则，大部分基于轻水堆经验。例如，加拿大适用《确定性安全分析》（REGDOC 2.4.1）和《反应堆设施设计：核电厂》（REGDOC 2.5.2）等法规，俄罗斯适用《原子能利用法》以及顶层监管文件NP-001-15和NP-082-07，英国适用ONR安全评估原则以及《计算机软件代码与计算方法的验证》指南，美国的要求分布于《联邦法规》10 CFR 50和52各相关条款中。

在监督监管方面，各国普遍未针对先进反应堆专门制定建模与仿真指南，而是认为现有指南具有足够通用性。关于软件审批，监管机构普遍期望许可方提供验证与确认（V&V）的充分证据，已批准软件可简化论证；审批需向监管机构提交报告，批准与特定使用场景或应用范围相关联，通常造成使用限制。该方法的优势在于效率，即软件可在许可申请前获批并可复用，但缺点是对已批准方法进行更新存在困难，运营单位可能因担心重新审查而不愿改进。在软件可获取性方面，法国和德国不要求运营单位和设计方向监管机构提供软件，而加拿大、俄罗斯、英国和美国在必要时可要求获取，这在美国是常规做法，英国和加拿大则不常见，通常使用替代软件进行独立的确认性分析。在软件缺陷管理方面，各方共识是通过质量保证大纲、验证与确认、敏感性分析及确认性分析相结合的方式进行管理，美国对可能影响安全的软件缺陷设有强制报告要求。

在软件评估方面，所有监管机构均对实验数据验证、数值方法验证和软件升级管理设有质量保证要求。除德国外，各国均对用于验证的实验数据本身设有质量保证要求。关于不确定性评估，各方共识是在数据充足时倾向于采用统计方法（如Wilks、2sigma方法），数据不足时可使用保守方法（最大偏差）。对于不确定性评估方法，普遍倾向于与实验数据和运行测量值比较；存在分歧的是软件之间比较的可接受性：加拿大和美国明确不接受，法国和俄罗斯在某些情况下使用专家判断，德国和英国按具体情况处理。在实验数据不确定性的处理方法上，加拿大和俄罗斯以平方范数加入，英国和美国取决于应用，法国无统一方法。对于非能动系统的不确定性，各方共识是概念上与能动系统无本质区别，但参数范围可能不同，英国和美国指出现象或尺度的差异可能导致不同处理。关于文档要求，普遍共识是没有针对先进反应堆的特定文档要求，但俄罗斯有验证报告要求，美国有轻水堆相关要求通常适用于其他软件。在知识差距识别方法上，各国分歧最大：加拿大、英国和美国采用专家判断，俄罗斯认为软件认证是主要证据，法国按具体情况处理。该问题是调查中唯一明确未形成共识的领域。

在用户资质方面，普遍期望软件用户具备资质，但德国无正式要求，加拿大要求人员合格，法国在质量保证大纲中设要求，俄罗斯侧重组织资质，英国和美国强调人员合格。关于用户选择对不确定性的影响，加拿大、法国和美国认为应通过验证与确认过程覆盖，并辅以敏感性分析；俄罗斯只接受最终结果，如有疑虑可启动确认性计算；英国则要求参考输入文件的开发和验证。

确认性分析是指审评人员对同一瞬态使用相同或不同工具进行的交叉计算，其价值在于增强监管机构对电厂设计、集成系统性能、安全裕度、敏感性及分析方法的理解，支持对许可方安全论证中未呈现的事故工况进行有效评估，以及支持安全论证的分析。监管决策基于申请人提交的分析与数据，而非确认性分析，通过确认性分析发现的问题应提请设计方注意并通过安全审查流程解决。确认性分析并非总是进行，而是按具体情况决定，影响因素包括：确认关键设计值、检查有限的安全裕度、评估重要安全议题、维持计算能力、采用分级方法聚焦关键问题、理解设计与分析方法、进行额外敏感性研究，以及评估首堆或新型设计。除确认性分析外，监管机构还可通过要求申请方提供补充信息和答案、与既往类似案例比较、使用工程判断检查一致性等方式来支持监管决策。

在独立性与工具选择方面，使用不同分析工具有时是法规要求或必要条件。两种方法各有优劣：使用相同分析工具的优势在于当申请方结果与确认性分析结果相近时，可验证工具使用是否正确，存在差异时有助于发现计算缺陷，且便于进行并行比较，但这要求审查方充分了解申请方使用的工具；使用不同工具时，相似结果可提供更高置信度，但结果不一致时识别差异来源可能较为困难。

在质量保证方面，各国的做法也有所不同。一些国家对申请方和审查方的分析工具均要求资格认定，另一些国家则只要求申请方工具资格认定（因其是安全论证的基础），对确认性分析工具无特定要求。

总体而言，确认性分析作为安全审评的重要补充手段已被各国普遍认可，但在工具独立性的具体要求以及确认性分析工具的质量保证范围方面，各国实践仍存在差异。

基于对六种第四代反应堆概念安全相关现象的讨论，从以下七个维度梳理了分析软件与方法的需求。

在反应堆物理方面，所有概念均需堆芯物理分析，以处理瞬态事件中可能出现的局部现象，但熔盐堆因燃料循环特性（缓发中子先驱核输运）与其他概念存在本质差异；燃料形式（棒束、TRISO颗粒、均匀燃料）对自屏蔽和慢化现象的建模精度需求不同；非标准燃料（含次锕系元素燃料、熔盐）对核数据提出专门需求；高富集燃料要求加强临界事件模拟能力。

在堆芯热工水力与热力学方面，所有概念依赖堆芯热工水力传递正常运行热量，并在停堆和假设事故工况下移出衰变热。热工水力、中子学与热力学耦合模拟分析可能成为必要（如快堆热膨胀导致中子泄漏，影响反应性和功率）。燃料组件堵塞或子通道流量分布需专项方法和软件；超高温气冷堆辐射传热的重要性需在软件确认中体现；热力学分析方法在各堆型之间相对标准化。

在燃料性能方面，固体燃料设计需处理燃料肿胀、裂变气体释放、蠕变、应力/应变、与冷却剂化学相互作用及热物理性质退化等现象；第四代反应堆预期高燃耗带来验证挑战；TRISO燃料性能对源项评估至关重要；熔盐堆需模拟裂变产物积累引起的盐化学变化；先进燃料（氮化物、碳化物）需开发专用模型。

在系统热工水力与热力学方面，第四代系统强调非能动排热能力的广泛应用，要求分析工具能够可信地进行非能动热排出过程的最佳估算模拟，池式设计涉及复杂流型（热分层、热条纹、气体夹带）可能需要计算流体力学级别建模能力，高温蠕变、高辐射脆化、腐蚀等现象引入特定建模需求。

在安全壳/包容分析方面，多数分析基于集总参数法（lumped-parameter），主要任务包括温度与气体分布模拟以及气溶胶和放射性核素行为模拟，钠冷快堆需考虑钠火（池火和喷雾火灾）专用模型、热气层形成、钠气溶胶毒性老化反应等，超高温气冷堆需考虑石墨粉尘形态因子、气溶胶再悬浮、通风过滤器模拟，熔盐堆需考虑裂变产物从冷却剂释放模拟、裂变产物沉积和凝结，严重事故下需模拟堆芯-混凝土相互作用。

在材料特性方面，各概念面临不同的材料挑战。钠冷快堆面临蠕变/疲劳相互作用和热老化；超高温气冷堆面临高温时效和石墨辐照引起的热物理性质和尺寸变化；熔盐堆面临腐蚀、裂变产物沉积和冷凝；铅冷快堆面临腐蚀、脆化和侵蚀，这些材料现象对安全限值的确定产生显著不确定性。

在耦合与多物理场模拟方面，最佳估算加不确定性方法（BEPU）要求高保真建模，多物理场耦合更接近物理现实，预测能力覆盖更大应用范围，但其成熟度因缺乏相关实验数据库和验证方法而受到质疑，当前主流方法基于各单物理场模块的显式耦合，验证可相对简化，但耦合效应本身的验证仍是挑战。

总体而言，第四代反应堆特有的安全相关现象对分析软件提出了新的能力要求，包括新燃料行为模拟、新型冷却剂热工水力学特性、特殊材料退化机制以及多物理场耦合效应等，这些都需要在软件验证、确认和不确定性评估方面持续开展工作。分析软件的开发和资格认定应成为第四代反应堆开发项目的关注重点。

各国在验证与确认的必要性、不确定性评估、质量保证等核心原则方面存在广泛共识。WGSAR据此确立了九项关于监管要求的共同立场和两项关于确认性分析的共同立场。

关于监管要求的共同立场：

1. 每个获批准使用的分析软件，都应明确批准的目的、范围、使用的限制条件等。

2. 用于核设施设计及安全分析的分析软件与方法应经过严格测试和验证，确保能可靠计算出安全裕度。

3. 分析软件与方法应在质量保证大纲下进行开发和维护。该质保大纲应包括将软件预测结果与实验数据进行比较，验证计算方法是否正确，以及版本更新。

4. 分析软件与方法中的缺陷和错误应通过质保大纲、验证与确认，以及必要时进行敏感性分析或确认性分析相结合的方式进行管理。将软件计算结果与实验数据进行比较，是软件验证和消除软件缺陷的关键手段。

5. 对于最初未在质保大纲下开发的传统软件，软件用户应证明其质量符合要求（即验证与确认）。

6. 当数据足够时，应使用统计方法确定软件计算不确定性，以高置信度水平确定计算误差，即可通过参数化方法（2 sigma）或非参数化方法（Wilks）确定。如果没有足够的数据来获得具有置信水平的统计值，则可采用保守方法（如最大偏差）。

7. 将软件应用于设计计算或安全分析时，必须把不确定性、未知或未建模现象，以及软件本身可能存在不足的情况等都考虑在内，适当取保守值。

8. 非能动系统的不确定性评估在概念上与能动系统相似，尽管参数范围可能差异很大。

9. 软件用户或其所属组织应具备资质。具体如何认定资质，各国做法不一。

关于确认性分析的共同立场：

1. 监管机构及其技术支持机构使用分析软件与方法提升安全审评能力：（1）加强监管机构对电厂设计、系统整体性能、安全裕度、敏感性及分析方法的理解；（2）便于对许可证持有方安全论证中未涵盖的事故场景进行有效评估；（3）为安全论证的分析提供支持。

2. 监管决策基于申请方提交的分析与数据，而非确认性分析。通过确认性分析发现的问题，应提请设计方（即电厂设计者或设施所有者）注意，并通过安全审评流程予以解决。