PRA 評估改善的效果

1. PRA評估改善的效果 林家德 100年6月20日 日本福島第一核能電廠事故研討會 原子能委員會

2. PRA簡介 • Probabilistic Risk Assessment (或稱QRA) • 約於1960年代萌芽，為結合可靠度、故障樹與事件樹分析等之方法論 • 1975年美國WASH-1400報告為該方法論首次完整具體展現 • 1988 IPE + IPEEE • 1995年美國NRC發表PRA policy statement • 風險告知應用(管制與運轉決策制訂) • PRA標準 • 火災PRA

3. 美國核能工業界風險告知應用經驗 From： Feb. 2009 NEI簡報(T. Pietrangelo to USNRC)

4. ＜ (5×10-4)×(0.1%) = 5×10-7 /yr ith類別核種的 人口權重 風險因數 i th 核種的 外釋頻率 美國NRC安全目標(Safety Goal) 定量健康標的(Quantitative Health Objective, QHO)(1986)： 『居住在核能電廠鄰近(1 mile)的一般民眾，其個人因為反應器事故所致的立即死亡風險，不應超過美國一般民眾因為其他意外所致立即死亡風險總和的0.1%。』 『早期大量輻射外釋頻率 』應小於 1×10-5 /yr (早期致死率替代QHO)

5. 國內EPZ的劃定 *NUREG-0396 (EPA 520/1-78-016), "Planning Basis for the Development of State and Local Government Radiological Emergency Response Plans in Support of Light-Water Nuclear Power Plants," USNRC, December 1978. H.N. Jow, J.L. Sprung, J.A. Rollstin, L.T. Ritchie, and D.I. Chanin, MELCOR Accident Consequence Code System (MACCS). NUREG/CR-4691, Sandia National Laboratories, Albuquerque, USA (1990). • 主要參考美國NUREG-0396 報告為評估之技術基礎(MACCS2程式) * • 準則一：設計基準事故在緊急應變計畫區外所造成之預期輻射劑量，不超過核子事故民眾防護行動規範之疏散干預基準。(完全遵循NUREG-0396) • 依據疏散干預基準，採用七天輻射累積劑量100毫西弗為準則 • 準則二：爐心熔損事故在緊急應變計畫區外所造成之預期輻射劑量，超過核子事故民眾防護行動規範疏散干預基準之年機率應小於十萬分之三。 • 嚴重事故的發生機率目標為小於每年110-4 • 依NUREG-0396說明，目前採用「大多數爐心熔毀事件」為70% • 得到 (170%)  110-4 = 310-5 • 依據疏散干預基準，採用七天輻射累積劑量100毫西弗為準則 From: 張柏菁簡報100.5.31：「緊急應變計畫區劃定」

6. 區域 I： • 不允許電廠更動 • 區域 II： • 風險小變化區 • 電廠須驗證其總風險小於1E-4/ry • 追蹤累積影響 • 區域 III： • 風險微小變化區 • 相對於基準CDF或LERF有較多彈性 • 追蹤累積影響 區域I 10-610-5 區域II 10-710-6 區域III △ LERF(/ry) △CDF(/ry) 10-5 10-6 10-4 10-5 基準CDF(/ry) 基準LERF(/ry) CDF：爐心熔損頻率(Core Damage Frequency) LERF：早期大量輻射外釋頻率(Large Early Release Frequency) 核能電廠執照基準變更(多安全才安全？) RG 1.174可接受準則

7. 核電廠安全作業績效缺失顯著性評估：PRiSE 提供原能會駐廠視察員快速評估電廠安全作業異常狀況的即時風險量化指標，即所謂SDP作業；2006年起台灣正式實施核安紅綠燈管制制度，即採用PRiSE做為衡量電廠安全性的工具。

8. PRA：以情節為基礎的風險定量架構 What can go wrong? What are the consequences? 分析設施本身有哪些可能造成風險的源頭，例如設施本身內部的事件，包括硬體或人為誤失，也可包括設施外來的事件，例如地震、颱風等…；並透過統計或專家判斷，以頻率方式表示其發生可能性。 以歸納邏輯方式釐清系統在遭遇意外事件之後，可能衍生的各種事故情節(亦即一連串的事件組合)，這也是風險的構成單位。 肇始事件分析 事件樹分析 以現有的先進分析技術，量化或定性評估每個事故情節可能造成的損失，包括經濟損失、資產損失與/或人員傷亡數。 後果分析 以演繹邏輯的方式，分析系統的保護設備/動作無法成功執行的各種原因，並藉此將複雜的事故情節轉換為比較容易處裡的個別設備失效與/或人為誤失的組合。 How likely is it? 故障樹分析 以統計、數據分析、人為可靠度分析技術，估算設備失效或人為誤失發生的可能性，並以機率表示，除了作為論證基礎之佐證外，也提供故障樹及風險得以定量的方式。 人為可靠度分析 數據分析

9. 深度防禦與真實

10. 深度防禦 超限事件

11. 反應器未隔離暫態 汽機跳脫 反應器隔離暫態 多重人為誤失 反應器急停且喪失正常熱移除 隨機喪失外電 喪失匯流排 火災 颱風喪失外電 地震喪失外電 小破口LOCA 電廠全黑 Log(頻率) 中破口LOCA 大破口LOCA 嚴重ATWS 長期電廠全黑 長期喪失熱沈 超級地震+海嘯 …Unknown unknowns …Black swans Heavy Tail region log(事件大小) 肇始事件光譜

12. 福島事故主因 • 地震(～0.5g PGA) + 海嘯(超過設計基準, 10~14公尺) • 廠內、外AC電源全部喪失 ＋ 海水最終熱沉喪失 • 運轉員在極高壓力且幾近「眼盲」(loss of almost all I&Cs) 的情況下搶救爐心 • 二次圍阻體內氫爆 • 可能造成圍阻體廠房內設備、電纜損壞 • 造成廠區輻射劑量過高 • 讓事故後的救援行動更加困難 • 外電回復時間冗長(已遠超過單純的SBO) • 電氣設備全泡水，電即使來了也沒用

13. 廠外事件記錄 IAEA資料庫整理(2002) ： • 河水氾濫 • 14/11/80 Garigliano義大利 — 水床水位增加造成內漏，地下水受到廢樹脂儲存槽的污染 • 3/12/82 Dresden美國— 河水氾濫高於歷史記錄60公分，氣象站、電話與電廠設施損壞 • 31/3/94 Cooper美國 — 萬年洪峰通過，地下水內滲，電力受損，電纜渠道淹水蔓延、污染；規劃緊急撤退路線受阻 • 海水倒灌(退潮) • 13/12/80 Hinkley英國 — 漲潮與暴風雨 — 海水泵室損壞，喪失廠用水 • 22/1/84 Borssele荷蘭 — 退潮(歷史性)與強風，加上廠用水渠道缺水(魚群) — 喪失廠用水 • 12/1999 Blayais法國 — 廠址淹水，緊急系統受損 • 自1985以來，美國電廠有 17 次廠外水災防護不良事例(source: NRC generic reports in IRS) • 降雨過量造成淹水 • 11/7/2000 Chernobyl 3 RF烏克蘭 — 廠址洩水不良造成柴油機廠房淹水，喪失三個緊急電源系統，反應器停機

14. IAEA資料庫整理(2002)(續1) • 地下水滲漏 (地下水床高度疑似升高) • 17/10/80 Indian Point美國 — 滲漏 — 電力與泵損壞 • ‘87+11/12/89 Clinton美國 — 無密封開口滲漏 • 與水有關的事件 • 12/1/87 St. Laurent法國 — 進水口結冰，外電因暴風雨喪失 — 喪失廠用水 • 1980–1990 美國六座電廠、韓國兩座 、印度一座、荷蘭一座，均曾因生物滋長(貽貝、魚、蚌、蝦、水母等)而致喪失廠用水，通常伴隨海水高度上升 • 1985 美國 — 開關場受到鹽霧污染 • 結合效應 • 喪失外電(33次因為廠外水災) • 電網喪失 • 撤退路徑受阻 • 最終熱沉(UHS)喪失 • 外來飛射物 • 1982 法國 — 武裝攻擊，混凝土牆穿孔 • 1999 英國— 飛機墜毀於在廠界外800公尺處

15. IAEA資料庫整理(2002)(續2) • 廠內飛射物 • 30 次事件 ： 汽機過速、汽機封盤破裂、蒸汽產生器管塞破損、燃料組件掉落傳送箱掉落 • 廠外爆炸火災 • 1988美國：5公里外化學工廠爆炸，產生有毒煙霧，但未影響核電廠 • 廠內爆炸火災 • 32 次事件：變壓器爆炸、氫氣儲槽或外漏爆炸 • 廠內火災 • 134 次事件：變壓器、廢料著火、柴油引擎廠房燃料、維護作業、汽機與發電機、化學實驗室 • 有毒氣體外洩 • 6 次事件：均來自廠內 • 電磁干擾(廠內與廠外) • 6 次廠內發生：高壓開關干擾 • 2 次廠外發生：在通訊中心周邊，但無法確定來源 • 進水口損壞 • 3 次事件：冰塊與殘駭造成

16. IAEA廠外事件效應調查(2002)

17. 事例 1：美國Cooper電廠 • BWR，位於內布拉斯加州 • 1993年7月，堤防崩壞，河水氾濫，造成區域緊急撤退路線受阻 • 反應器與汽機廠房的地下房間淹水嚴重 • 地板洩水系統失效，部分污染區的水流至乾淨區 • 電廠人員並未成功採取措施將重要設備附近的水抽離 • 反應器廠房內淹水並噴濺到電纜，造成RCIC電路短路 • 事件顯示即使淹水還沒到地面之上，河水漏進廠房仍會造成淹水問題與設備劣化

18. 事例 2：Calvert Cliffs電廠 • PWR，位於馬里蘭州 • 2002年4月，龍捲風於距電廠一哩處通過，最大風速至少158哩到260哩/小時 • 強烈龍捲風可能產生高速飛射物，足以使預力混凝土結構損壞 • 造成外電喪失、廠內緊急後備電源喪失、冷卻水泵與補水系統受損

19. 事例 3：Davis-Besse電廠 • 1998年6月，等級F2的大龍捲風直接襲擊電廠，最大風速在113到156 mph之間，當時電廠處於99%功率運轉 • 電廠當時並未接到通知有暴風雨接近，廠內人員亦未獲告知 • 閃電與強風造成外電喪失，反應器自動急停，周圍有11座電塔傾倒 • 通訊中斷，ECCS密集運轉達41小時 • 電廠的主要電話系統中斷，包括與NRC之間的熱線，延遲向緊急管理當局通報 • 柴油發電機運轉，供電至主要安全系統，但前24小時故障多次，所幸外電及時回復 • 燃料池相關冷卻並未設計緊急後備電源，水溫由110℉升到140 ℉

20. 事例 4：Turkey Point電廠 • 1992年8月，安德魯強烈颶風襲擊邁阿密南邊30哩，風速持續達145mph，最大陣風175mph • 雙機組電廠，反應器喪失所有外電達5天之久 • 緊急柴油機運轉達6天，並需緊急向區域醫院調動備用柴油 • 廠外通訊中斷達4小時，通往電廠的道路亦受阻 • 輻射監測設備受損，嚴重影響緊急運轉，以及事故下通告周圍居民即時撤離的能力 • 電廠消防水槽遭飛射物擊中破裂，旁邊的CST亦有破洞，消防水泵損壞，緊急停機相關電纜防火包覆脫落 • 鄰近的火力電廠油槽破裂，大量燃油外流

21. 美國廠區全黑(SBO)法規 • 重點在於coping，亦即恢復廠內或廠外AC電源所需的時間，各廠須計算自己可應付的SBO期長 • SBO期長主要依據下列因素： • 廠內緊急AC電源的多重性 • 廠內緊急AC電源的可靠度 • 預期喪失外電發生頻率 • 復原外電所需的可能時間 • 當廠內電源或廠外電源其中之一復原，即為SBO事件的結束點

22. SBO因應作法 • 獨立的AC電 • 美國尚有44電廠僅依靠電池 • 需進行coping 分析，但最長的SBO期長只給4小時 • 若計算出coping時間超過4小時，就必須設法降低或找尋替代AC電源 • 替代的AC電 • 美國有60部機組屬於此類 • 來自鄰近機組的緊急柴油機提供多餘電力 • 氣渦輪發電機、柴油發電機與水力電廠 • 消防用柴油發電機

23. SBO救援的限制(以核一廠為例) • 圍阻體排氣需有AC電，以開啟馬達驅動閥(MOV)，雖可能手動開啟，但可能無法形成足夠的熱移除能力 • RCIC或HPCI雖為蒸汽驅動系統，但其成功運作仍需要自身汽機、泵、控制電源、水源及其冷卻、圍阻體排氣背壓限制、泵室冷卻等條件 • (核一廠)柴油發電機正常靠日用槽應可撐3小時～5小時，廠房外還有油槽，可供7天燃油(全為Class 1設計) • 1、2號柴油機仍須冷卻水 • 5號柴油機為氣冷式，但位於圍阻體廠房外

24. 核一廠地震前端事件樹

25. 事故救援相依表(以安全相關系統為主)

26. SBO加地震下之事故救援相依表

27. 國內SBO廠內事件風險概估

28. 我國11項福島因應議題 • 廠區電源全部喪失(全黑)事件 • 廠房/廠區水災事件及防海嘯能力 • 用過燃料池完整性及冷卻能力 • 熱移除及最終熱沉能力 • 事故處理程序與訓練 • 機組斷然處置程序之建立 • 一/二號機組相互支援 • 複合式災難事件 • 超過設計基準事故 • 設施/設備完備性及備品儲備 • 精進人力/組織運作及強化核能安全文化

29. 我國11項對應改善措施 • 廠區電源全部喪失(全黑)事件 • 清查現有維護程序書適切性 • 設備備品庫存量與可用性 • 詳細現場再巡檢 • 規劃補充油源以提高各發電機可靠度及延長運轉時間 • 完成第5台氣冷式柴油發電機提供兩部機電源能力 • 氣渦輪發電機支援 • 廠内設備電源規劃 • 購置480V可移動式柴油發電機 • 購置可移動式空壓機 • 外接式加壓至直流蓄電池充電機線路，在柴油油源用罄前可連續供應直流系統使用。 • 廠房/廠區水災事件及防海嘯能力 • 安全系統及柴油機廠房改善成不透水緊密門 • 增購沈水泵 • 檢討防範廠區土石流之發生潛勢 • 電廠廠房高程設計

30. 我國11項對應改善措施(續1) • 用過燃料池完整性及冷卻能力 • 各廠檢討各式吊車可能墜落於用過燃料池之改善措施 • 規劃用過燃料池冷卻異常時之緊急補水程序 • 擬定緊急應變準則及事故緩和措施 • 對大修採用全爐心燃料移除的電廠，採行政管制措施增大用過燃料池冷卻水量 • 熱移除及最終熱沉能力 • 確認各廠緊急海水泵與取水攔污設備均安裝在防震結構體內 • 規劃多樣補水流徑、水源、取水途徑與資源 • 確認移動式柴油發電機與空壓機數量，以提供必要的電力與氣源 • 完成廠區全黑及熱沉喪失緊急運轉應變流程 • 緊急海水冷卻系統復原規劃及規劃生水池傳送管路耐震改善工程 • ECW 馬達抗海嘯能力提昇

31. 我國11項對應改善措施(續2) • 事故處理程序與訓練 • 超出設計基準事件之人員訓練及緊急應變計畫演練 • 支援訓練及應急器具裝設作業規劃、中央災害應變中心之連絡、協調與配合 • 機組斷然處置程序之建立 • 訂定「機組斷然處置程序指引」，包括反應爐壓力、水位控制及圍阻體完整性控制，以及反應爐及用過燃料池緊急注入海水程序 • 建立事故後長期冷卻能力設備規劃與現場查證 • 一/二號機組相互支援 • 水源、電源、氣源 • 因應措施及人力動員 • 雙機組事故下主控制室之運作機制

32. 我國11項對應改善措施(續3) • 複合式災難事件 • 檢討並提出超出設計基準(火災、水災、耐震、海嘯)之因應措施 • 電廠獨自應付能力之強化 • 超過設計基準事故 • 清查減緩嚴重事故的設備及支援緊急狀況之設備功能，並確認渠等可發揮功能 • 強化後備水源之汲水功能、注硼功能(因應注硼系統失效或須再次注硼) • 探討在雙機組事故時，技術支援中心運作機制與設備改善 • 設備/設施完備性及備品儲備 • 臨時性設備及臨時性救援設備整備 • 天然硼酸、硼砂之儲備量，及輻射屏蔽、拋棄式防護衣數量 • 整合增購救援設備及各廠既有之資源 • 精進人力/組織運作及強化核能安全文化 • 包括檢視強化核安文化所需之組織、人力運用及改善做法

33. 應用案例 • 加裝氣渦輪機發電機(Gas turbine)之風險效益 • 喪失外電因應能力改善案之風險效益

34. 加裝氣渦輪發電機

35. 氣渦輪發電機模擬 • 額外建立該系統的故障樹 • 系統的耐震度 • 假設按照現有電廠類似設備耐震均值 0.61g and βU=0.18, βR=0.08

36. 個廠PRA模型 • 範圍 • 基準結果 • 地震事件風險佔比為 67% (CDF)，98% (LERF) • 核一、二廠地震風險亦顯著 • 廠外電源一般為地震下最脆弱的系統，主要來自絕緣礙子的失效 • 若廠外電源在地震之下仍可以存活，則反應器跳機的條件機率可以忽略

37. 研究案例 • 基準案例代表電廠現況的風險(不設置氣渦輪機) • 案例1 為設置一般之氣渦輪機後的風險 • Case 2 為氣渦輪機昇級到可承受原來地表加速度的1.2倍 • 若電廠位於地震活躍區，則將氣渦輪機昇級應是務實的作法

38. 結果

39. 結果討論 • 基準案例與案例 1 • 若氣渦輪機移除，CDF將增加 9.5%，LERF增加2.3% • 風險增加主要均來自地震事件 • 變化不大 • 案例 1與案例 2 • 改善後多20%耐震度 • CDF減少5.6E-7/年 (-9.2%) • LERF減少 5.5E-8/年 (-7.5%) • 若單純從成本考量，此風險變化量並不特別顯著

40. 核二廠因應喪失外電改善措施選項 • 選項 • 125伏DC電源負載容量的增強 • 如核一廠，提昇至24小時容量 • 如核三廠，改善直流電源系統(充電器) • 回復主飼水系統(硬體修改) • 加裝RHR A、B泵室現場(獨立)空調系統(硬體修改) • 加強消防水系統淹灌的訓練(人因) • 按照原方式提高訓練 • 改善程序書與訓練 • 評估不同改善措施的組合方案之效益 • 改善評估方案係由支配性失效組合及重要度分析結果選擇

41. 排序 基本事件名稱 基本事件說明 點估計值 F-V 重要度 RAW重要度 1 AAB-VW 圍阻體失效後中斷爐心補水 3.999E-001 3.822E-001 1.57 (SE) * 2 AAB-XDC 9.999E-002 3.430E-001 4.09 匯流排喪失後於 小時內未能修復 DC 24 (#1) 3 AAA-T3 6.575E-002 2.161E-001 4.07 喪失外電肇始事件 (IE) 4 AAA-TDC 喪失 匯流排 肇始事件 4.999E-003 2.031E-001 41.43 125VDC 1RDC (IE) 5 AAA-TDD 4.999E-003 2.011E-001 41.02 喪失 匯流排 肇始事件 125VDC 1GDD (IE) 6 HR-ADS-INI-E03 4.357E-003 1.852E-001 43.33 運轉員手動 洩壓失敗 RPV (HR, small) * 7 HR-FIRE-WTR-E03 運轉員未能及時建立消防水注水 7.596E-001 1.497E-001 1.05 (&4) 8 HR-NCHW-RECOV 1.194E-001 1.333E-001 1.98 運轉員手動起動 失敗 NChW (HR, small for T3) 9 PTANE51-1P46 3.846E-002 1.118E-001 3.80 蒸汽驅動泵起動失敗 RCIC (Huge DCR) 10 AAA-T1B 關閉肇始事件 9.316E-001 1.080E-001 1.01 MSIV (IE) * 11 CHAZGJ-1VC-13A/B 2.231E-003 9.982E-002 45.65 寒水器起動共因性失敗 EChW (@3) 12 OSP-RECOV/30M 2.500E-001 9.342E-002 1.28 喪失外電後未於 分鐘內修復 30 (SE) 13 HR-GT-RCIC-INO 喪失外電 未注水下運轉員未起動汽渦輪機 3.614E-001 9.270E-002 1.16 RCIC (HR, small for T3) 14 AAA-T5 5.130E-002 7.950E-002 2.47 飼水全面喪失肇始事件 (IE) * 15 BYWZ125-12BAT 1.194E-005 7.815E-002 6544.74 及 電池組共因性失效 DIV I II (#1) 16 AAA-V 高低壓介面 事故 2.104E-006 7.537E-002 35818.80 LOCA (IE) * 17 CHABGJ-1VC-13B 2.248E-002 7.146E-002 4.11 系統 台起動失敗 EChW B (@3) 18 SDTFFAILLOOP 7.724E-003 6.755E-002 9.68 喪失外電下 及 開關場故障 345KV 69KV (SE) * 19 CHAAGJ-1VC-13A 系統 台起動失敗 2.248E-002 6.588E-002 3.86 EChW A (@3) 20 AAA-S1 2.930E-004 3.733E-002 128.37 中破口 肇始事件 LOCA (IE) 註：排序標有＊符號之基本事件已考慮在改善方案中 核二廠喪失外電因應改善效益評估

42. 外電因應改善措施評估

43. 小結 • 按照目前現場情況，PRA將氣渦輪機視為外電，需經過開關場送電；建議強化其耐震能力，方具風險(爐心熔損)效益 • 直流電改善評估顯示，PRA可綜合評估各項選項的成本與風險效益(雖然最後不一定完全按照PRA的結果)

44. 風險知覺議題 • A. Giddens (UK)： • 現實生活就是不斷從某類型的風險環境，轉換到另外一個 • 此需要專家的協助，詮釋人們周遭大量之數字資料，轉換為簡單的方式，讓一般人可以瞭解(風險) …，需要有人解釋量化的數據，特別是關於風險評估… • 由數字來看，只有在每個月都發生類似911攻擊時，搭飛機的風險才會與開車的風險相當 • D. Ropeik (USA, 2011) • …根據Michigan大學的研究，911攻擊後三個月內，因此事件改換交通工具的結果，額外造成1,018例公路車禍死亡人數… • 人的恐懼會左右人的行為，且往往改採風險比較大的行為 • 風險評估同儕的難處 • 少人關心如何正確認知風險，尤其在重大事故之後 • 只能提出較符合事實之風險，但仍得由民眾自行抉擇或決定

45. PRA改進方向 • PRA的精進 • 基於全球核電過往運轉記錄與績效良好，普遍來說，PRA較著重在一階分析(順風球) • 二、三階PRA之研究與發展應再強化，例如完整模型更新、氫氣行為與效應、跨機組議題… • PRA的肇始事件範圍 • PRA在極端廠外災害方面的處理不夠，亦需跨領域結合 • 地震、海嘯、基礎設施連動… • 長期喪失外電 • 長期喪失熱沉 • 惡劣環境影響 • IAEA福島報告檢討：風險管理作為應能有效運用PRA，並加強對於不確定度的評估

46. 謝 謝 指 導