科学家的“神谕书”——概率安全评价
你是否好奇，上文刚刚提到的微小数字是怎样计算出来的？故事还要从核安全的历史讲起。
核安全是核能和平利用的前提与基础，如何保证核安全是业界及公众始终关切的问题。目前核电站的核安全设计与评价有确定论与概率论两种基本方法。
确定论分析方法（Deterministic approach）是指一套以纵深防御概念为基础，以确保基本安全功能为目标，针对一套确定的设计基准工况，采用一套保守的假设和分析方法，以满足特定的验收准则的方法。确定论分析方法假定事故已经发生，按要求采取合理的或保守的假设，分析计算整个核设施系统的响应，直至得出该事故的放射性后果。这种事故后果预审分析，其做法是规定典型的假想核事故，对其引起事态演变过程进行分析，来检验各项安全措施的有效性，重点是考虑设计基准事故。确定论事故分析过程包括以下四个方面：
●确定一组设计基准事故。
●选择特定事故故障假设。
●确认分析所用的模型和参量具有包络性。
●将最终结果与法定验收准则相对照，确认安全系统的设计是充分的。
由于设计基准事故的选择及分析模型中有很大的不确定性，为了确保分析结果的包络性，法规要求采用保守假定。因此，在确定论事故分析中采用两条基本假设，即单一故障假设和操纵员在事故后短期内不作任何干预的假设，并采用一套定量的验收准则来判定确定论事故分析结果是否符合安全法规的要求。确定论分析方法简单易于掌握，广泛应用于核设施设计、安全法规制定和安全评审的安全分析评价中。
这一方法的不足之处在于：将事故分为“可信”与“不可信”并不能完全反映真实情况。一方面，人们可能忽视一些事故下的故障或失效组合，因而可能忽视了一些更可能造成严重危害的事故；另一方面，单一“可信”事故后果不能反映核设施可能的事故危害，也无法与其他社会风险比较。有时反而会引起人们的错觉，影响公众对核设施的正确看待与接受度。
尽管在发展核电过程中，不存在所谓基于“主观”概率来断定核电安全的问题。不论是中国、美国还是欧洲其他一些国家，确定论安全要求都是必须要满足的，并且其通常作为颁发核设施许可证的基础。但需要了解的是，核安全领域的确定论安全要求并不像许多其他理论，譬如欧几里得的几何学，由几个公理，通过一套逻辑推理，就能得出一套自洽的体系。而确定论安全要求，正如它的创建者所说，是一个“打补丁”的工作。特别是，确定论安全要求不能将风险定量化，也就无法回答“多安全是足够的？”（how safe is safe enough？）这个基本安全命题。而这正是公众面对核电站、核能技术利用时常常冒出的问题。
以上种种促成了概率安全评价这一技术的诞生。
概率安全评价（Probabilistic Safety Assessment，PSA）方法又称“概率风险评价”（Probabilistic Risk Assessment，PRA），是20世纪70年代中期兴起的一种系统工程方法，是确定论分析法的发展。
虽然确定论安全要求充分保证了核电厂安全，但其本身也存在要求与现实的不平衡，特别是不能处理多重失效的缺陷。而PSA方法具有考察系统所有潜在事故、量化系统硬软件包括人员行为可靠性，便于优化改进设计，量化事故后果并给出便于与其他活动进行比较的风险，利于被公众接受等诸多优点。近年来，在核电站的安全分析中已获得广泛的应用。
核电站概率安全分析的目的之一就是从定量的角度评估核电站的安全性，找出核电站设计、建造或运行中存在的薄弱环节，从而提出确保核电站安全运行的改进建议。
早在20世纪50年代中期，人们就开始设想用概率论方法分析核电站的安全性，但早期的模型堆、实验堆规模很小，并不需要过多考虑与人口稠密区的位置关系。直到60年代中期，核能迎来的第一个飞速发展的时代，商业用途催生出新问题。为了降低成本，核电站不得不尽量靠近用户，彼时欧洲人口稠密，这种需求更迫切。大量新核电厂址究竟该摆在什么位置？这就需要制定用于厂址选择的定量安全标准。
在这样的历史背景下，英国原子能机构的安全专家法默（F.R.Farmer）于1967年提出了用概率的方法确定厂址的大小。他认为把事故分为“可信”与“不可信”是不合乎逻辑的，我们需要考虑整个事故谱系，包括那些后果更小、但发生概率更高的实践。在他的论文中，提出了用概率论这一定量化风险的概念所得出的一条各种事故所允许的发生概率的限制线，称为“法默曲线”。
法默曲线
法默曲线规定了各种事故的频率上限值，它也揭示了一个关于“人性”的秘密。比起发生概率很低而后果很大的事故，公众更容易接受发生概率较高而后果相对小的事故，哪怕两起事故中“概率”与“后果”的乘积相等。为此，后果严重的事故只有产生更低的整体社会风险，才能为人们所接受。
这看似违背科学的认知就像“思想钢印”一般，被人类数万年进化经验根植于精神之中。尽管早期的PSA思想初步揭示了公众在潜意识中惧怕核事故的规律所在。而PSA作为一种科学分析方式，它真正在核电的历史舞台上大放异彩还要等到1979年。
WASH-1400报告
刘易斯委员会报告
1979年1月18日，美国核管会（NEA）发布了一个政策声明：接受刘易斯委员会报告的结论；WASH-1400研究报告中关于反应堆事故总体风险的估计是不可靠的……
此时，距离三哩岛核事故仅仅不到2个月。(https://www.daowen.com)
美国概率和统计技术专家拉斯穆森，正是他牵头完成了核电领域第一份完整的概率风险分析报告
在此之前，我们有必要先将两份报告的“恩怨情仇”梳理清楚。针锋相对的它们，还要从反应堆风险计算说起。
起初，研究人员选择了“故障树”分析方法，希望通过模拟事故进程中安全功能的失效情况，来揭示可能导致安全功能失效的各种原因组合。但在当时的历史条件下，想要构建出整个核电厂的故障树进行分析，这项工程将是极为复杂。无奈之下，拉斯穆森（N.C.Rasmussen），这位概率和统计技术方面的专家当即拍板，决定换一棵“树”，利用“事件树”的原理来模拟事故发生的过程，通过“事件树”把紧随始发事件后可能导致堆芯损坏的任一可能过程，分解成一个个独立的故障单元，直至这些故障单元的概率能够估算为止，来展现各种事故序列的清晰“图像”。
两棵“大树”，两种思路，故障树与事件树
故障树分析又称“失效树分析”，是一种对复杂系统进行可靠性分析的有效方法。它采用的是演绎法，即从结果追溯到原因。很显然，底事件概率（通常指部件失效率）的数据是故障树分析的重要基础，一般通过实际运行或实验等手段予以积累和收集。
事件树源于决策分析领域，考察从始发事件至最终状态的事故序列，目的是系统地获得各种事故序列的清晰“图像”。它采用的是归纳法，即从原因分析到结果。
利用这一方法，研究人员总共调查了超过1000个的压水堆堆芯损坏事件序列，并计算得到了堆芯损坏频率的最佳估计值为5×10-5/堆年，其原因在于反应堆堆芯损坏的风险主要来源于小破口LOCA和瞬态，而不是人们原先认为的大破口LOCA，早期的风险计算低估甚至忽略了小破口LOCA的贡献。
但是，由于彼时的核电厂运行经验有限，很多部件的故障率数据缺乏。研究人员不得不参考了很多美国海军使用核反应堆时积累的可靠性数据，又或者是其他工业领域的数据。正是这一点，为后续结论埋下了隐患。
随后，在进一步对比核事故风险与其他自然和人类活动的风险后，研究团队的结论是核事故风险比其他工业活动风险小得多，反应堆相当安全。
1974年8月，研究团队正式发布《反应堆安全研究：美国核电厂事故风险的评价》报告，报告编号为“WASH-1400”。
很快这份“惊天动地”的报告就被舆论旋涡所淹没，反对者们抓住概率安全分析的模型与数据来源，认为核事故的发生频率是根据模型和输入数据分析得到的，不确定性很大，而非核事故如飞机失事的频率是统计得到的，是比较确切的，把这两者作比有失客观性。
1977年6月，在国会的介入下，美国核管会（NEA）邀请加州大学圣塔芭芭拉分校（University of California，Santa Barbara）的刘易斯（Harold Lewis）教授牵头成立了针对WASH-1400报告的同行评审委员会。经过一年多的调查，刘易斯和他的团队表示认同概率风险评价方法的有效性，但也指出WASH-1400报告存在重大不足，采用的每项风险数据均有很大的不确定性，不确定性因子普遍在10～100，有的甚至高达1000，不能确定报告中给出的事故序列概率偏高还是偏低。
面对这样两份针锋相对的报告及舆论批评，才出现了故事开头那段美国核管会（NEA）的政策声明。
令人唏嘘的是，短短2个月后，三哩岛核事故爆发，人们才如梦方醒。
科学与理性曾降下“神谕”，它正是被人类自身草草遗弃的WASH-1400报告。提前正确识别出三哩岛核事故那样的小破口LOCA风险，就是它无声的预言。
作为公认的第一份完整的概率风险分析报告，WASH-1400报告无疑是全世界范围内核安全研究历史中的重大里程碑，反映了人们对核电厂安全的认识达到一个全新的高度，并在后来的发展应用中展现了强大的生命力。正是依赖于概率风险评价技术，人们可以定量地评价风险，找出核电厂在设计、运行等各阶段存在的安全薄弱环节，解决了一批之前未能解决的涉及多重故障的难题，极大地提高了人们认识和控制风险的能力。
所以，尽管确定论安全要求仍然是颁发核设施许可证的必要条件，且PSA方法的数值结果也存在局限性和不确定性，但20世纪80年代后，PSA技术及其应用仍然获得迅速发展，成为美国、德国及法国等核工业大国核安全分析领域最热门研究课题之一，也是为下一代更先进、安全、经济的反应堆系统技术取得突破最有贡献的研究成果之一。与此同时，国际上也逐渐确定了“确定论安全要求为主，概率论安全要求为辅”的理念，即在满足确定论安全要求的同时，使用概率论安全分析方法识别并改进核电厂薄弱环节，进一步提高核电厂的安全水平。
目前，对于核电厂堆芯损坏或大规模放射性释放频度的评估并不是完全的主观概率，因为在评估过程中所使用的设备失效数据可以通过大量的工业经验获得或验证，同时在使用这些统计数据时，也会评估其不确定性，对具体设施同时可采用相关数学分析方法来修正。如果某些核电供货商或核电公司为了商业目的，可能会宣传某些极端条件结果，但任何一个国家的核安全当局在使用概率风险分析的结果时，都会评估分析不确定性及置信区间，科学合理地应用核电安全分析方法，有力论证核电安全。
因此，我们在理解核事故概率时应树立科学的核安全观，要认识到核能利用就像世界上任何事物一样，不可否认是有风险的，但“风险”并不等于“危险”。
核电安全意味着即使出现风险，我们也完全有能力来应对它、控制它，做到事故后果可控，不会使其对环境、社会及公众产生实质危害、实际影响，那么风险的存在是可承受的、可接受的，人类社会的发展进步也将受益于核能的发展利用。
现在我们可以回到标题的数字，10-7究竟代表着什么？
第三代核电发生事故的概率较第二代核电显著下降，意味着安全性得到显著提高。AP1000和EPR预测的堆芯损坏频率分别降至5.08×10-7/堆年和1.18×10-6/堆年，大量放射性物质释放频率降至5.94×10-8/堆年和9.6×10-8/堆年，事故概率在千万分之一量级，相较第二代核电降低了一至二个数量级。10-7，这个极小的数字背后是无数核电科研人员的努力，它更反映出认识风险的科学思维。
让人类社会形成共同认识十分困难，接受“概率安全”的理念依然任重道远。但核电领域的众多科学家与工程师一直在为了“概率安全”中的后两个字拼尽全力。
接受一种能源选择，就要理性地面对相应的安全风险。
