台灣風險分析學會
Taiwan Society for Risk Analysis
2021年第1期
核電的風險管理與黑天鵝效應
核能研究所所務發展諮議委員會執行秘書 高梓木
Release: Feb 22, 2021
前言
發生在2011年的日本福島311核電事故即將屆滿10周年，最近再因福島核能電廠含氚廢水排放議題，引起世人關注。在現實生活中，人類的工藝在成、住、壞、空的物質世界裡，我們無法建造一個永不毀壞且百分之百安全的系統或設施，能做的是如何瞭解風險並進行全面而有效的事前管理。回顧我國核電發展自1980年代初期引進量化風險評估(Probabilistic Risk Assessment, 簡稱PRA)技術，迄今已將屆40載。藉由風險評估與管理的作法，今日我們即使面對福島事故類型之黑天鵝效應也無須懼怕，核電的風險管理正是這種精神的具體展現。
風險評估和風險管理
美國航太總署(NASA)的太空探索任務需以通過可靠性驗證和風險管理來遏制人為或機件設計的錯誤。一般來說，每一個任務都可區分為三種範疇的可能風險：(1)已知的已知(known known)、(2)已知的未知(known unknown)、和(3)未知的未知 (unknown unknown)。
歐洲人在發現澳洲後才知道天鵝可以是黑色的；現在所謂的黑天鵝是指不可預知或看似很不可能發生的事件，但它們往往帶來令人驚奇或「未知的未知」的極端後果。而「核電黑天鵝事故」係指預期極不可能發生(機率極低) 的事故，而一旦發生其後果及衝擊均極大；例如，同廠址內多個核電機組爐心接續熔損事故(日本福島核能電廠事故即屬之)等。黑天鵝效應在打破原有的風險觀念之後，要如何建立新的風險管理架構呢？是以，要先確認該情境是否有可能出現黑天鵝效應，倘若是在屬於原先受控制的情境就不需調整原有的風險觀念；否則需評估此種情境是否可能發生的黑天鵝效應，盡量以風險管理減少暴露在黑天鵝效應的情境中，即採用風險管理於核電黑天鵝效應的觀念。因此，風險決策並不只是被動的處理與應變，也不只是災害事後的救助。如果我們平時能想多一點，能夠分析風險可能的成因，掌握風險擴散的動向，就能找到事先預防的方法，或是順勢而為的契機；甚至可能藉著行動轉化風險，化危機為轉機。
前美國麻省理工學院(MIT)的Norman Rasmussen教授於1975年以量化風險評估(Probabilistic Risk Assessment, 簡稱PRA)方法發表反應器安全研究報告(Reactor Safety Study, WASH-1400)，並於1979年的美國三浬島事故獲得驗證，引起人們對PRA方法的重視。歷經四十年的發展，PRA方法已經從消極量化核電廠風險，逐漸演變成找尋電廠設計及運轉程序弱點的工具；現在更被積極運用於電廠例行的運轉與大修維護上的風險管控，提供作為管理階層決策的參考。簡單來說，PRA是一種透過詢問、分析並解決下列三大問題的科學： (一) 那裡會出錯(What can go wrong)？ (二) 出錯的可能性有多高(How likely is it)？ (三) 出錯會造成什麼樣的後果(What are the consequences)？
PRA分析的架構介紹
PRA分析的架構主要由七大項目所構成：包括事件樹分析(Event Tree Analysis, ETA)、專業工程分析、故障樹分析(Fault Tree Analysis, FTA)、數據分析、人因分析、定量分析、不準度分析等 (如圖1)。核能電廠風險評估分析所使用的方法是以事件樹分析與故障樹分析相結合，以邏輯推理組合成事故情節，並分析某一個系統不樂見的失效狀態與發生機率，考量系統內之各組件之硬體故障、人為失誤及共因失效(common-cause failure)，所有評估均以可公評的數據為基石。一般來說，PRA中所使用的數據均是由得自工業界的一般性數據(generic data)，加上各電廠本身的個廠數據(plant specific data)，利用貝氏定理(Bayes' theorem)組合而來，個廠數據的詳盡與否決定風險評估模式反應實際狀況的程度。
圖1. PRA分析架構
就核能電廠應用分析的層面而言，PRA又可區分為數個層級。一階(Level-1)分析的目的在確認造成爐心熔損的事故序列，及估算其發生的機率。二階(Level-2)分析則評估圍阻體完整性及可能的輻射外釋頻率，即將爐心熔損事故所能導致的外釋，依其相關特性分為數個(或數十個)外釋類別(release category) ；再針對每個外釋類別量化其輻射源項(Source Term, 即外釋發生的時機、核種與量的大小)，並自系統分析與圍阻體失效分析的結果，得到各外釋類別發生的機會。三階(Level-3)分析即為災害後果(consequence)的分析，進一步將二階分析所得到的輻射源項，透過輻射物質傳播與擴散相關的計算，估計廠外民眾在事故中所接受的劑量，再轉換成民眾受到傷害的程度，連同前述外釋類別的發生機率即得到電廠對民眾可能造成的風險。
由於PRA納入設備及人因失效模式，並儘可能真實且客觀地反映電廠實際運作的模型，故它能夠輕易地量化出來每個設備對總風險的重要度。有些核電廠PRA標準模式可能會得到「50至500個主要元件決定了大部份爐心熔損頻率」的結論。這結論給我們非常重要的兩點啟示：(1)重要度較高的關鍵組件應受到電廠相對應更聚焦的關注，(2)應將電廠資源依比例地投入風險相對較大的設備作改善以降低機組營運的風險。
美國核能PRA的發展
PRA技術真正全面的推廣，在前述WASH-1400出版之後整整二十個年頭。在1995年8月，美國核能管制委員會(Nuclear Regulatory Committee, NRC)及核能工業界認知到PRA已可作為管制或營運決策的工具，NRC進而發佈推廣PRA應用的政策說明；希望能借助其分析技術，協助核安的決策並增進管制的效率，即所謂的「風險告知決策」(Risk-Informed Decision Making)。在NRC的大力推廣之下，採用PRA為工具以落實風險告知的管制或營運的觀念已蔚為風潮，以謀求在安全與在有限資源(如經濟因素或人力考量上)的考量下能取得一個平衡點。
自2000年4月起，NRC展開新的「反應器監管程序」(Reactor Oversight Process, ROP)，使監管過程更加客觀、可預知、具一致性與風險告知化，減少不必要的管制負擔。同時整合視察、評估與執法過程，使用客觀的績效指標(Performance Indicator)，使視察作業聚焦於安全領域；對於有績效問題的電廠投入較多的管制，而對表現良好的電廠則維持基本程度的管制。透過可預知及一致的態度回應管制者對經營者違規的裁定，並反映違規層級的核安顯著性。
我國核能PRA的發展
PRA技術被引進國內始於1980年代初期，由當時旅居美國的華裔核能專家湯琅孫與陳明真兩位博士先後向國內核能界夏德鈺博士鄭重推荐，而於1983年起開始執行的。目前我國核能PRA的研發分為四大方向：(1) PRA模式的更新與精進，(2)核能電廠風險監視系統的發展以供作風險管理工具，(3) PRA在「風險告知管制與營運」上的推廣與應用，(4)日本福島事故後核電廠PRA模式的檢討與再精進。
我國核能界引入PRA技術已累積近40年的經驗，技術發展亦漸趨成熟並已培植相當的專業能力。我國PRA技術發展可由圖2作一扼要說明；即概分為三個時期：包括(1)1982年至1993年的模式建立期，(2)1994年至1997年的技術精進期，(3)1997年至目前的推廣應用期。
圖2. 我國PRA技術的發展
我國引進PRA 技術依序建立核二廠、核三廠與核一廠的整廠PRA模式。完成各核電廠評估後的主要建議之一為：各核能電廠宜增設一台額外的柴油發電機（稱為第5台柴油發電機），以加強電廠處理喪失外電的能力並降低風險。因PRA技術除可發掘設計基準內之系統潛在弱點，提出風險管理上改善的建議，更可補足既有設計基準的限制，強化對「超出」設計基準事件的深度防禦。例如2001年3月18日，核三廠的廠外輸電迴路因當地鹽霧害而喪失外電，同時又遭遇一號機組兩台專屬的柴油發電機均故障，雖然仍有直流電池可短暫供電，但主要仰賴因PRA建議設置的第5台柴油發電機提供設計基準之外的防禦，讓電廠可從容化解事件繼續惡化的趨勢，並得以免除後續因核電的重挫進而演變為電力供應短缺，乃至造成台灣經濟上難以回復重大損失等不可承受的核電黑天鵝效應。此一例證正足以說明PRA技術可發掘系統潛在弱點，提出風險管理上改善建議及量化改善效益，成功化解此一核能事故，並將有限資源花在刀口上的長處。
善用核電風險管理工具
所謂風險管理(Risk Management)，即是針對風險評估出來之結果與改善建議，透過系統化、決策與執行過程之落實與追蹤考核等程序，以達到保護員工、公眾、環境及避免公司商業損失的目的。基本上，風險管理是在強調危害管控技術和管理知識整合，全世界工業先進國開始對工業安全衛生與環境生態保護投以高度的重視後，風險管理蔚為世界性的潮流。PRA方法既可整合各方面科技，透過量測其風險度，選擇可接受的風險度供作決策依據，可看出PRA與風險管理之間密不可分。我國核電廠早已於2000年就開始在日常維護作業採行風險管理作法，目前三座核電廠的功率運轉爐心熔損頻率及風險趨勢的監視系統即為一例(如圖3)。該系統所內建的風險計算引擎採用核能研究所（以下簡稱核研所）李世珍博士與PRA團隊自力開發完成防災利器－超大型故障樹分析軟體。
圖3. 功率運轉爐心熔損頻率及風險趨勢圖
我國原子能委員會（以下簡稱原能會）為呼應前述美國ROP之施行，也利用核研所於2004年所建立另一套稱為「顯著性確立程序(SDP)」之風險告知視察工具，提供管制單位核電廠視察人員使用，以評估核電廠的安全績效。原能會為致力於資訊公開透明化，於2006 年元月起實施核安紅綠燈管制，進一步採用風險告知與績效基準的作法，結合核電廠具體的運轉安全指標數值及駐廠視察員的視察評估結果，以量化、可測量與比較的方式衡量各核電廠的運轉安全表現，並以簡單的燈號顏色顯示；現已按季公布於原能會官方網站(如圖4)，提供民眾公開透明的施政資訊。此一現代化風險管理施政作為即是採用該風險顯著性確立及可靠度工具來達成，可快速計算核能管制駐廠視察員所發現之電廠績效缺失在風險上的重要程度，大幅縮短評估時間，爭取管制與矯正的時效，讓決策者在做成最佳決定時，能夠知道所承擔的風險，並對其合理性具有信心。
圖4. 原能會的核安紅綠燈管制展示圖與SDP風險告知視察工具
核電風險管理的新思維
福島事故屬於所謂的核能嚴重事故，已超出電廠「設計基準事故」的範疇，但絕非是超出想像的事故。於2012年3月間出版的「為何應可預防福島事故的發生」卡內基報告，即指出三大肇因：包括(1)日本福島核電廠早應注意卻一直未納入一千年發生一次的巨大海嘯使福島核電鄰近區域淹大水的証據；(2) 不適當的海嘯威脅的電腦評估模式；(3)日本核安管制當局不肯面對並重估海嘯的風險，多少反映日本文化普遍的偏差，致使不願誠實面對可能最惡劣的海嘯情景與後果。
我國在核電廠安全措施規劃、核電廠風險計算與電廠人員訓練等時機與場合，這類型的事故都曾被討論過。一般大眾或許認為核電廠未如電力公司過去所宣稱般的安全可靠，但綜觀此次嚴重天災所造成的影響，日本受災區所有設施（包括化工廠與煉油廠）無一倖免，國際原子能總署(IAEA)於2015年8月間發行的福島事故署長報告中指出，福島核一廠是在2011年311事故前即將運轉屆滿40年的核電廠，即使熔損了三部機組，事故後並未因過量輻射劑量造成任何工作人員或民眾的死亡；所以從另一角度來看，不也反證核電廠設計的耐受性。
在真實的世界並無絕對且百分之百安全的系統或設施，能做到的是如何去瞭解風險並合理的降低風險。所以談安全，應指對風險進行全面而有效的事前管理，按照風險比例高低投入相對應比重的資源，進行改善，以降低風險；即就有限的資源(人力與經費)花在刀口上。工業界倘能依PRA結果，進行積極的風險決策管理，藉由了解風險可能的來源，找到事先預防的方法，即可化危機為轉機。福島事故後台電公司重新擬定面對核電黑天鵝效應採取所謂的「斷然處置措施」的風險管理新思維，由核能電廠廠長決定須優先確保反應爐結構與爐心核燃料的完整性時，於核電機組有爐心熔解之虞的第一個小時內放棄該機組、永不營運的斷然措施，以杜絕任何類似，乃至超出福島事故的核電黑天鵝效應。
參考文獻
1. U.S. Nuclear Regulatory Commission (USNRC), “Reactor rdquo; WASH-1400 (NUREG-75/014), Washington DC, USA, Oct. 1975.
2. Hiromitsu Kumamoto and Ernest J. Henley, “Probabilistic Risk Assessment and Management for Engineers and Scientists,” 2nd Edition, IEEE Press, Piscataway, NJ, USA, 1996.，
3. Tsu-Mu Kao, “Incorporating Flow-Accelerated Corrosion Effects into Probabilistic Risk Assessment,” Ph.D. Thesis, MIT, Cambridge, Massachusetts, July 1998.
4. 張起明、高梓木等19人，“可靠度工程與管理手冊”，三民書局，台灣台北，2011年12月。
5. Terje Aven, “Risk, Surprises and Black Swans”, Routledge, New York, USA, 2014.
6. 高梓木，“風險管理與黑天鵝效應”,《科學發展》月刊，525期，56 ~ 60頁，台灣台北，2016年9月。