福岛 一场核灾难的故事 - 终章

迅速关闭的机会之窗

指责几乎立即开始飞舞。在随后的几周和几个月里，似乎每个人都在为福岛第一核电站的灾难寻找责任。全球的反核活动家看着这次事故，看到了不可救药的技术和制度上的失误，加强了他们的信念，即核能本质上是不安全的。核能的支持者们指责技术的使用者--在这里指责东京电力公司--而不是技术本身，从而回避了更大的安全问题。

东电最初将矛头指向了大自然，声称该事件是不可避免的。但该公司也指责日本政府监管部门没有迫使该公司达到足够严格的安全标准。

日本政府则将此次 "史无前例 "的事故归咎于所谓的 "历史上罕见的特大地震和海啸"，并表示当局不可能预料到这样的事件。东电和日本政府通过援引他们无法控制的力量，免除了自己的责任。

美国和日本的一些专家认为，罪魁祸首是Mark I反应堆的设计缺陷，认为先进的反应堆设计，如西屋公司的AP1000，不会遭受同样的命运。作为回应，Mark I的设计者GE声称，没有任何核电站设计能够在福岛第一核电站经历的洪水和停电条件下幸存下来。

还有一些人的观点恰恰相反：福岛灾难显然是可以预防的。日本国会独立调查委员会将责任归咎于东京电力公司和日本监管机构的无能、缺乏远见，甚至腐败。该委员会总结说，公用事业公司和政府应该对更大的地震和海啸有所预料和准备，应该有更健全的事故管理措施。

如果说事故是完全可以预防的，或者说事故是不可能预见的，都过于简单化。真相介于两者之间，而且有很多责任要承担。

新的反应堆设计：更安全还是大同小异？

福岛事故为核电倡导者提供了一个新的论据，以支持他们建造新一代反应堆。他们声称，某些新的设计可以抵御像福岛第一核电站这样的灾难性事件。

这些设计中包括西屋电气公司建造的AP1000（AP代表 "先进的被动式"，1000是指其大约以兆瓦为单位的发电量）。该反应堆利用了被动安全功能，减少了事故发生时对电机驱动泵等机械提供冷却剂的需求。西屋公司宣传AP1000能够承受七十二小时的电站停电。福岛事故发生后不久，时任西屋公司首席执行官的阿里斯-坎德里斯表示，如果现场有AP1000，福岛事故 "就不会发生"。

2012年2月，NRC委员以4比1的投票结果批准了在亚特兰大以东约270公里的Vogtle核电站群建设两座AP1000反应堆的许可证，这一设计得到了重大推动。NRC主席格雷戈里-雅茨科投了唯一的 "反对票"，他说："我不能支持发放这个许可证，就好像福岛从来没有发生过一样。" 雅茨科预计，从日本灾难中吸取的教训将导致NRC对美国工厂采取新的要求，他认为，任何新的许可证都应该以工厂业主同意纳入NRC未来可能要求的所有安全升级为条件。

其他新的反应堆设计，如GE日立的ESBWR（"经济简化沸水反应堆"），也拥有无源系统。相比之下，法国阿雷瓦公司的EPR（美国称 "演化动力反应堆"，其他地方称 "欧洲压水反应堆"）增加了冗余的主动安全系统和应对严重事故的新功能，如 "堆芯捕捉器"，目的是在损坏的堆芯熔化时捕捉并控制其穿过反应堆容器。这两种设计都在等待美国NRC的认证。

倡导者还在推动开发小型模块式反应堆，即那些发电量不到300兆瓦的反应堆。原则上，这些装置可以在装配线上建造，并允许公用事业公司以较小的增量增加其发电量，以满足波动的需求。

支持者认为，由于这些小型机组可以建在地下，因此在遭受恐怖袭击或地震等自然事件时更加安全。另一方面，批评者认为，如果发生严重事故，应急人员将很难进入地下反应堆，而且一个地方有多个机组可能会加重应急工作的挑战，福岛的情况就是如此。

毫无疑问，通过对新反应堆的周密设计，可以提高核安全。然而，核电的安全问题不能仅通过良好的设计来解决。任何反应堆，无论其设计如何，只有在它被要求达到的标准下才是坚固的。

除非监管机构扩大核电站设计所能承受的事故范围，否则在面对福岛规模的事件（如核电站长时间停电或大地震）时，即使是增强的安全系统也可能被证明没有什么价值。

以AP1000为例，阿里斯-坎德里斯的观点是错误的。即使AP1000一直在福岛现场，在停电三天后，它也会变得岌岌可危，因为那时它需要交流电来给供应应急冷却水的头顶水箱加水。而如果核电站发生了比其设计承受能力更大的地震，水箱本身也可能无法使用。

也许最强烈的不信任票来自反应堆供应商本身。即使他们在美国大力推广新的设计，2003年，这些供应商还是成功地游说国会根据《普莱斯-安德森法案》重新授权联邦对所有反应堆--新的和旧的反应堆--的责任保护再延长20年。虽然他们宣称下一代核电站对公众构成的风险微乎其微，但他们希望确保如果他们错了，他们必须支付的损害赔偿有一定的限制。

那些有志于推进核安全的人需要超越自己的偏见，认识到事故的根本原因，无论它们在哪里。如果没有这种清醒的评估，就会失去识别和纠正过去错误的机会。随之而来的是，防止下一次严重事故发生的机会也将不复存在。届时，福岛第一的遗留问题就会显现出惨烈的风波。

毫无疑问，东京电力公司和日本的监管体系负有很大责任。每一方显然都可以做得更多，以防止灾难的发生（比如在出现更大海啸威胁的信息时竖起更高的海堤）或减轻灾难的严重性（比如为核电站配备更可靠的安全壳排气阀）。这种改变本可以通过新的法规或自愿性举措来实现，但这两者都没有实现。

但这是一个过于狭隘的关注点。东电和政府监管机构只是由电力公司、供应商、监管机构和支持者组成的全球核电机构中的日本附属机构，所有这些机构都抱着自满的态度，而这种态度使得福岛这样的事故成为可能。

管理福岛的安全理念和监管程序与包括美国在内的其他地方的安全理念和监管程序并无本质区别。反应堆技术几乎完全相同。现实情况是，任何一个核电站面临的条件远远超出了其设计基础，就像福岛核电站一样，很可能遭受同样的命运。故事线会有所不同，但结果却大同小异--残破的反应堆、场外的放射性污染、社会混乱和巨大的经济代价。

对于任何熟悉当今全球反应堆船队脆弱性的人来说，福岛的灾难都不应该感到惊讶。如果这些弱点不加以解决，下一次事故也不会让人感到意外。

福岛事故引发了日本、法国、美国和其他地方广泛的 "经验教训 "审查。确实吸取了许多教训，但迄今为止，很少有教训得到及时和充分的处理--至少在美国是如此。当然，原因是普遍的心态。

"这里不可能发生"

这种心态是福岛第一核电站所有问题的基础。虽然许多技术和监管方面的失误导致了2011年3月11日开始的事件，但这种普遍存在的信念是事故的根本原因。

在美国，当福岛事故的细节仍在展开时，"这里不可能发生 "是一个常见的说法。例如，2011年6月，参议员阿尔-弗兰肯开玩笑说，"明尼苏达州发生那种级别的地震的几率很低，但如果我们在明尼苏达州发生海啸，我们的问题甚至比反应堆还要大"。

弗兰肯参议员随意的态度说明了问题所在。是的，海啸不太可能席卷北部平原。但在他的家乡，以及其他许多国会议员所在的州，反应堆确实存在严重的潜在威胁。

明尼阿波利斯东南的草原岛核电站的两座压水反应堆，是美国各地二十个地点的三十四座反应堆之一，位于大坝下游。大坝溃决会迅速淹没核电站，使其电力供应和冷却系统瘫痪，这与海啸的影响并无二致。

大坝溃决也不是唯一可能给美国核电站带来福岛规模挑战的事故类型。火灾是另一种类型。火灾可能会损坏电线和电路板，切断多个后备安全系统的电力，就像福岛的洪水一样。在1975年3月阿拉巴马州布朗斯费里核电站发生非常严重的火灾后，NRC于1980年通过了防火规定。一名工人用一支点燃的蜡烛检查漏气情况时，不小心在控制室下面的一个空间里引发了火灾。大火损坏了电缆，使1号机组反应堆的所有应急堆芯冷却系统和2号机组反应堆的大部分系统失效。只有工人们的英勇行动才避免了当天布朗斯费里核电站的双重熔毁。

火灾的威胁仍然是造成核电站堆芯损坏风险的主要因素。几十年后，NRC在布朗斯费里事件后实施的消防安全规定，在美国运行的反应堆中，大约有一半没有达到，包括布朗斯费里的三个反应堆。

所以，教训一："它可能发生在这里。" 而这一现实直接导致，再一次， 最关键的问题：

"多安全才算安全？"

福岛和其他核电站并不是纸牌屋，等待第一阵风或地面震颤而倒塌。它们一般都是坚固的设施，在灾难发生之前，需要很多东西出错。多年来，很多事情都发生了，但大多没有造成严重后果。

核电站安全的关键是设计了多个屏障，以保护公众免受辐射释放的影响--所谓的深度防御方法。每一个屏障都应该独立于其他屏障，并提供超过核电站设计基础所设想的任何事故中可能必须承受的最坏条件的安全系数。监管机构认为，深入防御是对冲任何一种屏障性能的不确定性。

福岛第一核电站受损反应堆的设计和运行符合全世界普遍采用的深度防御原则。存在多种多样的冷却系统，以防止反应堆堆芯受损。当冷却中断，堆芯受损时，密闭的安全壳建筑限制了放射性物质的泄漏。当安全壳发生泄漏，大量放射性物质逸出时，就会启动应急计划，疏散或掩埋人员。

美国核管制委员会

深入防御就目前而言效果良好。这一概念成功地限制了核灾难的发生频率。自20世纪70年代以来，有三起核电站事故引起了国际关注。1979年的三哩岛、1986年的切尔诺贝利 和2011年的福岛事故。要不是防务深入，这个名单可能会更大。

1992年袭击佛罗里达州的安德鲁飓风对迈阿密附近的土耳其角核电站造成了广泛的破坏，但深入防御避免了灾难。核电站失去了数天的异地电网接入，但在此期间，应急柴油发电机为重要设备提供了动力。虽然大风吹倒了一座水塔，并广泛损坏了现场的仓库和培训大楼，但更坚固的结构保护了其他供水和基本设备。

福岛事故发生一个月后，一场严重的龙卷风使布朗斯渡口工厂与电网断开。同年6月，内布拉斯加州的卡尔霍恩堡核电站经历了洪水，使其暂时成为密苏里河中的一座孤岛；8月，弗吉尼亚州的北安娜核电站受到了比其设计承受能力更大的地震的震动。在每一次事故中，事故造成的条件都没有超过失败的安全边际--从布朗斯渡口的场外电力损失、卡尔霍恩堡的洪水或北安娜的地震。

但是，这些事件是否如美国工业界和监管机构所声称的那样，证明了核电站的内在安全性？还是说，它们构成的事故不是因为良好的预见，而是因为好运而避免的？

尽管它有很多优点，但深入防御也有一个致命的弱点，这个弱点在安全谈话中很少被提及。这就是所谓的 "共模故障"。当一个单一事件导致的情况超过了所有深入防御屏障的安全边际时，就会发生这种情况，就像斧头砍过层层蛋糕一样。

福岛的洪水和布朗斯渡口的火灾就是共模失效。洪水或火灾摧毁了冷却反应堆堆芯所需的所有冗余系统、防止安全壳过热和泄漏所需的系统，以及帮助预测放射性羽流路径和范围的系统。在布朗斯渡口，工人们设法及时采取临时措施，防止灾难发生。在福岛，时间已经耗尽。

深入防御既是一种祝福，也是一种诅咒。它让很多事情在核电站灾难发生之前就能出问题。但当出现太多问题或共模故障使许多系统瘫痪时 深度防御就会像一排多米诺骨牌一样倒塌。通过加强深度防御可以降低共模故障的风险，但永远无法消除。

防御-深度的真正诅咒是它助长了自满情绪。多层防御的存在为不注意每一层的弱点提供了借口，增加了共模失败的脆弱性。

按照公认的标准，福岛第一核电站是一座防御良好的核电站，拥有强大的冗余保护层。当地震导致场外电网瘫痪时，应急柴油发电机作为备用电源随时待命。六个反应堆机组中的每个机组都有至少两台这样的发电机（一个机组有三台）。一台应急发电机可以提供冷却堆芯和其他重要任务所需的所有电力，但深入防御确保每个反应堆至少有一台备用发电机。

这并没有什么用。发电机就像反应堆本身一样 被海岸线上的海堤保护着 当海啸冲过海堤时 除了一台应急发电机和它们的电力连接外 其他的发电机都被破坏了

即使没有发电机，深入防御系统也提供了保护。在修复交流电力系统损坏的同时，电池组已准备好为最低限度的安全设备供电。福岛的电池容量是每台8小时，假定有足够的时间让工人恢复应急柴油发电机或恢复电网。但花了9天时间才将工厂部分重新连接到电网，恢复发电机的时间甚至更长。

在福岛，如同在美国和其他地方一样，反应堆操作员接受了应对严重事故的应急程序培训。这些程序指示他们采取一些措施，如排出安全壳，以降低危险的高压，使冷却水进入。但是，这些手册并没有设想到操作人员实际面临的情况--例如，需要在黑暗中手动操作通风口，因此，工人们无法及时实施这些程序以防止熔毁。

最后一道防御深入的屏障是疏散。但在福岛，应急计划在保护公众方面被证明是无效的。疏散区域不得不以临时的方式反复扩大，而且在某些情况下，做出决定时为时已晚，无法防止许多疏散者受到辐射。

福岛的所有防御屏障都因同样的原因而失败。每一个防御屏障都有一个极限，提供的安全系数太小，无法避免失败。如果只有一个屏障完好无损，核电站很可能成功地经受住了地震和海啸的双重打击，或者至少可以保护公众免受最严重的辐射影响。

所有障碍物可能倒塌的可能性，从来就不是规划的一部分。实际上，核设施是在坐旋转木马，自信预期事故的经过不会改变。在这个过程中失去了这样一个现实：这个不那么美好的转盘的铜环既包括预见危险，也包括开发独立的、强大的防御深度壁垒以适应不可预见的危险。两者缺一不可，已经多次被证明是不够的，代价巨大。

像福岛这样的严重事故使得核设施的现状无法维持。必须有所改变。但是，除非监管者和工业界着眼于未来和侧面，着眼于可能发生的事情，而不是仅仅着眼于已经发生的事情，否则就不会发生有意义的变化--真正减少对公众的潜在危险。

但这样的做法将是核电机构的一次转折。从历史上看，在应对三里岛这样的事件时，业界和监管机构一直在努力缩小应对范围，只是简单地在现有的安全网上补漏洞，而不是问是否需要更好的网。直截了当地说，除非对这一进程进行彻底改革，否则将需要发生更多的核灾难和更多的无辜受害者，才能使安全网达到今天应有的强度。

公路部门可以在路边竖起 "不要开得太快 "或 "以合理的速度行驶 "的标志。而不是竖起诸如 "限速55 "或 "最高时速20 "的牌子，让司机明白什么是预期，让执法人员知道什么时候该开交通罚单。前者的标志将构成完全无用的措施：一辆汽车缠在树上一定是行驶速度过快，但另一辆以每小时120英里的速度在学校区域内横冲直撞，如果不撞到任何儿童，一定是以合理的速度行驶。安全需要具体化。缺乏明确性，就会招致自由竞争。

这正是NRC的近期任务组在其减少美国核电站脆弱性的建议中试图避免的。NTTF在报告中首先提出了根本性变革的建议。它呼吁NRC重新定义其历史上的 "充分保护 "安全门槛，这一次建立一个明确的基础，以指导监管者和核电站业主解决超出设计基础的事故。

从本质上讲，NTTF的第一条建议敦促NRC正式承认，需要在强大的深度防御和明确的安全系数的基础上，用明确的要求来防范超出设计基准的事故。这样一来，工厂业主以及NRC审查员和检查员就能更好地就什么是可接受的达成一致。如果电厂业主不符合要求，检查员将有法律依据宣布违规；同时，电厂业主将得到更好的保护，不受任意裁决的影响。

NTTF并没有建议对现有的制度进行大刀阔斧的改革，而是建议设立一个新的类别。相反，它建议创建一个新的事故情景类别，以涵盖现有核电厂设计基础中没有设想到的一系列可能性。这一新类别的 "扩展设计基础事故 "可以包括福岛所经历的一些极端条件的各个方面。将为扩展设计基础事故制定一套新的规定，消除目前管理超越设计基础事故的 "拼凑"。然而，这些要求本身将不如设计基准事故的要求严格。

特别工作组认为，核管制委员会已开始过分依赖高度不确定的风险计算结果，这使人们更加相信严重事故的可能性很小。这反过来又为核管制委员会提供了缩小安全系数和削弱深度防御的理由。为了解决这个问题，特别工作组要求委员会正式考虑 "每一级深度防御的完整性和有效性"，将其作为充分保护的一个基本要素。工作队还希望核管会减少对行业自愿举措的依赖，因为这些举措在很大程度上不在监管控制范围内，而是制定自己的 "应对突发事件（包括严重事故）的有力方案"。

工作组成员认为，一旦第一项建议得到实施，建立了一个明确的决策框架，他们的其他建议就会顺利落地。如果不执行，每项建议都会陷入僵局，因为设备质量规格、维修要求和培训规程都要逐一讨论。

但是，当大多数委员在2011年指示工作人员推迟处理第一项建议，而将重点放在其余建议上时，比赛甚至在开场前就输了。

NTTF的建议1类似于近三十年前的严重事故规则制定工作，当时NRC考虑扩大其法规范围，以解决超越设计的事故。当时和现在一样，由于认为需要监管 "纪律"，以及行业反对扩大NRC的执法权，限制了改革的范围。委员会似乎忽略了福岛第一核电站的一个重要教训：即在三里岛之后采取的 "打最后一仗 "的方法根本不够好。

想想2012年3月12日，也就是福岛事件一年零一天后，NRC向所有核电站业主发出的缓解战略命令。该命令的一部分要求厂主 "为相关设备提供合理的保护，使其免受龙卷风、飓风、地震和洪水等外部事件的影响"。"完全遵守应包括程序、指导、培训，以及购置、分期或安装策略所需的设备，"该命令写道。

但什么是 "合理的保护"？什么样的 "指导 "才是足够的，培训又会有多严格？NTTF的第一个提案就要求有具体的定义。现在，如果没有一个具体的标准，NRC检查员将不具备挑战他们认为不合理的保护水平的能力。相反，工厂业主面对NRC要求提供更 "合理 "的保护水平的压力将毫无防备。

第二个例子：NRC于2012年3月12日发布的另一项命令要求具有Mark I和II安全壳的沸水反应堆的所有者安装可靠的硬化安全壳通风口。他们把是否应该在安全壳中的放射性气体排放到大气中之前进行过滤的问题留待日后决定。

这种通风口主要是为了在堆芯损坏发生之前使用，因为这时安全壳内的气体放射性不高，通常不需要过滤器。然而，正如福岛所表明的那样，有可能在堆芯损坏发生后不得不使用通风口，以防止损坏恶化。在这种情况下，过滤器可能是减少放射性物质释放量的关键。过滤器的存在还可以使操作人员在不确定是否发生堆芯损伤的情况下，减少排放决定的压力。2012年11月，NRC工作人员建议在通风管道中安装过滤器，主要是作为一种深入防御的措施。

但看似简单、合理的决定--安装一个价值1500万美元的过滤器，以减少价值数百亿美元的土地污染以及对公众的伤害--却变得复杂起来。核工业发起了一场运动，以说服NRC专员，过滤器是不必要的。核工业的一个关键论点是，核电厂业主可以通过使用FLEX设备更有效地减少放射性释放。

该论点认为，只有当安全壳保持完好无损时，通风过滤器才会起作用。如果安全壳失灵，放射性物质的释放就会绕过过滤器。而先进的FLEX冷却策略可以在一开始就将放射性保持在安全壳内。此外，无论如何，福岛没有过滤器可能不会造成大面积的土地污染，因为不清楚最大的释放量是通过通风口发生的；放射性物质可能以另一种方式逸出。

NRC的工作人员反驳说，FLEX策略太复杂了，无法依赖：它们建立在对处于危机中的反应堆内可能发生的情况以及操作人员能够做什么的太多假设之上。相比之下，在大多数情况下，被动过滤器可以指望完成其工作----过滤通过通风管道的任何放射性物质。工作人员认为，过滤器作为一种深度防御措施是有必要的。工作人员还指出，许多其他国家，如瑞典，几十年前就要求安装通风口过滤器，这是一个审慎的步骤。

如果没有像NTTF在其第一项建议中呼吁的那样，明确要求深入考虑防御措施，核管制委员会委员们可以随意拒绝工作人员的论点。2013年3月，他们以3比2的投票结果推迟了安装过滤器的要求，并建议工作人员考虑其他替代方案，以防止事故期间的辐射释放。然而，与此同时，委员们投票要求对通风口本身进行升级，以便在严重事故中发挥作用。这第二个决定没有什么意义：如果委员们认为在严重事故中可能需要通风口，那么还有什么借口不给它们配备过滤器呢？

随着福岛灾难在公众记忆中的消退，以及NRC发出的混合信号，核电机构已经开始依赖FLEX计划来解决越来越多由特别工作组和NRC工作人员确定的严重事故安全问题。它已经开始将FLEX视为不是短期措施，而是一个持久的解决方案--只需修补安全网中的任何漏洞。

在对过滤器进行投票的三个月前，委员们决定放慢制定新的核电站停电规则--这是他们最初确定的优先事项。部分原因是他们对FLEX的信心。NRC后来通知国会，它拒绝了一些其他安全建议，如增加 "多种多样的仪器来测量电厂参数"，以及要求所有电厂 "安装具有独立电源和冷却系统的专用掩体"，因为它相信FLEX已经足够了。但目前尚不清楚FLEX如何排除对额外可靠仪器的需求或掩体式应急冷却系统的可取性。事实上，一旦发生危机，这两项措施都会支持FLEX的能力。

尽管核管制委员会愿意对FLEX投下坚定的信任票，但有三个重要的防御深度问题不能因为FLEX魔杖的挥舞而被忽视。这些问题在福岛事件后被NRC工作人员标明为公众高度关注和值得考虑的问题。

第一个问题涉及美国将乏燃料池密集包装的做法，一些批评者长期以来一直指出这种情况存在安全隐患，而核管制委员会长期以来反驳说这种做法是绝对安全的。

在福岛事故发生后，事实证明，4号机组乏燃料池--危机期间备受关注的主题--毕竟躲过了损害。这一发现让一些业界人士和NRC争辩说，对乏燃料池风险的担忧是没有根据的。他们的主张没有考虑到这样一个事实，即美国乏燃料池中的燃料数量通常是4号机组的几倍，因此，在失去冷却或发生灾难性破裂的情况下，可能会更快地遭受损害。业界则认为，FLEX的设计是为了对乏燃料池进行紧急冷却。但这需要操作人员在注意力很可能被其他紧急事件撕裂的时候采取行动，就像在福岛发生的那样。

加速将乏燃料转移到干桶中，将通过被动手段提高安全性。NRC承诺将再次研究这个问题，但它被赋予了较低的优先级。

第二个和第三个问题涉及应急规划区和向公众分发碘化钾片剂以减少放射性碘的威胁。福岛事件表明，严重的事故可能会导致离核泄漏地点25英里远的人受到辐射照射，令人担忧。事实上，日本和美国政府的最坏情况预测发现，即使是一百六十多公里外的东京，也同样受到威胁。

然而，核管制委员会继续为十英里规划区在疏散和碘化钾分配等应急措施方面的充分性辩护。该机构辩称，在紧急情况下，如果有必要，疏散区总是可以扩大的--这一立场很难与之前不知道有一天可能需要逃离核电站事故的人们有序疏散的难度相协调。在核信息和资源服务组织的请愿书的推动下，NRC同意研究应急计划问题，但进展非常缓慢）。

最后一个需要考虑的问题是土地污染的风险，即使所有的疏散措施都很成功，这也可能是一个巨大的问题。过去，NRC仅从早期死亡和潜伏癌症死亡的角度来评估潜在的事故后果，但福岛表明，广泛的土地污染及其造成的经济和社会动荡也必须计算在内。

NRC工作人员向委员们提议，NRC在修订其计算成本效益分析的准则时解决这个问题，但委员们并没有表现出太大的兴趣。这似乎也是在缓慢的轨道上。

至于NTTF的建议1--修改监管框架的命运？这似乎不仅从前面的燃烧器上滑落，而且可能从炉子上滑落。2013年2月，NRC工作人员未能在委员的最后期限内提出与该建议相关的提案，并要求给予更多时间。截至本文撰写时，建议1作为优先事项继续淡化，NRC工作人员认为，"从安全的角度来看，维持现有的监管流程、政策和框架是可以接受的"。

安全IOU比毫无价值更糟糕。它们代表了NRC知道存在但尚未修复的运行中核电站的弱点。简单地说，它们是等待发生的灾难。

NRC确定一个安全问题，并接受一个非解决方案的做法仍在继续。福岛事故后的建议只是最新的例子--尽管是最令人担忧的。

只要核机构假装不会发生严重的反应堆事故，就会继续发生。这种想法使得运气成为深入防御的障碍之一。在NRC承认严重事故发生的真实可能性，并开始采取纠正措施之前，公众只能在运气坚持的程度上得到保护。

当然取舍是不可避免的。如果每一个深层防御屏障都能对已知的危险进行全面和独立的保护，那将是最理想的，但现实中，这个代价很可能是大井无波的。核工业很快就会以成本为由反对新的安全规则，考虑到股东和纳税人的担忧，这并不奇怪。

另一方面，我们必须考虑到像福岛这样的事故在经济和人力方面的代价。今天问问东京电力公司的股东--以及日本公众--他们会为避免该事故付出多少代价。

那么，怎样的安全才算安全呢？在这个关键的决定中，公众基本上被排除在讨论之外。在美国、日本以及其他所有正在运行的核电站都是如此。核电开发、扩建和监督基本上都是在幕后进行的。

核技术是极其复杂的。核技术的倡导者在热衷于推广该技术的过程中，掩盖了各种未知和不确定因素，抛出了一个个玄奥的术语，并设定了诸如 "充分保护 "等无法量化的安全标准。在这个过程中，核工业开始相信自己的故事。

监管者常常相信，他们的决定有比实际存在的更坚实的技术基础。官员们尤其必须努力监督一项很少有人彻底了解的技术，尤其是当事情出错时。福岛事件就证明了这一点。

与此同时，普通公民被忽悠，认为核电站是安全的邻居，不需要注意或担心，因为业主是负责任的，监管者是彻底的。然而，正是这些公民的健康、生计、家园和财产可能会因为这个有缺陷的系统的失败而受到永久的危害。

公众需要充分了解不确定性、风险和利益以及所涉的权衡。科学家和决策者必须坦率地说明他们所知道和不知道的事情，说明他们可以诚实地承诺和不能承诺的事情。一旦充分披露，就必须给予人民在制定政策方面的最终发言权。他们必须成为仲裁者，决定什么是可接受的，以及政府如何采取行动来确保他们的保护。

这个决策过程会是怎样的，目前还不清楚。有一点是肯定的：我们现在还远远没有达到这个目标。

本章重点讨论了受福岛事故启发而产生的两个问题：谁该为这次事故负责，以及如何防止下一次事故的发生？现在应该很清楚，整个核电机构都有责任，而不仅仅是东京电力公司及其监管机构。然而，即使被起诉，核电机构也可能无法被定罪。因为不断重复做同样的事情，希望下一次的结果会有所不同，这完全是一种疯狂。

我们需要的是一种新的、常识性的安全方法，一种现实地权衡风险，并以经过验证的、而非理论性的安全要求来平衡风险的方法。NRC必须防止严重事故的发生，而不是仅仅假装事故不会发生。

如何才能最好地实现这一目标呢？首先，NRC需要在摘掉眼罩的情况下进行全面的安全审查。这必须以NRC前委员Peter Bradford所说的监管 "怀疑论 "来进行。该委员会的工作人员--以及五位委员--应该停止对维持监管 "纪律 "的担忧，而开始更多地担心可能导致重要风险被遗漏或忽略的监管隧道视野。

这种安全审查必须以实际操作、实时监管的形式出现。美国的每家工厂都应该对严重事故漏洞进行深入检查，NRC在20世纪80年代曾考虑过这种检查，但未能实施。

第一步是采用一种技术上合理的分析方法，考虑到几十年来批评者所注意到的风险评估中的缺陷，特别是没有充分考虑到不确定性。对不甚了解的问题需要纳入误差估计中，而不是简单地忽略。将安全门槛设定为x，必须带着相关的政策问题 "如果x加1发生了怎么办？"

幸运的是，NRC不必从头开始做一个合理的安全分析。每个向NRC申请续签20年许可证的核电站--约占美国所有核电站的75%--都进行了一项名为 "严重事故缓解替代方案"(SAMA)分析的研究，作为《国家环境政策法》要求的环境审查的一部分。

一个随时可以行动的安全框架。

SAMA分析需要确定和评估有可能降低严重事故风险的硬件和程序修改，然后确定安全效益的价值是否证明其成本是合理的。

奇怪的是，尽管电厂业主和NRC已经确定了几十项措施，可以通过这种成本效益测试，因此可能是谨慎的投资，但没有一项措施必须依法实施。这是因为NRC在方程中加入了扭曲的回装规则。该规则意味着，如果要进行改变，它们还必须代表 "实质性的安全改进"--鉴于行业计算产生的低风险估计，这一标准很难达到。

因此，SAMA过程仅仅是一项学术活动。但是，SAMA分析中确定的升级措施提供了一个全面的变化清单，可以降低每个工厂的严重事故风险。

SAMA变化是一个起点。应该在一个新的框架下对它们进行重新评估，这个框架应更好地考虑到不确定性和计算机模型的局限性，改进计算成本和效益的方法，并允许公众对 "多安全才算安全？"这个问题的答案有发言权。这一过程将为核电站升级改造提供指导，可以从根本上提高整个反应堆群的安全性，并为公众提供一个衡量性能的标准。

另一个评估严重事故风险的工具是压力测试项目--分析每个核电站在遭受各种现实的自然灾害和其他事故诱因时的表现。(至于工业界大肆宣传但未经测试的FLEX "修复措施"，它们可以被考虑在内，但其局限性和脆弱性在任何分析中都是公平的。)

在测试过程开始之前，另一个变化是必不可少的：必须首先由公众，而不是行业来决定什么是合格的成绩。

这些SAMA分析代表了美国每个核电站为降低美国福岛核电站的风险所需改变的原始清单。将这些信息作为加强监管和运营的路线图，并不是全部的答案，但这是更好地理解核电风险以及如何控制风险的第一步。

一旦回答了 "多安全才够安全？"这个问题，就必须提出并解决第二个问题，同样也要听取公众的意见。这个问题就是："证明多少才够"？

换句话说，如何最好地证明行业和监管机构确实在文字和精神上遵守了新规则？NRC的监管程序是最曲折和不透明的程序之一；就像在日本一样，公众的信任度也因此受到影响。

最后，NRC必须能够告诉美国公众，"我们已经采取了一切合理的措施来保护你们"。而且必须是公众，而不是行业或官僚，谁定义 "合理"。

在日本纪念福岛第一核电站事故两周年之际，核管会召开了一年一度的第二十五次监管信息会议，再次吸引了大批国内外监管者、行业代表等参加。

在为期两天的会议上，许多发言专门讨论了从福岛吸取的教训，包括关于核心损害、洪水和地震风险以及监管改革的技术讨论。但到了现在，很明显，核管会内部对重大变革没有什么情绪，包括委员会自己的短期工作组敦促的扩大 "充分保护 "领域的变革。NRC又回到了正常的业务，专注于安全网的小漏洞，忽视了福岛的根本教训。这次事故并不意外 如果不进行全面的监管和安全改革 很可能会发生另一起事故。

会议的最后一项活动是由该机构的四位地区管理者和两位核工业官员参加的小组讨论，他们回答了其他核业内人士的问题。讨论的主题从后福岛时代与公众打交道到美国反应堆检查员的工作量增加等。会场气氛乐观，交流融洽。

但是，在欢声笑语中，一位小组成员似乎不耐烦地向听众传递信息。当谈到福岛的总体教训时，对于监管者和业界人士来说，他带来了独特的资历。演讲者是NRC的查克卡斯托，他在事故发生后的最初混乱日子里抵达日本，并作为顾问在那里呆了近一年。

现在，随着会议接近尾声，查克卡斯托急于提出一些建议。公众并不理解NRC "充分保护 "的基本安全理念，他提醒道。"他们希望看到我们在外面冲锋陷阵，把事情做得更安全，要亲近安全。如果这个度是安全的，再多一点就更安全了。"他告诉大家。

不久之后，查克卡斯托的声音充满了感情，他谈到了福岛勇敢的操作人员，他称他们为 "一组不可思议的英雄"。

"这个行业五十多年来，有很多英雄，"他继续说。他谈到了布朗斯渡口、三里岛和切尔诺贝利。查克卡斯托告诉他的听众，这些和其他事件使前进的道路变得清晰。"我们尊敬，我们尊重这个行业五十年来的英雄--但我们不希望再有更多的英雄。

"我们必须有流程、程序、设备和监管机构，不要让人们处于不得不采取英雄行动来保护公众健康和安全的境地，"查克卡斯托说。"我们真正要努力的是不再出现英雄。"