核科学与工程

二十年前，民用核工程的主叙事仍围绕大型轻水堆、确定性设计基准、单机组安全分析和燃料在规定燃耗内的合格运行。近二十年的变化，并不是简单把反应堆做小或把材料做强，而是把低频高后果风险、厂址复合灾害、长期贮存、退役信息、燃料供应与监管证据同时纳入设计。第一幕形成风险知情监管、被动安全独立性、多机组厂址风险、超设计基准纵深防御、事故容错燃料、SMR工厂化、高燃耗包壳边界与深地质处置安全案例；第二幕则检验SMR学习曲线、微堆用能边界、技术中性许可、多单元PRA、HALEU供应、数字仪控共因失效、核电孪生、在线老化、干式贮存氯化物、退役知识保存、气候复合灾害与可回取—封闭张力。这里严格讨论公开的民用能源、材料、安全评价与监管命题，不涉及任何军事或武器化内容。本面板严格限于公开的民用裂变能源、材料、安全评价、退役与监管，不涉及任何军事或武器化内容。

这一幕的共同动作，是把“满足设计基准”改写为跨机组、跨屏障和跨百年时间尺度的证据链。

甲、风险知情监管

在这一理论形成以前，领域常接受“所有安全规则一律按确定论单项合规，无法区分哪些设备、场景与检验真正主导总体风险”这一判断。它在单机组、确定性基准和规定寿期下便于计算和审查，却把正常运行、超设计基准事故、长期贮存与监管资源之间的耦合压成一个单值。真正的问题不是换一个术语，而是“风险知情监管”能否解释旧判据失效时系统为何改变。

这一支理论的可反驳命题是：在纵深防御和安全裕度底线之上，用概率风险评价（PRA）衡量变更对堆芯损伤、放射性释放和系统重要度的影响，把监管资源投向风险贡献最大的环节。PRA把设备、事故序列和人员动作放进事件树与故障树，再以重要度和风险增量判断一次变更值得多少审查；它不是取消确定性底线，而是把资源配置与总体后果联系起来。

NRC RG 1.174 在 2000 年代后持续修订并进入检验、维修和技术规范实践；应用显示风险排序会改变维护重点，但 PRA 完整性和不确定性仍决定结论可信度。这一步把“风险知情监管”从原则性主张推进成可比较关系：证据必须同时报告事故序列频率、屏障裕度、共因失效与后果，而不是只展示一个成功样机或一段最佳运行期。

争议在于模型遗漏的外部灾害、组织失误和共因故障不会自动出现在风险数字中。应对同一变更使用不同合理模型做敏感性分析，并把结果与后续运行事件核对；若排序随微小假设任意翻转，风险知情便没有形成稳定判据。决定性检验应预先锁定输入、边界与失效阈值；若控制相邻变量后，风险知情监管并不能改善事故序列频率、屏障裕度、共因失效与后果的预测或控制，它就只是伴随标签。

风险知情最实际的后果，是把「合规」与「安全」这两件长期被当成同义词的事分开了：一台设备可能完全符合技术规范却对风险贡献甚微，另一台可能在规范边缘却承担着主要的风险。资源一旦按风险贡献重排，维护窗口、在役检查频次与技术规范允许停运时间都要跟着改，而这些改动每一项都要单独申请与论证。由此产生了一个副产品——概率风险模型从工程分析工具变成了监管谈判的对象，模型的假设、成功准则与人因数据从此都要经得起对方审查。

与「三、风险知情、技术中性许可」是同一思路的两代：甲用在既有轻水堆的运行监管上，三用在尚无先例的新堆型许可上，后者的难点在于没有运行经验可供标定概率。一处反向证据来自模型的不完备：概率风险评价对已识别的事故序列排序良好，对未被建模的序列则完全沉默，而福岛与几次前驱事件恰恰暴露在此。因此这条命题的检验必须是先兆事件率与运行堆年之比，而不是模型算出的堆芯损伤频率——后者只在模型自己的世界里成立。

乙、被动安全的失效独立性

领域常接受““无需交流电或主动泵”就等于不会失效”与“仅按部件失效率评价被动系统”这两个极端判断。这种做法在名义工况中看似清楚，一旦进入多单元、复合灾害、长期贮存与代际责任，同一合格结论却可能对应完全不同的后果。领域由此必须回答：“被动安全的失效独立性”究竟识别了哪一个此前被省略的控制量。

这一支理论的可反驳命题是：被动安全的优势来自减少主动动作与外部支持，但自然循环、重力供水、阀门状态、热工边界和共同环境仍需作为耦合失效机制分析。自然循环依赖密度差、流阻、库存、换热面和边界压力，重力供水也依赖阀门状态、通道畅通与最终热汇；减少主动泵只消除一类依赖，并不消除物理耦合。

AP1000 等设计在 2006 年后通过认证与大型试验验证被动余热排出，同时可靠性研究显示初始条件、非凝结气体和阀门故障会改变自然循环能力。这些结果的意义在于出现了可复核的反差组。只有当不同场址、机组、燃耗历史或长期试验在相近边界下重现同一方向，才说明改变的是机制而非项目特例。

边界必须在长时间失电、非凝结气体、阀门误位和共享热汇受损等组合条件下检验。若系统只在单故障或理想初始条件下成立，或多道被动防线依赖同一环境变量，失效独立性就被高估。因此不能用同一批数据既校准又确认。若独立的不同场址、机组、燃耗历史或长期试验给出相反排序，理论的适用域必须收缩，而不是追加事后例外。

被动安全在公众沟通中被简化成「不需要电也不需要人」，而工程上真正的交付物是一份初始条件清单：阀门在事故前处于什么位置、水箱是否满、非凝结气体有没有积累、热工边界是否落在自然循环能自启动的区间。这份清单一旦公开，被动系统的可靠性就不再是一个宣传口号，而是一组可以被检查、被演练、被记录的状态。运行规程因此增加了大量「静态状态确认」项——被动系统不做动作，但它要求人持续确认它随时可以不做动作而生效。

它与「六、数字仪控的共因失效」共享同一条判据：冗余的数量不等于失效的独立性。被动与主动的真正差别不在有没有动作，而在共因的种类换了——从电源与信号换成了温度分层、气体积累与阀门位置。一处反向证据来自自然循环的稳定性试验：在某些功率与压力组合下会出现流量振荡，系统仍在运行却不再按设计传热。因此这条命题的可检验形式必须是被动功能成功次数与需求次数之比，且需求必须包含不利初始条件下的那一类。

丙、多机组厂址风险

这条理论所反对的旧前提可以概括为：同一厂址各机组可被视为统计独立，公共电源、人员、冷却和灾害只需在单机组 PRA 中分别处理。旧前提把对象切成易于管理的局部，却没有说明局部收益怎样经过正常运行、超设计基准事故、长期贮存与监管资源之间的耦合成为系统收益。卡住的问题因此不是“技术能否工作”，而是它在哪个边界以内才工作。

这一支理论的可反驳命题是：共因外部事件、共享系统和事故管理资源会使风险跨机组传播；评价对象应从“一个反应堆”扩展为整个厂址。同一厂址的机组会共享外电源、最终热汇、应急道路、人员与移动设备；外部事件还会使事故进程同时启动，形成资源争用和决策拥堵。评价单位因此必须从单堆扩到厂址。

2011 年福岛事故暴露多机组共同失效与资源竞争，随后国际机构和监管研究开展 site-level/multi-unit PRA，发现简单相加会漏掉相关性。对“多机组厂址风险”而言，证据也改写了评价口径：名义性能不再足够，还要记录多日安全功能、共享资源和后果分布的不确定区间、失效样本和边界变化后方案排序是否保持。

难点是联合概率和人员响应数据稀少，模型容易以“独立”填补未知。应在联合演练和动态模拟中记录资源占用与延迟；若考虑共享约束后，厂址后果仍与各机组简单相加等价，厂址级模型的增量才会被削弱。“多机组厂址风险”成立的底线，是失败发生前就能指出哪一条件将跨过边界。若所有反例都可用未测变量解释，命题便失去可反驳性。

把评价对象从一台机组换成一个厂址，最直接的后果是应急资源的配置逻辑改变：过去按单机配备的移动泵、电源车与操作班组，在多机组同时受损时要被同时争抢，而人员是最不可复制的那一项。厂址级评价因此把「一个班组同时管几台机组」写成了一个必须申报的参数。它还改变了选址与扩建的论证——在既有厂址上增加机组不再自动比新建厂址便宜，因为共享系统带来的相关性会抬高整体风险，这一项在过去的经济比较里从未出现。

与「四、多单元厂址级 PRA」是问题与方法的关系：丙提出必须这样看，四回答技术上怎么算。共同的困难在数据——多机组同时受损的样本极少，模型只能靠共因参数外推。一处反向证据是资源竞争的建模：现有方法多把人员响应当作独立事件，而真实事故中同一批人先去哪台机组是一个带优先级的决策序列，与概率意义上的独立完全不同。因此这条命题的检验量应是厂址级堆芯损坏频率与单机频率之比，并注明共享资源贡献占比。

丁、超设计基准事故的纵深防御

早期框架通常接受这样的判断：只要设计基准事故合规，就可把更极端、长时间失电或多重灾害留在“不可想象”之外。这一框架能给出规则、额定值或样本内最优，却难以处理多单元、复合灾害、长期贮存与代际责任造成的状态迁移。需要重写的不是某一参数，而是用什么证据判定“超设计基准事故的纵深防御”已经改变了真实结果。

这一支理论的可反驳命题是：纵深防御应加入可移动设备、长期供水供电、严重事故管理和多灾种情景，使安全能力跨越原设计边界。FLEX等策略用可移动电源、泵、软管和预设接点把安全功能从固定设备扩展到可恢复能力；真正的防线是设备、运输、接驳、燃料、人员和指挥链同时可用。

NRC 2012 年 EA-12-049 等福岛后措施推动 FLEX 策略与厂站改造；演练显示设备可用性之外，运输、接驳、人员与多机组争用同样关键。由此可见，年份和机构名称不是结论本身；真正的证据是上述设计能否预先区分成功与失败，并在不同场址、机组、燃耗历史或长期试验中经受盲测。

纸面配置不等于灾害后可部署。演练必须包含道路受阻、夜间、恶劣天气、多机组争用和长时间补给；若在这些条件下无法在热工时间窗内接入，纵深防御只是设备清单而不是功能。应把最好结果、平均结果和尾部结果同时公布。若优势只存在于额定点或被排除的故障恰是现场主因，“超设计基准事故的纵深防御”就没有形成系统净收益。

FLEX 这类策略把安全能力的一部分从建筑物里搬到了厂外仓库与运输路线上，这意味着安全论证第一次要包含交通、接驳与人员到达时间这些传统上不属于核工程的变量。演练暴露的问题多数不在设备本身——泵能不能启动很少是瓶颈，接头是否匹配、道路是否通行、夜间与恶劣天气下能否在规定时限内接上才是。由此产生的制度动作是把接口标准化与定期实景演练写进许可条件，而不是只做设备台账的年度核查。

与「十一、气候复合灾害的厂址韧性」直接相连：可移动设备的价值取决于外部环境是否允许它移动，而复合灾害恰恰同时打击道路、电网与通信。一处反向证据是长期性：FLEX 主要针对数天量级的应对，而某些复合情景要求维持数周的供水与供电，此时可移动方案会耗尽燃料与人员轮换能力。因此这条命题的可检验形式应是超设计基准情景下保留的关键安全功能数占全部关键功能的比例，并须给出可维持时长。

戊、事故容错燃料（ATF）

旧看法通常围绕这样的判断展开：现有 UO₂—锆合金燃料体系在失冷事故中的高温反应特性不可改变，安全改进只能依靠堆外系统。它默认环境、信息和失效方式可以分别处理，但正常运行、超设计基准事故、长期贮存与监管资源之间会在运行中互相回写。对“事故容错燃料（ATF）”而言，真正的缺口是：哪一个可测量量能够在多单元、复合灾害、长期贮存与代际责任的后果充分显现前预告方案排序将要反转。

这一支理论的可反驳命题是：通过改进包壳、涂层或燃料芯块，使燃料在失去主动冷却时更慢氧化、少产氢并延长应对时间，同时保持正常运行经济性。候选包壳、涂层或改性燃料试图降低高温氧化和产氢、提高导热或延缓失效，从而增加人员恢复冷却的时间；收益必须与正常运行反应性、腐蚀、磨损和制造缺陷共同结算。

美国 DOE 2012 年启动 ATF 计划，2018 年起多种候选在试验堆和商用堆装入测试；耐事故收益必须与辐照稳定、许可和燃料经济性共同验证。这组工作把争论从“是否值得采用”转到“哪一个读数先变化”。若氧化速率、延性、裂纹增长与可用应对时间只在结果发生后才被重新解释，证据仍然不足。

短时高温试验不能覆盖多年辐照后微结构和涂层完整性。应在代表性燃耗、瞬态与后续冷却序列中比较可用应对时间；若事故裕度只增加很少，却显著损害燃料经济或正常运行可靠性，容错便未形成系统净收益。检验“事故容错燃料（ATF）”还需区分测量误差、模型误差与真实随机性。若不确定性稍作合理调整便使结论翻转，新判据尚不足以承担高后果决策。

事故容错燃料的价值不在事故本身，而在它买来的时间：多出的若干小时直接改变了应急预案、操纵员动作窗口与场外防护决策的时限。这使它成为少数能同时降低风险与放松运行约束的改进，因而被寄予厚望。它的门槛在辐照验证的周期——包壳材料要在商用堆里跟随若干个循环，数据才可能支撑许可，这个周期以年计且不可压缩。因此该领域的真实进度不由实验室成果决定，而由试验组件插堆与检验的排期决定。

与「庚、高燃耗燃料的包壳边界」形成一对拉力：一个要包壳在事故中更耐受，一个要它在更高燃耗与更长寿命下仍守住限值，两者对同一材料提出方向不完全一致的要求。一处反向证据是涂层包壳的长期行为——涂层在正常运行的辐照与腐蚀下可能开裂或剥落，此时事故性能与新样件测得的结果不同。因此这条命题的检验必须是辐照后样件的高温氧化增重与传统包壳之比，而不是未辐照样件的实验室数据。

己、小型模块堆的工厂化假说

在这项转向出现前，领域常接受“核电只能通过单台机组越做越大降低单位成本，并接受现场定制和超长工期”这一判断。围绕“小型模块堆的工厂化假说”的这种判断把设计点或平均值当成对象本身，因而不能解释同一方案为何在不同边界下由优势变成负担。“小型模块堆的工厂化假说”正是对这一反转条件的追问。

这一支理论的可反驳命题是：较小模块可用工厂制造、标准化复制、分期投运和更小单项资本暴露，以系列学习抵消部分规模经济损失。工厂化的逻辑不是把大型部件简单缩小，而是冻结设计、重复工装、把现场工作转移到受控制造环境，并通过并行建造和分期投运减少资本暴露。其核心变量是连续可复制的订单序列。

2010 年代 IAEA、NRC 与多国项目形成 SMR 设计与经济评价框架；分析一致指出工厂化潜力真实，但必须有足够订单序列，首堆并不会自动便宜。关键推进不是性能数字更高，而是建立了输入—状态—后果的可追踪链。换一组不同场址、机组、燃耗历史或长期试验后，这条链若断裂，结论就必须收缩。

首台样机无法证明学习曲线，运输限制、现场土建、供应商变化与许可变更还会重置学习。应分开报告首台、早期批次和稳定系列的单位工时与返工率；若每个项目仍高度定制，模块化就不会自动抵消规模损失。“小型模块堆的工厂化假说”可接受的边界不是一句“仍需研究”，而是明确什么结果算失败。若旧判据在相同信息下同样预测后果，新理论就没有增量解释力。

工厂化假说真正要回答的是资本市场的问题，而不是工程问题：小型堆的意义在于把单项投资暴露降到一个私人投资者敢于承担的量级，并让现金流早于全部机组建成之前开始。这一点若不成立，工厂化本身也很难成立，因为工厂必须有连续订单才能维持。由此产生的现实后果是首批项目的商业模式（长期购电协议、政府担保、多机组一次性下单）比堆型设计更能决定成败，这也是近年多个项目搁浅的原因所在。

与「一、SMR 的规模损失—系列学习边界」是同一命题的定性版与定量版，两条必须一起读，否则「工厂化」会被当成已经兑现的事实。一处反向证据是现有的核电建设史：多数国家的核电成本随建成机组数上升而不是下降，学习效应被监管变更、供应链断档与人员流失反复抵消。因此这条命题的可检验形式必须是工厂制造工时占现场总工时的比例，加上首台到第若干台的单位成本下降率，而这两个数至今都还没有商业规模的实测值。

庚、高燃耗燃料的包壳边界

此前的设计逻辑建立在一个简化前提上：提高燃耗只是延长换料周期，不会改变事故工况、运输和贮存中的材料行为。只要边界稳定，它可以给出简洁结论；当多单元、复合灾害、长期贮存与代际责任进入同一系统，简洁便可能来自遗漏。因此，对“高燃耗燃料的包壳边界”需要检验的不是新方法是否更复杂，而是它是否捕捉到旧模型没有记录的因果通道。

这一支理论的可反驳命题是：高燃耗会改变包壳氢化物、脆化、裂变气体和燃料结构，安全限值应随辐照历史和后续工况重估。高燃耗改变燃料边缘结构、裂变气体、包壳氧化与氢化物状态；在冷却、运输或干式贮存时，温度—应力路径又会促使氢化物重取向，从而改变延性与破损模式。

2000 年代后期至 2010 年代的 NRC/DOE 高燃耗燃料试验与干式贮存示范测量包壳应力、温度和氢化物重取向，显示长期性能不能仅由初始材料手册外推。围绕“高燃耗燃料的包壳边界”的这些观察既提供测量入口，也暴露原数据边界；可迁移结论必须把有利样本、失败样本和不可判定样本放在同一分母中。

边界不能由初始材料手册或少量短棒试验外推。需要代表性燃耗燃料的积分示范、热循环和机械加载，并保留不确定区间；若包壳状态与燃耗历史不能预测后续韧性，现有限值就必须重估，而非只增加名义裕度。因此必须围绕“高燃耗燃料的包壳边界”做反向操纵：保持其他条件近似不变，只改变本条核心变量。若系统轨迹不随之改变，因果地位就被否定。

提高燃耗在经济上极具吸引力——同样的换料周期取出更多能量、产生更少乏燃料组件，但它把安全裕度的论证从「新燃料的性能」推到了「服役末期燃料的性能」，而后者的实验数据远为稀少且获取昂贵（须在热室中处理辐照过的样件）。由此产生的制度后果是限值的修改必须逐项论证，且往往附带运行条件的约束（升功率速率、瞬态历史）。经济收益因此不是自动的，它以运行灵活性的一部分作为交换。

与「九、乏燃料长期干式贮存的氯化物边界」构成一条前后相连的链：高燃耗改变的不只是堆内行为，还有出堆后的热负荷、内压与氢化物取向，而这些正是干式贮存与运输环节的输入条件。一处反向证据是氢化物再取向：在贮存过程中的缓慢冷却与应力条件下，氢化物可能转为径向排列，使包壳在后续搬运中变脆——这一现象在堆内评价里根本不出现。因此这条命题的检验必须跨越堆内与堆外两个阶段，用包壳失效数与高燃耗棒数之比来衡量。

辛、深地质处置的安全案例

这一理论出现前，领域常接受“乏燃料处置安全可以靠一个“百万年预测数值”证明，或只由单一工程屏障承担”这一判断。问题在于，近似的误差并不总是局部的，它可能经由正常运行、超设计基准事故、长期贮存与监管资源之间的耦合被放大并改变最终决策。由此产生的核心问题是：“深地质处置的安全案例”能否给出可预先验证的适用域。

这一支理论的可反驳命题是：长期安全应由场址地质、工程屏障、情景分析、自然类比、监测和制度决策组成多证据安全案例，并清楚区分可计算与不可约不确定性。安全案例把地质屏障、容器、缓冲材料、地下水情景、自然类比、质量保证和决策程序组成多证据论证；目标不是给出唯一未来，而是证明在一组可辩护情景下后果仍受限。

2006–2016 年芬兰、瑞典等处置项目把安全案例纳入许可与公众审查；模型可支持收敛，但极长时间尺度和社会可接受性不能被计算完全消除。这使“深地质处置的安全案例”获得了工程含义：它应当改变试验布置、监测变量或决策顺序，而不仅改变报告中的分类名称。

百万年尺度不存在直接实验验证，模型相关性和制度信任也不能由更多小数位消除。应公开替代情景、参数来源和独立审查；若安全结论只依赖一个不可复核模型或单一屏障，多证据案例就没有成立。最后还要检查全寿期转移效应。若局部风险、排放、成本或工作量只是被移到别的阶段，“深地质处置的安全案例”便没有解决问题，只是改变了问题出现的位置。

安全案例这一形式的真正创新在于它承认了不确定性的两类差别：可以靠更多数据收窄的，与无论如何都收不窄的（十万年尺度的气候、地质与社会变迁）。承认之后，论证的目标从「证明安全」变成「说明在何种假设下安全、以及这些假设如何被监测与修正」。这一转变使得公众审查第一次有了可参与的抓手——争论的对象是情景与假设，而不是一个无法验证的最终数字。芬兰与瑞典项目得以推进，与这套论证方式的可审查性直接相关。

与「十二、处置的可回取—封闭张力」是同一工程的两面：辛论证封闭之后的被动安全，十二处理封闭之前要不要留后路。两者共享同一个隐含前提——制度能延续到做出决定的那一天。一处反向证据是自然类比的可迁移性：天然反应堆与矿床提供了长时间尺度的证据，但其地球化学条件与工程屏障并不一致，类比只能约束模型的量级而不能替代场址数据。因此这条命题的检验量是可追溯的安全论证证据数占全部关键情景的比例。

这一幕追问先进堆型与数字化承诺在供应链、共因失效、老化、气候与长期责任下是否仍可验证。

一、SMR 的规模损失—系列学习边界

旧框架倾向于接受这样的默认：“小型、模块化、工厂造”三个标签足以保证更低度电成本和更短工期。它把难以测量的耦合留给安全系数、经验修正或事后解释；但在多单元、复合灾害、长期贮存与代际责任中，这些补丁可能互相冲突。新的理论必须把隐藏变量变成可观测、可干预并可失败的命题。

这一支理论的可反驳命题是：SMR 经济性取决于失去的单机规模经济能否被标准化、工厂学习、并行制造、融资分期和高利用率抵消；关键变量是连续订单，而非单个样机。SMR的单位成本由较小机组的规模损失与标准化、工厂学习、并行制造、融资分期和更短现场工期共同决定；系列被中断时，学习人员、工装和供应链都会流失。

IAEA 2020 年启动 SMR 经济评价合作项目，后续成本模型在首堆与第 N 台之间给出显著差异；敏感性分析显示订单中断会使学习曲线失效。支持证据的分量来自干预和对照，而不是相关性本身。需要继续核对的是，单位工时、建造周期、资金暴露与可用燃料能否在场景改变前给出稳定预告。

成本模型应公开首台与第N台的范围、订单节拍、融资与停工尾部，而不能只给成熟系列的目标值。若实际批次的工时和返工不随累计数量下降，或下降不足以覆盖单位规模损失，系列学习假说即被证伪。“SMR 的规模损失—系列学习边界”的适用域应由最不利而非最有利样本划定。若“SMR 的规模损失—系列学习边界”不能识别自身离开训练、许可或设计边界的时刻，它就不适合闭环决策。

把关键变量点明为「连续订单」，这条命题就从技术论证变成了产业政策论证：谁来承担前若干台的高成本，是政府、公用事业还是需要电的工业用户。各国的做法差别很大，而这一差别对最终电价的影响远大于堆型之间的技术差别。它还给出一个可以被证伪的近期观察点——若首批项目彼此设计不同、场址各异、订单零散，那么无论堆型多先进，学习曲线都不会出现，成本模型里的乐观分支应当直接被排除。

与「己、小型模块堆的工厂化假说」是同一件事的定量化，也与「五、HALEU 供应成为设计约束」相互牵制：即便订单足够，燃料供应跟不上，系列制造照样停摆。一处反向证据来自监管变更：首堆经验往往触发设计修改，而修改会重置一部分学习，这一效应在成本模型中通常被处理为一个乐观的常数。因此这条命题的可检验形式是第若干台单位成本与首台之比，并同时报出系列订单的实际兑现数与计划数。

二、微堆的远端用能边界

这一支工作的起点，是拒绝如下默认：把微型反应堆视为大型核电站的缩小版，并按大电网基荷逻辑评价。拒绝本身并不构成理论，关键是说明在正常运行、超设计基准事故、长期贮存与监管资源之间，哪一条关系会改变系统轨迹，以及什么结果足以推翻这条说明。

这一支理论的可反驳命题是：微堆的潜在价值在偏远矿区、孤网、热电联供或替代高成本燃料，但优势必须覆盖运输、安保、维护、人员和退役的全生命周期成本。微堆的比较对象不是大型电网中的低成本基荷，而是偏远地区昂贵燃料运输、孤网可靠性与工业热需求；小体量只有在替代成本很高且维护物流可组织时才可能成立。

2020 年代 DOE、IAEA 的微堆用例与试验项目比较偏远柴油基准，显示电价高和物流脆弱地区更可能成立；一般大电网中单位资本成本未必有优势。这些结果说明旧判据确有盲区，但尚未证明新判据普适。下一层验证必须跨越不同场址、机组、燃耗历史或长期试验，并保留原始失败记录与参数版本。

全生命周期必须计入运输、场址准备、安保、人员、备件、燃料服务和退役。若在真实负荷曲线下，可再生能源加储能或高效常规方案提供更低总成本与相当可靠性，远端用能优势就不成立。真正的反证不是性能下降一点，而是新判据无法在不同场址、机组、燃耗历史或长期试验中稳定区分两类结局；出现这种结果时，应回到机制而非继续调阈值。

微堆的经济论证有一个容易被跳过的项：安保。分散在偏远地点的核材料需要持续的实体保护与人员，而这项成本几乎不随功率下降而下降，因此它在小机组上的单位负担远高于大机组。同样不随规模缩小的还有许可与退役。把这三项算进去之后，微堆的适用边界会大幅收窄到「柴油极贵、物流极脆弱、且已有安保基础设施」的少数场景，这与它在宣传中被描述的通用性相差很远。

与「己、小型模块堆的工厂化假说」共享同一个规模逻辑，却在方向上相反：己靠复制换成本，二靠避开电网换价值，两者对「订单序列」的依赖程度不同。一处反向证据来自替代方案的进步：偏远地区的光伏加储能成本在同一时期快速下降，微堆的基准线因此是移动的，十年前成立的比较今天未必成立。所以这条命题的检验必须以当期的可靠供能小时与远端负荷总小时之比，与同期替代方案作对照。

三、风险知情、技术中性许可

进入近十年的讨论时，领域常接受“新型裂变堆必须逐条套用为传统轻水堆形成的部件清单和事故类别”这一判断。但“风险知情、技术中性许可”面对的是边界会移动的民用裂变系统：输入、状态与后果不再按原来的分工独立变化。问题因此变成，新判据是否能在部署前识别这种移动。

这一支理论的可反驳命题是：监管应先定义性能目标与可接受风险，再依据具体技术的物理机制识别许可基础事件、屏障和安全重要功能。技术中性方法先定义可接受后果和安全功能，再依据具体堆型识别许可基础事件、屏障与安全重要设备；它试图避免把轻水堆部件清单误当成所有技术的本体。

NRC RG 1.233 于 2020 年认可基于风险、性能和技术包容的方法（LMP/NEI 18-04）；争议在于通用风险指标能否覆盖新技术的未知失效模式。“风险知情、技术中性许可”若是机制而非项目经验，应在不同场址、机组、燃耗历史或长期试验中给出方向一致的事故序列频率、屏障裕度、共因失效与后果变化；只重现平均性能而不重现失效边界仍不够。

共同风险指标可能漏掉新冷却剂、材料、软件或运行模式的未知失效。许可应要求机制特定的现象识别与独立确认；若不同技术用同一抽象指标却产生不可比较的安全余量，技术中性便成了信息丢失。“风险知情、技术中性许可”还必须通过构型外验证。若换一台设备、一个场址或一个时间段后事故序列频率、屏障裕度、共因失效与后果的阈值大幅漂移，现有参数便不能直接移植。

技术中性许可要解决的是一个很实际的堵点：既有许可框架是围绕轻水堆的物理特性写成的，熔盐、高温气冷与钠冷设计在这个框架里处处不适配，逐条申请豁免的成本极高。改为先定目标、再由申请方论证达成路径之后，审查的重心从「是否符合条文」移到「论证是否成立」，这对监管方的能力要求显著提高——审查一份全新的论证比核对一张清单难得多，人力与专业储备成为新的瓶颈。

它是「甲、风险知情监管」在新堆型上的延伸，也与「六、数字仪控的共因失效」相互作用：技术中性并不豁免共因分析，反而因为设计新颖而更难给出可信的共因参数。一处反向证据是通用判据的可操作性：性能目标写得越通用，两个申请方对同一目标的论证方式差别越大，监管的一致性随之下降。因此这条命题的检验量应是满足性能目标的许可路径数与全部许可情景之比，并观察审查工时与设计变更数的比值是否真的下降。

四、多单元厂址级 PRA

“多单元厂址级 PRA”所纠正的，是这样一个看似朴素的判断：“事故概率可由各机组结果简单相加”与“只研究单一外部事件的独立后果”这两个极端判断。对“多单元厂址级 PRA”而言，这个判断把平均工况当作代表工况，却没有回答尾部事件、构型变化或长期退化出现后，结论是否仍然成立。

这一支理论的可反驳命题是：共享系统、共同灾害、事故进程相关性和人员资源竞争必须在联合状态空间中建模，风险指标应能够描述同时受损的多机组场景。厂址级PRA用联合事件、动态事故进程和共享资源模型描述同时受损的多个单元，并将人员、移动设备和公共系统的时间占用写入状态转移，而不是把单机结果事后相加。

2016 年后的 multi-unit PRA 方法用事件组合、动态模拟和贝叶斯网络分析共同失效；计算规模和稀缺数据使模型简化仍具有决定性影响。这项证据的关键产物不是单个数字，而是一条可复做的测量链：输入怎样改变状态，状态又怎样改变多日安全功能、共享资源和后果分布。

状态空间会迅速膨胀，稀有事件数据又不足，简化方式可能主导结果。应比较事件树、动态仿真和贝叶斯网络的稳健性；若合理方法给出的主导序列完全不同，厂址风险排序还不能用于精细资源配置。应为“多单元厂址级 PRA”安排一个与理论相冲突的挑战场景，而不只重复有利工况；若挑战后仍无法判定成败，测量体系本身需要先修正。

厂址级 PRA 的工程后果是把一批过去写在纸面上的假设变成了必须赋值的参数：一个班组能同时应对几台机组、移动设备被调往哪台、事故指挥在多机组情形下如何分权。这些数值一旦进入模型，就会反过来约束应急预案与人员配置。它的计算代价也很实在——联合状态空间随机组数指数增长，实践中只能靠情景筛选与动态模拟裁剪，而裁剪规则本身成为结论的一部分，必须与结果一并公开。

与「丙、多机组厂址风险」是方法与命题的配对，也与「十一、气候复合灾害的厂址韧性」共用同一类外部共因输入。一处反向证据是稀缺数据：多机组同时受损的历史样本极少，共因参数只能借用单机数据或专家判断，因此结果的不确定度可能比其给出的风险差异更大。这意味着厂址级 PRA 目前更适合用来排序改进措施，而不适合用来给出绝对风险值——检验量应是厂址级风险与单机风险之比，且必须附敏感性区间。

五、HALEU 供应成为设计约束

第二幕的清算从领域常接受“先进民用反应堆的燃料丰度和形态只是一项后端采购问题，不会影响设计与部署路径”这一判断开始。随着多单元、复合灾害、长期贮存与代际责任成为常态，名义合格与真实安全、成本或效力之间出现裂缝；“HALEU 供应成为设计约束”必须说明裂缝由哪个状态量造成。

这一支理论的可反驳命题是：当设计依赖高丰度低浓铀（HALEU）时，转化、浓缩、运输、燃料制造与许可产能会反向约束堆芯方案、时间表和商业规模。某些先进民用堆型依赖特定燃料丰度、形态和制造能力，燃料供应的建设、许可、运输和质量认证周期会反向决定设计冻结与投运节拍；“以后会有燃料”不是工程输入。

2020 年代多国先进堆项目与政府供应计划把 HALEU 可得性列为关键路径；项目推迟显示“燃料随后会有”不是可靠假设。从证据设计看，真正的推进是把反例纳入分母。若失败样本被排除，“HALEU 供应成为设计约束”的名义成功率就无法比较。

供应可用性应进入项目关键路径与备选设计，而不能只列为采购风险。若燃料能力延误会迫使堆芯重设、示范推迟或系列中断，供应链约束就必须在概念设计阶段结算；本条只讨论民用供应与项目可实施性。若采用“HALEU 供应成为设计约束”后只是把不可见风险移到供应、维护、废物或人工接管端，系统总账并未改善，理论的工程边界就被跨越。

把燃料供应写成设计约束，直接改变了先进堆项目的排期方式：燃料的浓缩、运输容器认证与制造许可各有各的提前期，且彼此串联，最长的一段决定项目最早的临界日期。项目方由此不得不在设计早期就作出一个不可逆的选择——是接受较低丰度带来的堆芯性能损失，还是承担燃料链的时间与政治风险。近年的项目推迟说明，「燃料随后会有」这条默认假设的代价已经被实测出来了。

它与「一、SMR 的规模损失—系列学习边界」相互牵制：系列制造需要连续燃料供应，而燃料产能扩张又需要看到确定的订单，二者互为对方的前置条件，构成一个典型的启动难题。一处反向证据是运输与容器：即便浓缩产能到位，符合许可的运输容器数量与路线审批同样可能成为瓶颈，而这一环几乎从不出现在燃料供应的讨论中。因此这条命题的检验量应是可获得的燃料质量与设计需求质量之比，并同时给出供应提前期与燃料周期的比值。

六、数字仪控的共因失效

过去可以按数字系统可通过软件复制轻易获得冗余，多个相同通道就等于独立防护来分配设计与验证工作。现在的问题是，正常运行、超设计基准事故、长期贮存与监管资源之间的反馈会使原本合理的局部优化改变系统轨迹；“数字仪控的共因失效”需要给出这种改变的方向、阈值和可测后果。

这一支理论的可反驳命题是：共享需求、代码、编译工具、通信和更新可能造成共因软件失效；多样性、防御深度和可审计开发过程比通道数量更关键。数字冗余可能共享需求、代码、编译器、处理平台、通信与更新流程；同一缺陷可同时触发多个通道错误，因而通道数目不等于独立防线。多样化设计与人工后备承担的是不同失效机理。

NRC 在 2010 年代末至 2020 年代持续更新数字 I&C 共因失效审查方法，许可案例要求证明多样化手段；软件失效率难以从历史频率直接估计。上述结果提供了一个可审计基准，但基准必须冻结数据版本、边界条件与统计口径；否则不同场址、机组、燃耗历史或长期试验之间的差异无法解释。

软件缺陷不能像机械件那样仅靠历史频率估计。应进行需求独立审查、工具链追溯、故障注入和多样化功能验证；若不同通道在同一异常输入下同步失效，数字冗余便是形式上的重复。另一条反证来自时间顺序：若状态估计覆盖率、误报率、构型一致性与剩余裕度总在最终结果之后才变化，它只能作诊断读数，不能被称为控制变量。

数字仪控的共因问题把「更多通道等于更安全」这条直觉打断了：四个通道若跑同一份代码、由同一套工具链编译、按同一份需求写成，它们在同一个触发条件下会一起错。由此引出的监管要求不是增加通道，而是证明多样性——不同的需求推导、不同的实现团队、乃至不同的技术手段（保留一条模拟或硬接线的后备）。这条要求显著抬高了数字化改造的成本，也是许多在役电厂仪控升级迟迟不推进的直接原因。

与「乙、被动安全的失效独立性」是同一判据在软硬两侧的应用：数量上的冗余不等于失效上的独立。一处反向证据是软件失效的统计性质——它没有硬件那样的失效率概念，同一段代码在同一输入下必然重现同样的错误，因此把软件可靠性写成概率并纳入 PRA 至今存在方法学争议。这使这条命题的可检验形式只能是过程性的：独立验证覆盖率与关键功能之比，加上多样性论证是否覆盖了需求这一层，而不是一个失效概率数。

七、核电数字孪生的可追溯性

这条新理论并非因为旧方法完全错误，而是因为把任意实时仿真或三维可视化称为核电数字孪生，并忽略模型版本、传感器质量和许可依据只在特定边界内成立。边界一旦扩展到多单元、复合灾害、长期贮存与代际责任，遗漏项便可能主导结果；因此必须重估“核电数字孪生的可追溯性”的控制量。

这一支理论的可反驳命题是：用于状态监测或寿命决策的孪生必须保留数据来源、模型变更、校准区间和不确定性，任何建议都能追溯到可审计证据链。用于核电决策的孪生必须把当前构型、传感器校准、模型版本、边界条件和不确定性绑定在一起；每次状态估计都应能追溯到数据来源，并说明模型在哪些工况外拒绝判断。

2020 年代 DOE 轻水堆可持续性项目将在线监测、降阶模型与资产管理结合；示范同时显示老旧仪表和稀疏故障数据限制可信更新。证据的下一步不是再列更多案例，而是验证状态估计覆盖率、误报率、构型一致性与剩余裕度在外部场景中是否仍先于最终后果发生变化。

老旧仪表、替换部件和软件更新会使“实时”模型描述错对象。应以已知缺陷和传感器失真做盲试；若孪生无法识别构型错配或在域外仍给出高置信建议，可追溯性就不足以支撑维护或寿命决策。模型应在不知道结果时给出区间预测。若真实结果长期落在区间外，而每次都靠重新校准恢复拟合，“核电数字孪生的可追溯性”就没有前瞻能力。

核电孪生与其他行业孪生的差别不在算法，而在举证：一条基于孪生的延寿或推迟检修建议，必须能在若干年后的审查中被完整还原——当时用的是哪一版模型、哪一段数据、传感器的校准状态如何。因此构型管理与版本记录不是配套工作，而是这项技术能否进入决策链的前提。已经出现的失败模式是模型跑得很好但无人能证明它对应的是哪一版实物构型，于是结论在审查阶段被整体退回。

与「八、在线老化状态估计」是同一条链的两段：八给出剩余裕度的估计，七保证这个估计可被追溯与复核。共同的软肋是稀疏故障数据——核电设备失效样本极少，退化模型的置信区间往往比点估计更重要，而运行人员更倾向于读那个点估计。一处反向证据是老旧仪表：许多在役机组的传感精度与采样率并非为数据驱动模型设计，数据质量本身构成上限。因此检验量应是构型一致的模型数占在役构型总数的比例。

八、在线老化状态估计

围绕“在线老化状态估计”，旧方法的核心假设是设备寿命主要由固定周期检验和保守日历年龄决定，运行历史差异只作附注。它省去了难以获得的数据，却也省去了正常运行、超设计基准事故、长期贮存与监管资源之间之间的反馈。真正要检验的是，补回这些反馈后，设计或决策排序是否系统改变。

这一支理论的可反驳命题是：应结合温度、振动、化学环境、无损检测和物理退化模型持续估计剩余裕度，把维护从定期更换转向风险知情状态管理。状态估计把温度、振动、化学环境、无损检测与物理退化模型同化，试图用设备实际经历替代固定日历年龄；关键输出不是单一剩余寿命，而是随新数据更新的裕度分布。

2016 年后的电缆、泵阀和大型构件监测试验用数据同化更新退化参数；少见失效与传感漂移使置信区间往往比点估计更重要。这使“在线老化状态估计”可以被用于预测而不仅用于描述：预注册的阈值应在不同场址、机组、燃耗历史或长期试验中区分两类结局，并报告误判。

失效样本稀少、传感漂移和维修选择会造成验证偏差。应预先锁定预测，在后续检验中比较覆盖率和误报；若置信区间不能覆盖真实退化，或模型总在检验后才被修正，状态管理只是事后拟合。还要检查“在线老化状态估计”的反事实：不用这条新判据、仅增加相同数据与算力，是否得到同样决策；若答案为是，新理论只是重新命名。

从定期更换转向状态管理，收益是显而易见的（减少不必要的更换与停机），代价则落在举证上：定期更换的合规逻辑简单明了，状态管理却要求每一次延后都有证据支撑，而证据的置信区间往往很宽。实践中因此形成一种折中——用状态估计来决定检查的重点与频次，而不直接用来延长更换周期。这条折中虽保守，却是目前唯一能被监管接受的用法，也提示这类技术的落地顺序是先改检查、后改更换。

与「七、核电数字孪生的可追溯性」共用同一套证据要求，与「庚、高燃耗燃料的包壳边界」则共享同一个方法学难题：都要把服役历史转换成当前裕度。一处反向证据是传感器漂移：退化模型会把缓慢漂移的测量当作真实退化学进去，从而给出越来越保守或越来越乐观的估计，且两种方向都不会自我暴露。因此这条命题的检验必须是预测剩余寿命误差与实测剩余寿命之比，并单独统计误报数与监测点数。

九、乏燃料长期干式贮存的氯化物边界

领域常接受“干式贮存容器在几十年至更长期延寿中只需证明初始结构强度和密封完整”这一判断。然而在多单元、复合灾害、长期贮存与代际责任中，工程对象会改变自身状态、供应、环境或使用方式；“乏燃料长期干式贮存的氯化物边界”由此不再是静态性能比较，而是对状态轨迹的解释。

这一支理论的可反驳命题是：沿海环境的盐沉积、温湿循环和残余应力可能触发不锈钢罐氯化物应力腐蚀开裂，寿命评价必须联接环境、裂纹萌生与可检性。沿海盐沉积、适宜湿度和焊接残余拉应力可能共同触发不锈钢罐的氯化物应力腐蚀开裂；寿命取决于盐到达、潮解、裂纹萌生、增长与可检性的连续链条。

2017 年后的 NRC 与实验室研究开展盐沉积、焊接残余应力和裂纹增长试验；真实场址萌生时间分布仍缺少长期数据。这些工作还说明，名义相同的设备、算法或燃料路径并不保证状态相同；必须把氧化速率、延性、裂纹增长与可用应对时间与具体构型和运行历史绑定。

真实场址的萌生时间分布和隐蔽表面检测能力仍不足。应把环境监测、全尺寸焊缝试验和在役检查联结；若模型不能预测哪些罐体先出现可检裂纹，长期贮存裕度就不能只靠加厚或名义年限声明。可证伪的边界应写进试验方案：当氧化速率、延性、裂纹增长与可用应对时间未达到预定改善或尾部风险上升时，立即判定本条主张在该场景失效。

这一条把乏燃料干式贮存从「几十年过渡方案」推回到一个需要长期论证的工程问题：容器原本按数十年设计，而在没有处置库的国家实际贮存时间正在无限延长。由此产生的现实要求是可检性——焊缝区域能否在不卸载燃料的情况下被检查、发现裂纹后有无修复手段。目前这两项都还没有成熟方案，因此监管的重点转向环境监测与老化管理计划，即在缺乏直接检查手段时，用环境证据代替部件证据。

它与「庚、高燃耗燃料的包壳边界」在同一个贮存场景中交汇：容器外壁的腐蚀与内部燃料包壳的氢化物再取向是两条独立却同时推进的老化路径。一处反向证据是萌生时间的不确定：实验室加速试验能给出裂纹扩展速率，却难以给出真实场址的萌生时间分布，而后者决定了风险何时开始。因此这条命题的可检验形式应是裂纹增长速率与贮存年数之比，加上失效罐数与罐年之比，且必须声明数据来自加速试验还是现场。

十、退役即信息保存工程

早期规则隐含了一个分离假设：退役只是把设备拆除并把废物分类，设计与运行知识在停堆后价值迅速下降。当正常运行、超设计基准事故、长期贮存与监管资源之间无法再被分开结算时，“退役即信息保存工程”必须用同一系统边界解释收益、代价与失效，而不能只挑一个有利读数。

这一支理论的可反驳命题是：准确的构型、污染史、材料清单和剂量地图可减少切割试探与废物体积；信息连续性本身是退役资产。构型记录、材料清单、污染史、剂量地图和历次改造可以减少探索性切割、废物保守分类与人员暴露；信息不是附属文件，而是影响退役工序和废物体积的工程资产。

2016 年后 IAEA 与多国退役项目推广三维扫描、数字记录和材料表征，比较显示早期信息缺失会增加现场调查、工期和人员暴露。支持结论的关键是对照组共享同一系统边界。若边界一变，优势便来自遗漏的投入或后果，“退役即信息保存工程”就尚未被独立验证。

旧图纸可能与实物不符，格式会过时，关键知识还存在于人员经验中。应以现场抽查验证数字记录，并长期保存语义与版本；若信息系统不能减少调查时间、暴露或废物量，信息连续性的工程价值就没有得到证明。若只有发明团队、特定软件或专有数据能得到结果，而不同场址、机组、燃耗历史或长期试验无法独立完成，“退役即信息保存工程”尚未成为公共工程知识。

把信息连续性当作资产，最直接的政策后果是它把成本从退役阶段前移到了运行阶段：三维扫描、材料清单与污染史的维护要在机组还在发电时就做，而当时没有任何人从中获益。这正是它难以推行的原因——收益在三十年后，成本在当期。少数把退役基金与信息保存要求绑定的做法，是目前唯一被证明有效的制度设计。它同时提示新建机组应从设计阶段就规定记录格式与保存期限，否则同样的问题会在下一代重演。

与「七、核电数字孪生的可追溯性」是同一条纪律在两个时间尺度上的表现：一个服务于当下决策，一个服务于三十年后的拆解。一处反向证据是格式过时：三十年前的记录即便被保存，其载体与格式也可能已无法读取，信息保存因此不是一次性动作而是持续迁移的义务。因此这条命题的检验量应是可读取的历史记录数占退役关键决策总数的比例，而不是归档文件的数量——存了多少与能读多少是两回事。

十一、气候复合灾害的厂址韧性

旧框架可概括为洪水、极端高温、干旱、山火等外部事件可分别按历史频率独立评估。它适合冻结设计和边界，却不适合多单元、复合灾害、长期贮存与代际责任中的连续更新与相互作用。“气候复合灾害的厂址韧性”的任务，是把更新何时改变结论写成可观测命题。

这一支理论的可反驳命题是：厂址安全应考虑长期基线变化和复合事件对冷却水、电网、交通与人员的共同影响，并检验安全功能在连续多日压力下的可维持性。高温、干旱、洪水、山火和电网失效会通过冷却水、输电、道路与人员共同作用；长期基线变化还会使历史重现期失去稳定含义。厂址韧性因此关注连续多日维持安全功能的能力。

2020 年代监管与审计报告要求更系统考虑气候影响；场址重评显示历史记录不足以唯一确定未来极值，适应措施需用情景而非单点预测。对“气候复合灾害的厂址韧性”，证据承担的是校准功能：它应告诉工程师何时相信模型、何时扩大多日安全功能、共享资源和后果分布的不确定性，以及何时拒绝继续外推。

情景不能被一个“最可能未来”取代，也不能无限扩张到不可设计。应使用多模型情景和阈值压力测试，明确何时启动适应；若不同合理情景下主导脆弱点完全不稳定，适应决策必须保留可逆性和监测触发。“气候复合灾害的厂址韧性”还应比较短期与长期轨迹；若早期收益随后被退化、适应或维护负担反转，结论必须按全寿期而非初期窗口重写。

这条要求把厂址评价的方法从「查历史记录取极值」改成「用情景做压力测试」，两者的差别在于前者给出一个数、后者给出一条曲线与一组假设。它带来的直接工程动作是复核取水口的低水位、冷却塔在高湿高温下的能力、以及厂外电源在区域性热浪中的可用性。更麻烦的是持续时长——多数安全分析针对的是数小时到数天的事件，而热浪与干旱以周计，安全功能能否在连续压力下维持，是一个此前很少被问的问题。

与「丁、超设计基准事故的纵深防御」直接耦合：可移动设备是应对复合灾害的主要手段，而复合灾害本身会削弱它的可用性。一处反向证据是相关性：气候情景中的高温、干旱与电网紧张往往同时出现，而传统的外部事件分析把它们当作独立的初因事件分别评估，结果会低估同时发生的概率。因此这条命题的检验量必须是复合灾害下安全功能的保持时长与灾害持续时长之比，而不是单一灾种的设计裕度。

十二、处置的可回取—封闭张力

深地质处置的治理长期被迫在两种极端之间选择：尽快封闭，以缩短制度依赖；或长期保持可回取，以便未来技术和社会判断能够修正今天的决定。两者都抓住真实风险，却没有说明可回取窗口何时由学习资产变成屏障负担。核心问题因此是：能否把“可逆决策”写成分阶段、可触发、可终止的工程程序，而不是无限延期的口号。

这一支理论的可反驳命题是：分阶段实施可在学习、公众信任和长期被动安全之间安排可回取窗口；可回取性本身也会引入监测、制度延续和屏障扰动风险。分阶段处置允许在一段时间内监测、学习和必要时回取，但开放通道、持续通风和制度依赖也可能削弱被动安全；封闭越早，未来选择越少，治理负担却越短。

2016 年后法国、芬兰、瑞典等项目的许可与设计讨论把分阶段决策写入安全案例；各国对何时封闭和谁有权逆转仍无统一答案。因此，不同场址、机组、燃耗历史或长期试验中的重复不仅要看结果方向，还要比较阈值、尾部和失败方式；三者不同，所谓复现可能只是表面相似。

争议不是抽象支持或反对可回取，而是窗口多长、由什么技术读数触发、谁有权暂停或逆转。应在许可前定义监测期限、回取阈值、封闭条件和责任转移；若可回取要求无限期机构稳定、持续开放通道或反复扰动屏障，分阶段收益就可能小于新增风险。反过来，若提前封闭使任何新证据都无法进入决策，所谓被动安全也可能以不可纠正为代价。

可回取窗口的争论表面上是技术的，实质是关于制度寿命的赌注：留下回取的可能，意味着必须假定后代仍有能力与意愿维持监测、资金与决策机构；封闭则意味着把安全完全交给被动屏障。两种选择都要求对一件无法验证的事作出判断。已有项目的做法是把它写成分阶段决策点，并规定每个阶段要收集什么证据才可进入下一阶段——这把一个不可判定的问题转换成了一串可执行的步骤。

与「辛、深地质处置的安全案例」是同一工程的两半：辛论证封闭后的被动安全，十二安排封闭前的可逆性，而可回取所需的通道与支护本身会扰动屏障性能。一处反向证据是监测的代价：为保持可回取而延长的开放期，需要通风、支护与人员长期在场，其自身的职业照射与事故风险并不为零。因此这条命题的可检验形式应是可回取窗口占处置总寿命的比例，加上封闭后干预次数与情景数之比。

◎ 二十年连起来看

第一幕把民用核安全从“设计基准内逐项合规”改写为风险、屏障和厂址的系统证据：风险知情监管重新分配审查注意力，被动安全和多机组风险检查防线是否真正独立，超设计基准措施把恢复能力纳入纵深防御，燃料、处置与工厂化则把材料寿命和部署序列带进设计。第二幕进一步追问先进堆型、数字化与长期责任能否在真实供应链、软件共因失效、几十年老化和复合气候压力下保持同一安全主张。

被继承的判据是不能把名义冗余当成失效独立，不能把短时合格外推成全寿期安全，也不能把样机可行外推成系列可部署。被动安全与数字仪控都要求排除共因，事故容错燃料与干式贮存都要求沿温度—应力—时间追踪材料，SMR工厂化与HALEU供应则共同说明设备设计与产业序列不可分离。

被推翻的默认包括：单机组风险可简单相加、被动系统不会共同失效、工厂制造必然降低SMR成本、实时数据天然形成可信孪生，以及深地质处置可以由一个长期预测数字一次证明。两幕都没有彻底解决的问题，是怎样在低频高后果、数据稀少和跨代时间尺度下，使模型、组织和材料证据既足够保守又不阻止可验证改进。

◎ 三个常见误解

误解一：风险知情意味着以概率替代确定性安全底线。 正确读法是，PRA用于识别总体风险贡献和变更影响，纵深防御、屏障和安全裕度仍是底线。误读来自风险数字容易被传播成一个“允许值”，而其模型范围和不确定性常被省略。

误解二：被动安全等于不需要验证。 正确读法是，被动系统减少主动设备和外部支持，却仍受自然循环、阀门、库存和共同环境控制。误读来自“无需操作”被偷换成“没有失效条件”。

误解三：SMR或微堆只要技术可行，经济性就自然成立。 正确读法是，首台成本、连续订单、燃料供应、许可、远端替代成本和退役共同决定结果。误读来自把成熟系列的目标成本提前赋给单个示范项目。

◎ 与相邻领域的接口

与材料科学与工程的接口在辐照、包壳、涂层和长期贮存材料。核工程给出事故和寿期场景，材料工程必须证明组织与裂纹怎样演化；见相邻面板〈240 材料科学与工程〉的“界面相工程”和“四维原位失效”。

与系统工程与管理科学的接口在安全案例、数字线程、构型和持续保证。核电孪生只有与权威构型和论证有效期绑定才可用于决策；见相邻面板〈245 系统工程与管理科学〉的“论证型安全案例”和“持续保证案例”。

与电气与电力工程的接口在外部电源、孤网、黑启动与核电灵活运行。场内安全功能会受到电网事件和电力电子化背景影响；见相邻面板〈239 电气与电力工程〉的“构网型变流器”和“低惯量不是单一惯量数”。

与运筹学与工业工程的接口在低频风险、维护与系列部署。风险知情检修和SMR订单学习都需要在不确定分布下决策；见相邻面板〈244 运筹学与工业工程〉的“样本外证书”和“参照场景下的鲁棒决策”。

◎ 争议现场

第一场争论是先进堆许可应多大程度采用统一风险指标。支持者认为性能目标可避免把旧部件清单强加给新技术，反对者担心未知失效被抽象指标遗漏。要收敛，需要把同一后果目标下的机制识别、实验覆盖和独立审查公开比较。

第二场争论是SMR系列学习能否可靠抵消规模损失。支持者强调工厂重复和分期融资，反对者强调首台定制、订单中断和供应链重置。要收敛，需要真实批次的工时、返工、许可变更和取消项目数据，而不是只比较目标成本模型。

第三场争论是长期处置中的可回取窗口应多长。支持者强调学习和未来选择，反对者强调制度依赖和屏障扰动。现有数据不能把社会治理与地质安全压成同一数值；需要预先定义触发条件、监测终点和封闭责任，才可能形成可审查选择。

◎ 往下五年看什么

观察点是厂址级PRA是否开始同时报告共享资源、人员时序和多灾种相关性，而不是把单机组结果简单相加。可统计联合场景对风险排序的实际改变幅度。

观察点是先进堆项目是否把燃料供应、首台与第N台成本、订单节拍和许可变更放进同一公开基线。若仍只给成熟系列目标值，工厂化假说尚未接受工程检验。

观察点是核电数字孪生是否能通过构型错配、传感器失真和已知缺陷的盲试。决定性读数是拒绝错误建议的能力，而不是仪表板刷新频率。

观察点是长期干式贮存与处置是否形成跨年代可复核的材料和信息证据链，包括环境监测、检查覆盖、模型版本和数据语义保存。

◎ 可与哪些领域对撞

本块“风险知情监管”可与第149号《会计与审计》的“内部控制审计的成本与信息含量”对撞。两者共享的预设是：稀缺监督资源应按风险贡献分配而非平均分配。相反点在于：核监管用概率风险评价排序检查重点，审计制度却可能用统一程序保证形式可比。若两边都成立，监管充分性不能用检查次数衡量，而要用每单位监督资源降低了多少残余风险来衡量。

本块“核电数字孪生的可追溯性”可与第048号《AI安全与对齐》的“评估成为基础设施”对撞。两者共享的预设是：高后果模型必须持续证明自己仍对应真实系统。相反点在于：核电孪生强调构型控制与来源链，对齐评估强调部署后行为可能因环境改变而漂移。若两边都成立，孪生的每次模型更新都应触发影响分析、独立挑战与可回滚证据，而不是只提高拟合度。

本块“小型模块堆的工厂化假说”可与第074号《因果推断》的“局部处理效应的含义被讲清”对撞。两者共享的预设是：一个场景中的成本效应不能自动外推到另一种制度与规模。相反点在于：小型模块堆以系列学习抵消规模损失，因果推断则要求说明学习发生在哪一批、哪一供应链与哪一监管环境。若两边都成立，成本论证必须把首台、首批与成熟系列分开，并给出订单中断时效应如何消失。

◎ 十条可做的研究命题

被动安全系统的共同环境变量会主导名义冗余；在长时间失电综合试验中同时扰动阀门、非凝结气体和最终热汇；若多道防线仍近似独立，则命题被证伪。

厂址级PRA会改变应急资源优先级；用联合演练数据比较单机相加与共享资源模型的排序；若两者长期一致，厂址级模型的决策增量不成立。

SMR成本下降取决于连续订单而非累计概念数量；跟踪真实批次工时、返工与中断；若订单节拍不影响学习率，则系列学习边界需重写。

风险知情、技术中性许可会减少无关合规而不降低场景覆盖；对同一先进堆并行开展传统映射与性能目标审查；若后者遗漏更多主导失效，命题不成立。

ATF的系统价值由新增应对时间决定；在代表性燃耗和事故序列中比较候选与基准燃料；若延迟不足以改变恢复动作，容错收益被证伪。

数字仪控的功能多样性比通道数量更能降低共因风险；对相同硬件分别配置同质与多样化实现并做故障注入；若同步失效率不变，命题不成立。

核电孪生的构型追踪可减少错误维护建议；随机植入部件版本错配和传感漂移；若系统不能显著提高拒绝率，可追溯性增量被证伪。

氯化物应力腐蚀的萌生顺序可由盐、湿度与残余应力联合预测；在全尺寸焊缝上做盲排序；若实际首裂位置无关，寿命模型需重构。

退役数字记录可降低人员暴露与废物体积；对相似区域采用完整信息与常规调查两种流程；若工时、剂量和分类差异不显著，信息资产命题不成立。

可回取窗口的净价值存在有限最优区间；把屏障扰动、监测收益和制度失效放入分阶段决策模型并用项目数据校准；若净价值随窗口单调变化，张力模型被证伪。

◎ 资料核验

正文中的人名、年份、设计、读数与制度文件依据下列原始论文、标准和官方资料核对；正文六段字数不含源行、碰撞行与本资料表。

下列资料与正文源行逐条对应，便于复核提出者、年份、卷页、读数与制度版本。