我国的核安全法规和国外都针对核电厂安全分析程序的范围进行了明确说明。核电厂安全分析软件是指在核电厂设计和安全分析中所使用的相关计算机软件，一般不包括用于解释研究实验结果的软件、核电厂实时监控软件和仪控系统的支持软件。目前，我国主要的核电安全分析软件主要包括1989年随大亚湾核电厂一同引入的法国软件、1998年随秦山三期核电厂引入的加拿大软件、1999年随田湾核电厂引入的俄式软件以及2009年AP1000的美国西屋设计软件。

核安全导则《核动力厂安全评价与验证》(HAD102/17)中的4.6节“使用的计算机程序的评价”中 [2] ，规定了用于核安全分析中使用的计算机程序，通常包括：

· 放射学分析程序：评估工作人员遭受的辐照剂量；

· 中子物理程序：模拟反应堆堆芯的行为；

· 燃料行为程序：模拟核动力厂正常运行期间及事故后燃料元件的行为；

· 热工水力程序：模拟核动力厂正常运行及事故发生后反应堆堆芯及相关冷却剂系统的行为；

· 安全壳热工水力程序：模拟冷却剂丧失或二回路管道破裂后安全壳压力和温度的行为；

· 结构程序：模拟各部件和构筑物在载荷及载荷组合下的应力应变行为；

· 严重事故分析程序：模拟自堆芯损坏至安全壳失效的事故序列进程；

· 放射性后果分析程序：模拟放射性物质在厂区内外的迁移，以确定其对工作人员及公众的影响；

· 概率程序：构筑逻辑模型，以确定在假设始发事件后可能发生的事故序列并估计其发生频率；

· 其他需要认可的核安全分析相关的计算机程序。

同时，国外核安全监管方也对核电厂的相关安全分析软件的给出对应分类建议，如美国核管理委员会就将核电厂安全分析软件分为9类，具体包括： 概率评价分析软件；燃料行为软件；反应堆动力软件；热工水力软件；严重事故软件；设计基准事故软件；应急准备及响应软件；健康影响/剂量计算软件；放射性核素运输软件(用于许可终止和退役)。且上述软件监管还可根据应用范围和情况分为通用商业软件和专门软件监管。两者的监管流程和内容也存在不同之处，需要进行适当调整。按照软件的开发修改情况，相关软件还可分为已开发软件的适用范围改变、已开发软件的修改、新软件的开发等不同情况。

我国与核电厂安全分析软件相关的法规及标准主要包括如下内容，如表2所示。

《核动力厂安全评价与验证》(HAD102/17)对安全分析中使用的计算机软件进行如下规定：

1) 工程设计使用大量软件工具，如图表、单线图、公式、算法和计算机程序(中子物理学、流体动力学、结构分析等)。这些工具以及其中所用的数学模型应该遵守相应的质量保证大纲，包括其在本导则第4章(4.6.1~4.6.8)中所描述的计算机程序的验证与确认。

表2. 核电厂安全分析软件法规标准

2) 应该对用于预计运行事件和设计基准事故分析的计算机程序进行适当地验证和确认。用于预计运行事件和设计基准事故分析的计算机程序应该引用从类似的核动力厂获得的运行经验和相关的实验数据。

3) 4.6节“使用的计算机程序的评价”则对安全分析中使用计算机程序的范围、评价、验证、确认等提出了明确要求。在安全分析中使用的所有计算机程序都应予以确认和验证。

关于计算机程序，应该确定：物理模型和简化假设合理；关系式合理，适用范围确定；程序的适用范围已确定。数值方法具有足够精度；系统的方法应用；已按照程序的技术规格对源程序进行了评价(对于大型程序可能无法实现)。

4) 关于计算机程序的输出结果，应该确定程序的预测结果已经与以下数据和程序进行了比较：重要现象的实验数据，包括“单项效应”和 “整体”实验比较；核动力厂数据，包括调试或启动期间试验，以及运行事件或事故；独立开发的和使用不同方法的其它程序；标准题和/或数值基准。

5) 对于程序的使用者，应该保证：足够的培训并且理解所使用的程序；有足够的程序使用经验；有合适的程序使用手册；已经用该程序对标准题进行分析。

6) 关于计算机程序的使用，应该确定：节点化和核动力厂模型能很好地反映核动力厂的行为；输入数据正确；正确理解和使用程序的输出结果。

此外，而对于软件开发则有通用的国家标准《计算机软件产品开发文件编制指南》(GB 8567-88)，规定了文件的编制指导和各种文件的内容要求。

美国核管理委员会(NRC)的法律法规和相关技术文件等监管文件，很多涉及到安全分析软件的认证和评价的相关内容，其中主要强调了软件的质量保证、软件模型的认证和评价等方面。以下简述其中主要的法律法规和技术文件。

10.CFR 50. 附录B，核电厂和燃料后处理厂质量保证准则，要求对软件的开发与维护必须在质量保证大纲的监督下进行，质量保证大纲必须满10.CFR50.附录B的要求 [3] 。

10.CFR 50. 附录 K (2000) 应急堆芯冷却系统的评价模型。提出对核电厂的应急堆芯冷却系统行为模拟的评价模型的物理模型选择方面的要求，并对模型的保守要求进行了详细规定 [4] 。

RG 1.203瞬态与事故分析方法。该导则针对核电厂在其设计基准范围内的事故及瞬态工况的分析以及相关评价模型的开发与评价的过程的提出了要求 [5] 。从软件工程的开发规范和质保要求的角度出发，要求核电厂用特别是用于核电厂安全系统用的计算机软件开发流程必须具有最高可信度。为用于核电厂设计分析的评价模型的开发和评估过程提供指导。

NUREG-0800：SECTION 15.0.2安全分析程序的审评。该导则描述了执照申请者用于事故与瞬态行为的解析模型与计算机程序的审查过程与接受准则。审评的目的在于验证评价模型足以对所考虑的事故进行模拟 [6] 。

DG-1120 瞬态和事故分析方法。该文件说明相关质保文件的要求，其包括：模型评价要求报告；模型评价方法；程序说明手册；用户手册和用户指南；缩比报告；评估报告；不确定性分析报告。对于通用的瞬态分析计算机程序，如RELAP5、TRAC、RETRAN，可以对这些程序进行一定的模型评价开发和过程评估以确定其适用性。

国际原子能机构(IAEA)也在其法规和技术文件体系中涉及了关于安全分析软件的相关内容。此处也将其中主要的文件简述如下。

· IAEA，NS-G-1.2 (2005) 核动力厂安全评价与验证

导则对假设始发事件、预期运行事件和设计基准事故、敏感性和不确定性分析、使用的计算机程序的评价等内容给出了原则要求。

· IAEA，No. NS-G-1.1 (2000) 核动力厂基于计算机的安全重要系统软件

导则对基于计算机的安全重要系统的软件提出相关技术建议，并对软件在上述系统的应用可能导致潜在的利弊、安全性和可靠性问题进行了论述。以及开发该项目的组织条件。

· IAEA，No. SSG-2 (2010) 核动力厂确定论安全分析

导则的目的是为设计、运行、监管人员和技术支持机构使用确定论安全分析提供指导，其内容包括了计算机程序的验证与确认(Verification & Validation)的要求。

程序的确认用于证明程序设计是否遵从程序的需求，以保证其数值方法、求解流程、用户的权限及约束与需求一致。应对设计概念、基本逻辑、流程图、数值方法、求解流程、计算机运行环境进行评审。所有的确定论安全分析的程序必须经过验证。验证程序的参考数据的来源包括分析解、实验、电厂、基准算例库。验证的过程包括两个阶段：开发阶段，由程序开发者评价程序；独立评价阶段，由与程序开发独立的验证方执行。验证的范围应与程序的目标范围一致，根据程序的复杂性与物理现象的复杂性，程序使用者对计算结果进行评价。在验证报告中指出验证的范围、程序的限制、程序能满足的需求。验证的结果用于确定程序的不确定性。

· IAEA，No.SSR-2/1(2012)核电厂安全：设计特定安全要求

安全的主要技术设计准则的要求，包括：对基本安全功能、实施纵深防御和建造准备的要求；对安全与核安保以及与国家核材料衡算和控制系统相互接口的要求；以及对确保由核电厂引起的辐射危险水平保持在可合理达到的尽量低的要求。反应堆堆芯、反应堆冷却剂系统、安全壳系统以及仪器仪表和控制系统等电厂特定系统的设计要求。安全分析必须提供关于已经在电厂设计中充分考虑了各种不确定因素的保证。如果核电厂的安全重要系统依赖于基于计算机的设备，则必须制订开发和测试计算机硬件和软件的适当标准和实践并在该系统的整个使用期内特别是软件的整个开发周期执行这些标准和实践，必须将整个开发工作纳质量管理系统的管理。

· IAEA，TECDOC-1539

导则对耦合程序(coupled codes)的认可方法进行了讨论。说明了耦合程序的确认活动通过耦合程序的结果与实验数据和其他程序的结果进行比较完成，并建议了验证所需要的工作内容。也同时要求针对不确定性进行分析和敏感度进行分析。

美国核管理委员会(NRC)对西屋公司的安全分析软件的认可流程如图1所示。

图1. NRC审查安全分析软件的一般流程

在审查西屋公司AP1000核电厂的安全分析报告时，西屋公司向NRC提交的专题报告WCAP-15644-NP，“AP1000程序应用报告”以便NRC审查 [7] 。该报告分别就AP1000中使用的计算机程序：用于破口失水事故(LOCA)的NOTRUMP和WCOBRA/TRAC、用于长期冷却的WCOBRA/TRAC、用于安全壳完整性分析的WGOTHIC等软件的应用做了评价。

1) WCOBRA/TRAC程序对AP1000的验证

这部分主要介绍了AP1000的大LOCA现象，对WCOBRA/TRAC用于AP1000LBLOCA分析的程序验证和WCOBRA/TRAC用于AP1000长期冷却分析的程序验证进行详细的描述，重点介绍了NRC对该程序在AP600中的接受以及对AP1000的分析的可接受性，最后评价了DG-1906相关的问题。最终NRC认为：WCOBRA/TRAC程序，满足于10CFR50.46要求的AP1000应急堆芯冷却系统的性能分析，可用于AP1000的最佳估算分析。

2) 对NOTRUMP验证

这部分重点描述了AP1000的NOTRUMP程序可接受性，包括现象问题、缩比问题、裕量问题等在AP1000中的解决方式，并讨论了相关方法的评价，最后NRC认为：NOTRUMP程序可用于AP1000的小LOCA事件的保守分析。

3) WGOTHIC对AP1000安全壳完整性分析的适用性

NRC认为WGOTHIC程序在西屋公司的早期核电厂设计AP600中获得批准，和AP600相比，对安全壳完整性的挑战(即大LOCA和小的蒸汽管线破裂)在AP1000中没有新的现象，能够支持AP600程序验证的实验数据适用于AP1000。况且，AP600设计认证审查时的问题的解决方法适用于AP1000。使用WGOTHIC分析时，AP1000对安全壳设计压力有足够的裕量。WGOTHIC程序可用于AP1000的安全壳分析。

SCIENCE V2程序包用于进行压水堆堆芯设计、安全分析和堆芯负荷的堆芯物理计算，包括输运程序APOLLO2-F、堆芯计算程序SMART以及图形用户界面程序COPILOTE。FRAMATOME向NRC进行程序执照申请时提交的程序认可相关文件包括有物理模型报告(Science V2 Physical models)和程序认可报告(Science V2 Qualification report) [8] 。

上述文件中，物理模型报告主要描述程序所采用的物理模型、理论公式和数据数值。程序认可报告陈述APOLLO2-F程序和SMART程序的所进行的验证活动，APOLLO2-F通过实验、基准比较对程序功能分别进行验证；SMART程序主要通过对计算数据和测得数据进行比较以完成验证。

NRC对SCIENCE程序包进行审评后，认为其执照申请是可以接受的，但是须满足下列要求：

1) 程序包应用的预计结果应在执照申请提交文件所确定的确认准则和测量不确定性范围内；

2) 程序包的燃料设计功能应在专题报告(Topic Report) BAW-10228P确认的范围内使用；

3) 程序包应用时需要考虑特定的不确定性；

4) 程序包仅由FRAMATOME用于压水堆执照申请的安全分析，除非NRC批准其他组织使用。

同时，对于SCIENCE程序包的更新升级，NRC认为需要对程序的改动进行基准测试和确认活动，以确保程序新功能所得结果满足专题报告中提出的认可准则。如果程序的变更满足相关准则，不会改变程序的不确定性或相关应用，FRAMATOME可在内部记录程序和相关结果的变更而不需要通知NRC。但是，如果发生了不确定性的变更，只要变更影响到程序在执照申请应用中的不确定性时，FRAMATOME要向NRC提交相关支持文件。对于程序包未来有的新的应用，如果未在专题报告内提供，将需要对程序包进行再次确认活动。

NRC认为ACR堆型所用的设计和安全分析的计算机程序中大多数程序是已认证的，少部分需要进行审核确认活动，极少数程序需要根据ACR的设计做出更改。对于已认可程序，如果要将其使用于新的安全或执照分析中，需要在软件质保大纲中列出对这些程序的要求。ACR安全分析软件认可计划，针对特定的事故现象增加相关的程序确认活动。

程序认可计划一般包括：

1) 确定符合AECL软件质保手册中设计和开发要求的计算机程序范围。

2) 不符合这些要求的程序的理由。

3) 额外验证需求和执行的验证活动的定义。

安全程序评价：认可计划的第一步是对程序分析的适用性评价。安全分析软件的适用性评价必需结合反应堆设计和可能事故序列的相关现象。由程序持有者召集的专家组进行程序的适用性评价，包括相关学科专家、ACR设计人员和安全分析专家。评价主要集中在ACR和CANDU设计差异的影响上。

程序的认可工作需要和设计工作同步进行。认可工作优先关注重要的设计和安全分析软件以及重要的确认活动变更。由于ACR是对现有CANDU6的扩展，程序的确认工作没有大的变化。程序的认可工作首先关注关键程序的确认以确保程序预计的不确定性最小化。

由于没有要求对ACR开发新的程序，现有CANDU6程序在ACR设计和安全分析中均可使用，对其进行认可时，需要关注三个因素：

1) 对程序适用性和现有确认工作是否足够的评估；

2) 针对ACR设计做出的程序修改；

3) 程序额外的确认工作、确认工作的扩展、或程序的适用范围和确认的范围相适应。

程序认可分为完全认可和不完全认可。完全认可的计算机程序，需要完成整套质保文件、对程序进行了验证并完成确认报告，能够在其指定范围内使用。不完全认可的程序只有在判断其使用对整体项目风险影响可接受或本身没有重要安全应用时可以使用。

三菱公司向美国核管理委员会(NRC)提交用于US-APWR压水堆的设备及管线设计软件的认可申请，这些软件包括静态分析、动态分析、热工瞬态分析，包括通用商业软件和三菱内部开发软件程序。NRC对三菱公司申请软件认可的审评范围规定为：

1) 描述作者、源代码、执行文件、输入卡片(组)、之前版本、用户手册和理论公式的程序文件；

2) 程序验证报告；

3) 程序的流程图逻辑；

4) 程序的VV基准包；

5) 程序的输入输出数据和程序的限制条件；

6) 需要对程序进行试运行(未审评)；

7) 程序控制和维护的质量保证流程大纲。

根据软件的情况，NRC的审评团队要求MHI提供软件的编译文件(translated documents)以便于用于NRC审评，并经审查确认三菱公司用于US-APWR相关设计软件符合10CFR50附录B的要求。

IAEA讨论关于耦合程序(coupled codes)的认可方法，将用于分析瞬态和设计基准事故的程序分为六类：

· 反应堆物理程序

· 燃料行为程序

· 热工水力程序

· 安全壳分析程序

· 大气扩散和剂量程序

· 结构程序

耦合程序的确认活动通过耦合程序的结果与实验数据和其他程序的结果进行比较完成，对耦合程序进行验证时，需要做到：

· 定义所有需要的核电厂数据，并进行审查

· 核电厂数据包括设计特性和实验数据

· 所用数据也应可用于比较计算中

· 使用的数据应来源于运行电厂的试验或由设备的试验(tests)所确认

· 核电厂稳态和瞬态获得的数据均要使用，并与实验的结果进行比较

最后对计算结果进行不确定性分析，并对影响的参数进行敏感度分析。

为了减少耦合程序认可时的工作，要求程序开发者只使用经确认过的程序版本。此外，还要求开发者：

· 设计的耦合要便于审查

· 提供指导手册以最大程度减少使用者的影响

· 允许合理的保守性

· 构建程序使得耦合可行并易于实现

· 标准化耦合步骤

· 尽可能整合现有认可的计算方法