核电厂设计安全规定doc.docx
《核电厂设计安全规定doc.docx》由会员分享，可在线阅读，更多相关《核电厂设计安全规定doc.docx（41页珍藏版）》请在冰点文库上搜索。
核电厂设计安全规定doc
核电厂设计安全规定
本规定是中华人民共和国核电厂安全法规的第二部分
本规定自一九九一年七月二十七日起实施
本规定由国家核安全局负责解释
1引言
1.1目的
本规定提出了陆上固定式热中子反应堆核电厂的核安全原则，确定了保证核安全所必需的基本要求。
这些要求的适用范围包括安全重要的构筑物、系统和部件以及有关规程和程序。
规定中只强调设计中必须满足的要求，对于如何满足这些要求则不作具体规定。
附录I所列安全导则是对本规定的说明和补充。
本规定适用于核电厂设计、制造、建造、运行和监督管理。
1.2范围
本规定阐述了构筑物、系统和部件为满足安全运行以及防止（或减轻）可能危及安全的事件后果所应遵守的设计方法和设计要求。
可能危及安全的事件统称为假设始发事件。
假设始发事件用于确定核电厂物项的设计基准。
它们包含多种可能单独地或相互组合后影响安全的因素。
这些因素有如下几种类型：
（1）与核电厂厂址及其环境有关联的因素；
（2）由人员行动引起的因素；
（3）源自核电厂本身运行的因素。
本规定不考虑下列事件：
（1）极不可能发生的事件（对严重事故的考虑见3.5条）；
（2）能导致核电厂厂址区域的全面破坏而又不能加以防范的人为事件和自然事件；
（3）绝无可能影响核电厂安全的工业事故；
本规定不考虑核电厂对环境的非放射性影响。
第5章和第9章的某些要求只适用于水冷堆。
2安全原理
2.1安全目标
核能与任何一种对于人类和环境具有一定风险的工业活动一样，均须尽力降低风险。
核能的风险与电离辐射（以下简称辐射）有关。
因此核安全的最终安全目标为：
建立并保持对辐射危害的有效防御，保护厂区人员、公众和环境。
具体而言，辐射防护的目标为：
保证厂区人员和公众在运行状态下所受到的辐射照射低于规定限值并保持合理可行尽量低；保证减轻事故引起的照射。
与事故状态有关的目标为：
保证从总体上防止事故的发生，保证在出现核电厂设计中在考虑到的所有事故序列（即使是概率很低的序列）时，其放射性后果不大；通过预防和缓解措施保证发生严重后果的事故的可能性极低。
2.2纵深防御
纵深防御概念是安全原理的重要组成部分。
此概念必须贯彻于安全有关的全部活动，包括与组织、设计或人员行为有关的方面，以保证这些活动均置于重叠措施的防御之下，即使有一种防御失效，亦将得到补偿或纠正。
设计过程中必须贯彻纵深防御概念，从而提供多层次的保护。
这方面的实例为：
（1）设置多种手段以保证每个基本安全功能（反应性控制、余热排出和放射性包容）的执行；
（2）除固有安全特性外，采用可靠的保护装置；
（3）通过安全系统的自动触发和运行人员的行动，加强对核电厂的控制；（4）提供设备和规程以支援事故预防措施、控制事故发展过程和限制事故后果。
作为一条基本要求，任何时候各防御层次都必须按照不同运行方式的规定一一备齐。
在缺少一个防御层次而其他防御层次虽在的条件下，继续运行就没有足够的基础。
纵深防御概念在设计过程中的第一种应用如下：
提供多层次的设备和规程，用以防止事故，或在未能防止事故时保证适当的保护。
（1）第一层次防御的目的是防止偏离正常运行。
这一层次要求按照恰当的质量水平和工程实践正确并保守地设计、建造和运行核电厂。
为达到此目的，对设计规范和材料的恰当选择以及部件制造和核电广施工的控制，均应十分注意。
对于核电厂的检查、维护和试验规程，以及进行这些活动时良好的可达性﹑核电厂的运行条件和运行经验的利用等项，亦应予以关注。
（2）第二层防御的目的是检测和纠正偏离正常运行的情况，以防止预计运行事件升级为事故工况。
这是由于尽管注意预防，核电厂在其寿期内仍然会发生假设始发事件。
这一层次要求设置专用系统并制定运行规程以防止或尽量减小这些假设始发事件所造成的损坏。
（3）第三层次防御是基于以下假定：
尽管极少可能，某些预计运行事件的升级仍有可能未被前一层次防御所制止，因此必须提供附加的设备和规程以控制由此引起的事故工况的后果。
设置这一层次防御的另一主要目的是使核电厂在事故工况后达到稳定的、可接受的状态。
在第三层之后可借以进-步保护公众和厂区人员的措施为：
核电厂用于减轻超设计基准事故后果的特定的补充设施、应急计划和准备。
纵深防御概念的第二种应用是核电厂设置多道实体屏障，防止放射性物质外逸。
这些屏障通常包括燃料本身、燃料包壳、反应堆冷却剂系统压力边界和安全壳。
设计必须保证每一屏障的有效性，并为之提供保护。
3设计总准则
3.1辐射防护①
必须提供措施，以保证2.1条所提出辐射防护目标的实现。
核电厂安全设计中辐射防护接受准则必须遵循以下原则：
导致高辐射剂量或放射性物质大量释放的核电厂状态的发生概率要低，而发生概率较高的状态的辐射后果要小。
接受准则通常仅为与核电厂的正常运行、预计运行事件和事故相对应的为数有限的几组准则。
接受准则必须由国家核安全部门认可。
3.2安全功能②
把安全视作整个设计过程中的内在要素，对于达到充分安全至为重要。
本规定中所提出的安全对策的目的是：
使核电厂保持在正常运行状态中；保证发生假设始发事件后，电厂能立即作出正确的近期响应以及在事故工况后便于处理。
为保证安全，必须满足下列总的设计要求：
（1）必须提供安全停堆手段，使在运行状态中和事故工况期间及事故工况后的反应堆安全停堆，并使之保持在安全停堆状态。
（2）必须提供排除余热的手段，使停堆后（包括事故工况停堆后）从堆芯排出余热。
（3）必须提供减少放射性物质释放的可能性的手段，并保证任何释放在运行状态期间低于规定限值，在事故工况期间低于可接受限值。
对安全功能进行考虑是系统地满足上述设计总要求的一个处理方法。
安全功能包括厂内各系统在运行状态中和事故工况期间及事故工况后为保证电厂安全所必须执行的所有功能。
①有关设计中辐射防护的进一步指导见安全导则HAF0209。
②有关安全功能及其应用的进一步指导见安全导则HAF0201。
3.3电厂安全特性
纵深防御概念的基本思想也反映在电厂的下列特性中。
核电厂设计的一个总体要求是电厂对假设始发事件的敏感性必须合理地低。
电厂对任何假设始发事件的预计响应可用下列
（1）-（3）中的一项特征表示。
核电厂的设计和运行应能促使任何假设始发事件的后果按下述顺序排列，并在合理可行的条件下尽可能接近于
（1）。
（1）依靠核电厂的固有特性，假设始发事件不产生与安全有关的重大影响或核电厂只产生趋向安全状态的变化。
（2）在发生假设始发事件后，依靠在此状态中连续运行的系统动作，以控制该假设始发事件，使核电厂趋于安全。
（3）在发生假设始发事件后，依靠对该事件作出响应而投入工作的系统动作使电厂趋于安全。
3.4设计基准
设计基准必须规定核电厂在确定的辐射防护要求范围内适应规定的运行状态范围和事故工况的必备能力。
设计基准包括正常运行技术规格、假设始发事件引起的状态、重要的假设以及在某些情况下特定的分析方法。
3.4.1正常运行
设计过程中必须针对电厂安全正常运行的要求，制定一组运行要求和限制，包括：
（1）过程变量和其他重要参数的限制；
（2）安全系统整定值；
（3）电厂维护、试验和检查的要求，以保证构筑物、系统和部件的功能与设计规定相符。
这些要求和限制是制定运行限值和条件的依据。
3.4.2假设始发事件
核电厂设计中必须认识到纵深防御的各个层次都可能受到考验，因此设计中必须采取措施以保证安全功能的执行，并实现安全目标。
上述考验来自假设始发事件。
假设始发事件的选择系基于确定论法或概率论法，或两者的某种组合。
不同类型的假设始发事件及其可能的组合见附件A。
应指出，独立事件同时发生的可能性通常不予考虑。
3.4.3设计规范
应有国家核安全部门认可的工程设计规范，作为系统和部件设计的接受准则。
3.4.4厂址特征①
在确定核电厂设计基准时，必须考虑到核电厂与环境之间的各种相互作用，包括人口、气象、水文、地质和地震等因素。
还必须考虑到为获得电厂安全和保护公众可依托的厂外服务（如电力供应和消防设施）可能遇到的困难。
3.5严重事故
正常运行、预计运行事件和事故工况的设计基准对于防止反应堆堆芯的严重损坏以及抑制放射性物质的释放，使之在运行状态下低于规定限值并在事故工况下低于可接受限值，必须提供高的可信度。
但是应该意识到某些低概率的事件序列有导致严重的堆芯损坏的可能。
从安全观点出发，还以在一定限度内计及严重事故为妥。
对于严重事故的考虑可基于现实的分析，而毋需严格地运用确定设计基准时所采取的保守的过程方法。
根据运行经验，结合安全分析和安全研究的结果，设计中应考虑的事项有：
（1）针对特定设计，确定能导致严重事故的重要事件序列；
（2）考虑电厂的已有能力，包括超越其预定功能和设计基准时利用某些系统的可能，以及利用某些暂设系统使电厂恢复到受控状态并减轻严重事故的后果；
（3）应对能降低这些事件出现的概率或能减轻这些事件后果的可能的设计修改作出评价。
若通过适当努力能提高总的安全性，则应进行这种设计修改。
（4）在计及有代表性的和起主导作用的严重事故的条件下，制定事故处理规程。
①进一步指导见HAF0100（91）《核电厂厂址选择安全规定》及其安全导则。
3.6核电厂质量
必须明确规定构筑物、系统和部件的全部安全功能。
构筑物、系统和部件必须按其安全的重要性进行分级。
为保证高度的功能可靠性，对于与质量有关的各个方面，诸如构筑物、系统和部件的设计，材料的选择、技术规格、建造、运行、维护和试验规程以及合格人员的配备，必须予以极大关注，使之适应所赋与的安全功能。
不仅对于不同防御层次中的工艺和安全系统及其辅助设施有此要求，对于防止放射性物质外逸的各道实体屏障尤其如此。
凡属可行，设备必须按照适用的、经认可的标准设计，其设计必须是此前在相当使用条件下验证过的；设备的选择必须与安全所要求的电厂可靠性目标相一致。
对于所采用的标准和规范，必须加以鉴别和评价，以确定其适用性、恰当性和权威性，并根据需要进行补充和修正，以保证设备的质量符合安全功能的要求。
选择设备时必须考虑到误动作和不安全的故障模式（例如要求脱扣时不脱扣）。
系统或部件有发生故障的可能并需要在设计中针对此种故障作出适应性措施之处，则必须先选择具有可预见的故障模式并便于修理或更换的设备。
①
3.7在役试验、维护、检查和监测的措施
安全重要构筑物、系统和部件的设计必须符合下列要求：
它们的可靠性达到足够高的水平；为保持其执行功能的能力，可在核电厂的寿期内进行标定、试验、维护、修理和检查或监测；完成这些活动时所达到的标准与所执行安全功能的重要性相当，且厂区人员不致于由此而受到过量的照射。
安全重要构筑物、系统和部件的设计不足以适应试验、检查或监测的需要时，必须采取适当的补充措施，以消除潜在的未发现的故障影响。
3.8系统和部件的可靠性设计②
①这方面的进一步指导见HAF0400（91）《核电厂质量保证安全规定》及其有关导则。
另见安全导则HAF0302《核电厂在役检查》﹑HAF0307《核电厂维修》和HAF0308《核电厂重要物项的监督》。
②关于系统可靠性和设计措施的进-步指导见安全导则HAF0203﹑HAF0204﹑HAF0205﹑HAF0206﹑HAF0207﹑HAF0213.
本条所列的几种措施可用于达到和保持与全部三个防御层次内所执行安全功能的重要性相当的可靠性。
如有必要，可使用这些措施的组合。
表示不同防御层次的可靠性要求，不能采取通用的定量指标。
但第一层次无疑应视作重点。
这与营运单位为了生产电力保持核电厂高可用率的目标也是吻合的。
为保证安全功能的执行具有必需的可靠性，经国家核安全部门同意，对某些安全系统可制定最大不可用率的限值作为基准或用作接受准则。
3.8.1多重性
为完成一项特定安全功能而采用多于最少套数的设备，即多重性，它是提高安全重要系统的可靠性并借以满足单一故障准则（见3.8.2）的重要设计原则。
在运用多重性原则的条件下，一套设备出现故障或失效是可承受的，不致于导致功能的丧失。
例如，在某一特定功能可由任意两台泵完成之处，设置三台或四台泵。
为满足多重性要求，可采用相同的或不同的部件。
3.8.2单一故障准则
满足单一故障准则的设备组合，在其任何部位发生单一随机故障时，仍能保持所赋予的功能。
源自单一故障的各种继发故障，均视作单一故障不可分割的组成部分。
对于构成核电厂设计的每个安全组，都必须运用单一故障准则。
安全组是用以完成各项为抑制特定假设始发事件的后果使之不超过设计基准所规定限值所需要的动作的设备组合。
为检验核电厂是否符合单一故障准则的要求，必须对各有关安全设备组进行下述分析：
假设单一故障及其全部继发故障依次出现在设备组合的各个单元上，并逐一进行分析，直至完成此组合内的全部故障分析为止，对各有关组合依次一一进行分析，直至完成所有组合和全部故障的分析为止。
有关特定安全系统需要符合单一故障准则的叙述见后。
单一故障准则在上述系统中的假设是此前已作了描述的过程中的一部分。
单一故障分析中，不考虑同时发生一个以上的随机故障。
如上述分析的结果表明，每个安全组在计及假设始发事件的影响后均能完成各有的功能，则认为，设计达到了单一故障准则的要求。
单一故障分析中，对于设计、制造、在役检查和保养的质量达到极高水平的非能动部件的故障，可不予考虑。
但在排除非能动部件发生故障的可能时，必须计及始发事件后需要部件发挥作用的全时程，并对基于此种假设的分析方法的正确性作出论证。
乱真动作必须视为故障的一种模式。
对于下列各种情况，毋需遵守单一故障准则：
（1）极为罕见的假设始发事件；
（2）假设始发事件极不可能的后果；
（3）某些设备因进行维护、修理或定期试验，在有限的时间内停止使用。
对某些安全系统可能需要提出多重性或多样性的附加要求。
例如在相同部件用于几种安全功能或同时用于安全和非安全目的之处、有共因故障的可能之处以及定期试验的有效性受到限制之处，均可据以提出附加要求。
3.8.3多样性
采用多样性原则能减少某些共因故障的可能，从而提高某些系统的可靠性。
应考查这类潜在故障的原因，以确定在何种场合能有效地应用多样性原则。
多样性应用于执行同一功能的多重系统或部件，系通过多重系统或部件中引入不同属性而实现。
获得不同属性的方式有：
采用不同的工作原理、不同的物理变量或不同的运行条件以及使用不同制造厂的产品等。
为保证所采用的多样性确能提高所完成设计的可靠性，在运用多样性原则时必须审慎。
例如，为降低共因故障的可能性，设计人员必须对材料、部件和制造工艺中有无任何相似之处，运行原理或公用的辅助设施中有无细微的类似之处给以关注。
采用多样化系统或部件时，应计及诸如运行、维护和试验程序中额外的复杂性，或使用可靠性较低设备所带来的缺点，并取得此种追加措施有利于总体效益的合理保证。
3.8.4独立性
为提高系统的可靠性可在设计中采用下列独立性原则：
（1）保持多重系统部件之间的独立性；
（2）保持系统中各部件与假设始发事件效应之间的独立性，例如，假设始发事件不得引起为减轻该事件后果而设置的安全系统或安全功能的失效或丧失；
（3）保持不同安全等级的系统或部件之间适当的独立性；
（4）保持安全重要物项与非安全重要物项之间的独立性。
独立性可在系统设计中通过功能隔离或实体分隔实现。
（1）功能隔离
必须使用功能隔离，以减少多重系统或相连接系统中由正常运行或异常运行，或这些系统中任一部件的故障所引起的设备和部件间不良相互作用的可能性。
（2）部件的实体分隔和布置
在系统布置和设计中，必须尽实际可能采用实体分隔原则以增强实现独立性的保证，对于某些共因故障尤其如此。
这些原则包括：
空间分隔（距离、方位等）；
屏障分隔；
上述两种方法的组合。
分隔方法的选择取决于设计基准中所考虑的假设始发事件，例如火灾、化学爆炸、飞机坠毁、飞射物、淹没、温度、湿度等效应。
核电厂内的某些场所，有可能成为不同安全重要性的各种设备或线路的自然汇合点，例如安全壳贯穿区、电动机控制中心、电缆走廊、设备间、控制室和核电厂的工艺控制电脑等。
在这些场所，必须尽实际可能采取适当的措施以防止共因故障。
3.8.5故障安全设计
在设计核电厂的安全重要系统和部件时，应尽可能贯彻故障安全原则，即系统或部件发生故障时，电厂应能在毋需任何触发动作的情况下进入安全状态。
3.8.6辅助设施
为保持电厂安全状态所必需的辅助设施有供应电力、冷却水、压缩空气或其他气体的设施及润滑设施等。
辅助设施用于支持构成安全重要系统部分的设备时，必须视作安全重要系统的一部分。
它们的可靠性、多重性、多样性﹑独立性﹑用于隔离和功能实验的措施必须具有与所支持系统相对应的可靠性。
3.8.7共因故障
若干装置或部件的功能可能由于出现单一特定事件或原因而失效。
这种事件或原因可能是设计缺陷、制造缺陷、运行或维护差错、自然事件、人为事件、信号饱和、环境条件的变化或电厂内任何其他运行或故障所引起的意外的级联效应。
必须尽实际可能在设计中采取适当措施尽量减少这种效应。
3.8.8设备停役
核电厂及其安全系统的可靠性设计中，必须计及设备停役的影响，包括预计的维护、试验和修理工作对于各个安全系统的可靠性所产生的影响。
如系统的可靠性在设备停役的条件下不能满足设计和运行所采用准则的要求，且临时停役的部件不能在规定时间内进行更换或重新投入时，核电厂必须停止运行或置于安全状态之下。
核电厂开始运行前必须明确规定可用于各种情况下部件的更换或重新投入的时间和应采取的行动。
3.9运行人员操作优化的设计①
从安全观点出发，厂区人员的工作场所和工作环境必须按人机工效学原则进行设计。
对人的因素和人机关系的全面考虑应始于设计的早期阶段，并贯彻于设计全过程。
控制室内必须以协调的方式向操纵员提供反映本规定3.2条中各种安全功能所必需的全部设备和系统现状的各种参数的清晰的显示。
在辅助控制点内也必须提供类似设施（见6.3条）。
若将操纵员视为承担双重任务，即设备操作和系统管理（包括事故处理）的人员，则有助于确立信息显示和控制的设计原则。
为进行系统管理，操纵员需要借以作出下述判断的信息：
（1）在任何状态下（即正常运行、预计运行事件或事故工况），迅速评估电厂的概况，并确认预定的自动安全动作正在进行；
①进一步指导见安全导则HAF0203、HAF0208和HAF0303。
（2）决定应采取的恰当行动。
为进行设备操作，操纵员需要各系统和设备有关参数的信息。
设计必须利于操纵员在有限的时间内、预计的周围环境中和有心理压力（的状态）下能采取成功的行动。
应尽量减少操纵员在短期内进行干预的必要性。
设计时应考虑这种干预可予接受的前提是：
设计者能够证明操纵员有足够的时间作出决定并采取行动，操纵员据以决定采取行动的必要信息系以简单和明确的方式呈现，在该事件发生后控制室内或辅助控制点内及其通道中的环境是可接受的。
3.10余热向最终热阱的输送①
必须设置传热系统，向最终热阱输送来自安全重要构筑物、系统和部件的余热。
这些系统在正常运行、预计运行事件和事故工况下都必须具有极高的可靠性。
用于输送热量的各系统，包括传递热量、提供动力以及向余热输送系统供应流体的设计都必须与它们的整个余热输送系统中所分担的功能相适应。
为实现系统的可靠性，必须恰当地选择经考验的部件，并采用多重性、多样性、实体分隔、相互连接以及隔离等。
在设计这些系统、选择最终热阱和传热流体贮存系统的多样性方案时，必须考虑到自然事件和人为事件的影响。
3.11防火和防爆②
设计和布置安全重要构筑物、系统和部件时，除满足其他安全要求外，还必须尽量降低外部和内部事件引起火灾和爆炸的可能性及其后果。
作为最低要求，必须保持停堆、排出余热和包容放射性物质的能力。
为实现这些要求，必须采取多重部件、多样系统、实体分隔适当组合和故障安全设计。
①进一步指导见安全导则HAF0206。
②进一步指导见安全导则HAF0202。
在整个核电厂中，尤其在诸如安全壳和控制室等场所中，凡属可行，必须采用不可燃的或阻燃的和耐热的材料。
必须设置足够容量和能力的火警检测和灭火系统。
在必要的场合，这些系统必须能自动触发。
灭火系统的设计和布置必须保证在其出现破裂、误动作或意外操作时，对安全重要构筑物、系统和部件的能力不致于产生显著的影响。
3.12设备故障的影响①
安全重要构筑物、系统和部件的设计必须能经受运行状态和事故工况的影响并适应这两种状态的环境条件（对于严重事故，尽实际可能予以考虑）。
为防止能加重初始事件对安全所造成的后果的次级故障，这些构筑物、系统和部件必须采取适当的布置方式，或为之采取保护措施，以防止设备损坏时可能出现的飞射物、管道甩动、流体喷射和淹没等动力作用的破坏。
如果这些条件不能满足，必须在设计中采取其他合适的措施。
安全重要的流体系统与工作压力较高的另一流体系统相连接时，必须按较高的压力设计，或设置符合单一故障准则的过压保护。
3.13多堆共用的构筑物、系统和部件
两个或两个以上的动力堆，一般不应共用安全重要构筑物、系统和部件。
共用的方式如予采用，必须证明：
此种方式能满足每一座堆的全部安全要求；一座堆发生事故时，其它各堆能有秩序地停堆、冷却并排出余热。
3.14含有可裂变或放射性物质的系统②
必须保证核电厂内可能含有可裂变或放射性物质的所有系统在运行状态和事故工况下均有足够的安全性。
3.15撤离路线和通讯手段
核电厂必须设置有简捷、以醒目而持久的标志识别的安全撤离路线，并配备为安全使用这些路线所必需的可靠的应急照明和其他辅助设施。
撤离路线必须符合工业安全、辐射分区、防火和电广保卫方面的要求。
为使厂区人员即使在事故状态下也能得到警告指令，必须设置适当的报警系统和通讯手段。
安全必须的核电厂厂区内部以及对外的通讯联系，必须保持昼夜畅通。
进行通讯设计和选择多样性措施时，必须计及这一要求。
①进一步指导见安全导则HAF0204。
②进一步指导见安全导则HAF0204
3.16核电厂出入口控制
为严密控制出入口，必须以适当的构筑物的布置方式，使核电厂与其周围相隔离。
进行厂房设计和厂区布置时，尤其须注意此点，并为保卫人员或监测设备作出安排，以防未经批准的人员和物品进入核电厂。
3.17退役
在设计阶段对便于核电厂退役的措施必须给以关注，还必须为厂区人员和公众在退役期间所受到的辐射照射保持于合理可行尽量低的水平，以及充分有效地保护环境防止放射性污染作出努力。
4反应堆堆芯
4.1反应堆设计
为保证在所有运行状态下不超出设计规定的可接受限值，反应堆堆芯和有关冷却剂系统、控制和保护系统的设计必须留有适当的裕量。
组成反应堆堆芯的部件和反应堆压力容器内靠近堆芯的其他部件的设计和装配，必须符合下述要求：
在运行状态和事故工况中所预计到的静、动荷载的作用下，可保持必要的结构稳定性，以保证安全停堆和堆芯冷却。
4.2燃料元件
燃料元件的设计必须适应各种劣化过程后仍能满意地承受所预计的堆内辐照的要求。
设计燃料元件时必须考虑下列劣化因素：
冷却剂外压、燃料内裂变产物所造成的附加内压、燃料和燃料组件中其他材料的辐照效应、功率变化所造成的压力和温度的变化、化学效应、静载荷、包括流体所引起的，振动和机械振动在内的动载荷以及变形或化学效应所引起的传热性能的变化等。
设计必须为数据、计算和制造中的不确定因素留有裕量。
燃料元件在正常运行中，必须保持于设计规定限值之
升级会员 