在整个60年代，有一种概念在安全方针中占支配地位，这就是最大可能事故。这种概念所依据的是这样的信念，即不是所有可想象的工况都是可能的。虽然人的想象力是没有界限的，但假设一些极不可能的独立事件，例如一次强烈地震和一次飞行器坠毁事件可能同时影响一座核电厂，看来是不合理的。这就是为什么要对每种堆型进行初步分析，以确定哪些事故是可能的，然后对核设施进行设计，以便在发生考虑过的事故之一时，至少有一道屏障将保持完整。人们假设，通过考虑各种极端的工况，一些相似但较不严重的事故也被包括其内。三里岛事故证明了这种方法的基本合理性，但也证明了它的局限性，各种安全设施(反应堆事故保护停堆设施，安全注入设施，安全壳完整性保障设施)，起到了在较严重的事故中应起的作用。然而实际情况表明，这些针对比三里岛发生的要严重得多的一回路损坏设计的安全设施部分失效，从而加重了事故的严重性，加重了对核电厂和设备的影响。

      让我们考察一下被包括在60年代安全分析中的、对上面种种考虑有直接关系的三种事故：控制棒不合时宜的弹出：在操作过程中辐照燃料组件的跌落和损坏；以及使用加压流体的反应堆．一回路发生导致堆芯失冷的破裂。有关最后这种事故的考虑导致对压水堆核电厂采取下面两套措施。第一套措施是，用各种方法检验建造材料、锻造和焊接工艺，精心设计和分析各种部件并利用模拟组件进行试验，利用射线照相和超声波技术对焊缝进行全面的内部检查，以排除反应堆压力容器发生突然破裂的可能性。第二套措施与承认连接反应堆压力容器的管道之一由于未知原因发生破裂的可能性有关．在这种情况下，一回路中含有的水漏失，反应堆内的压力下降，而安全壳内的压力则上升。堆芯供水中断，即堆芯不再得到冷却。链式反应虽然依靠反应堆自动停堆系统(双套)停止，但衰变热量必须导走。这种热量是由累积在堆芯的放射性产物释放的；在反应堆事故保护停堆后一秒钟，这种热量为初始功率的10％(几小时后为3％)。在卸压阶段结束后，将有多种系统被启动以确保堆芯冷却。这些系统把加压冷水注入堆芯．一经测定一回路压力变化，在高压下以低流率工作的第一个系统立即起动。不过，在假设工况下(一次大的管道破裂)，光霉这一系统本身是不够的。当一回路中的压力从150大气压降至40大气压时，充水蓄压器通过止回阀向一回路排放，这种止回阀在那时刻之前因一回路压力较高而一直处于关闭状态．当这种压力达到约6大气压时，高容量的注射泵把专用贮水箱的冷水供给一回路。当贮水箱排空后，注射泵利用通过一回路破裂处漏失、并向下流到安全壳底部的排水坑的水再循环．堆芯本身被设计成能承受以下事故工况：反应堆冷却剂沸腾蒸发使堆芯失去冷却剂；余热没有排走；包壳加热，以及注入的水再次浸没堆芯时由突然淹没产生的各种效应。有关准确的事故工况的讨论曾持续多年，结果是美国原子能委员会于1971年发表了一些有关核电厂的暂行准则。这些准则从1974年1月起作为权威法规强制施行，现在所有的国家都引用了这些准则。这些准则硬性规定了功率界限，以防包壳温度在这些工况下超过1205℃，对包壳厚度也作了必要规定，即在再次淹没期间被水腐蚀的包壳厚度不得超过其壁厚的四分之一。上述措施的目的在于保护第一道屏障的完整性，并限制相应的氢的形成，其他措施集中在保护第三道屏障，即安全壳。安全壳必须在假设事故引起的压力和温度之下保持密封。一种喷淋系统将一阵冷水从安全壳上部喷下，以降低温度和压力。

      最大可能事故概念已经形成，但仍在核安全规程中。对于设计阶段考虑过的每一类工况，用一个确定的事故或事件作代表，可以认为其结后果“包含”这一类的所有事件的后果。

       图为防止压水堆核电厂逸出放射性产物而设置的多重屏障：这些屏障依次是能够容纳裂变产物的氧化铀；燃料包壳；一回路边界；以及围绕反应堆的安全壳。 

      图为计算机代码提供的故图象：Cathare是一种热工水力学代码，用它可模拟失去新华通讯社却剂事故。图中所显示的是在反应堆的冷却剂泵和压水容器之间出现小裂缝后，一回路的工况变化。一回路在屏幕上分成若干区域显示，利用此种代码可监视压力和温度趋势、反应堆冷却剂沸腾，以及因安全注射泵起动引起的堆芯淹没。