核工程自诞生之日起，便与'安全'二字死死捆绑。从三哩岛到切尔诺贝利，再到福岛，每一次事故都推动着安全范式的革命。我们习惯上将安全分为'主动安全'（依赖泵、阀门、电力等能动设备）与'被动安全'（依靠重力、自然循环、材料固有属性等物理法则）。主流舆论几乎一边倒地颂扬被动安全——仿佛不借助任何外部干预就能自行走向安全的系统，才是终极答案。然而，这种技术乐观主义掩盖了一个深层悖论：当我们将全部信任托付给'不会失效'的物理定律时，我们同时也在放弃对'可能出错'的人为系统的持续锤炼。被动安全不是终点，而是一面镜子，照出了我们逃避复杂性的心理冲动。
以传统大型压水堆为例，其安全防线建立在'纵深防御'之上——多层主动系统层层设防，需要大量人员培训、设备维护、应急演练。这种模式虽然繁琐，却塑造了一种'风险肌肉记忆'：操作员在成千上万次模拟中学会与不确定性共舞。反观新一代小型模块化反应堆（SMR），它们以'极度被动安全'为卖点，许多设计宣称即使完全失去电源和冷却剂，堆芯也能依靠自然循环保持完整。这听起来无比美妙，却暗藏危机。当安全不再需要人操心时，人的警惕性就会像闲置的肌肉一样萎缩。福岛事故中，地震后应急柴油发电机本可启动，但防波堤低估了海啸高度——这不是被动安全失效，而是主动风险评估的傲慢。我们越相信'无需干预'，就越倾向于削减冗余预防措施，最终把整个系统的安全边界交给一个我们从未真正理解的物理假设。
更值得警惕的是，被动安全在商业化的糖衣下被异化为营销标签。许多SMR厂商声称其堆型'天生安全'，仿佛安全不再是工程实践中的持续博弈，而是一张贴纸。这种思维将风险从复杂的社会技术系统中剥离出来，重新安置进一个封闭的物理模型里。真正的核安全从来不是静态属性，而是动态涌现的现象——它取决于燃料老化、管道腐蚀、人为操作、组织文化、甚至监管环境之间的量子纠缠。一个只有被动安全的堆型，若缺乏主动的实时监测与自适应控制，就像一辆只有自动驾驶却无方向盘和刹车的汽车，看似解放了驾驶员，实则放大了未知风险。我提出一个独立观点：'风险能动性'（Risk Agency）应成为核工程的新准则——核设施必须具备主动感知、主动质疑、主动变异的能力，而不是被动地等待物理法则来拯救。
对比传统与SMR，并非否定被动安全的价值，而是呼吁打破'被动=更安全'的线性迷思。切尔诺贝利之所以成为惨剧，恰恰因为其反应堆具有正的反馈系数——这是被动但不安全；而福岛之所以失控，是因为人们迷信地震后的自动停堆信号——这是主动但不够主动。真正的出路是构建一种'混合能动安全'体系：让被动固有属性成为最后一道物理屏障，而非第一道心理防线；同时强化主动的、具备学习能力和容错机制的反馈闭环。或许我们应该重新定义核工程的目标：不是追求绝对安全，因为那不存在的；而是追求对风险的全息觉察与即时响应。核能的未来不取决于我们能够筑起多高的实体墙，而取决于我们能否在每一次决策中都不敢忘记——安全是动词，不是名词。
