1.除极不可能的假设始发事件外，核电厂设计必须使第（）层次防御能够阻止所有这类事件升级为事故工况。