吴 鹏 张晓华 邱志方 方红宇

（中国核动力研究设计院核反应堆系统设计技术重点实验室，四川 成都610213）

0 前言

中核集团自主研发的第三代百万千瓦级压水堆核电站的反应堆保护系统（Reactor Protection System,RPS）采用的是数字化控制系统（Digital Control System,DCS），DCS有可能因为发生软件共模故障（Software Common Cause Failure,SWCCF）而影响到系统功能。为此在核电厂中专门设置了多样性保护系统（Diverse Actuation System,DAS），在发生SWCCF的情况下，对反应堆提供保护，以保证反应堆安全。

本文对汽轮机停机事故叠加SWCCF的堆芯后果进行计算分析，研究是否需要在DAS中针对该事故设置专门的自动保护信号。如果需要设置DAS自动保护信号，则进一步研究和确定需要在DAS中设置的自动保护信号和功能。

1 分析方法与基本假设

本文采用THEMIS程序和FLICA程序进行汽轮机事故停机DAS验证分析。初因事件叠加安全级仪控平台软件共模故障原则上属于超设计基准事故分析的范畴，因此本文的验证分析采用最佳估算方法（现实性假设），不考虑单一故障和厂外电源丧失，并且有关参数取名义值。在DAS验证分析中，认为安全级平台发生SWCCF后，所有安全级保护功能全部丧失，但在分析中多样性保护系统（DAS）和其它不受安全级仪控平台SWCCF影响的系统（例如ATWT缓解系统等）可以提供反应堆保护。

1.1 初始工况

反应堆初始功率、初始稳压器压力、初始反应堆冷却剂平均温度、初始稳压器水位、初始SG二次侧水位、初始SG的给水流量均为名义值。

1.2 初因事件与功能假设

汽轮机在t=0时刻事故停机并且安全级仪控平台同时发生软件共模故障，随后蒸汽发生器失去主给水。

与堆芯相关的假设：

（1）多普勒功率系数取最大绝对值；

（2）在寿期初（BOL）和寿期末（EOL）两种情况下分别进行分析计算。

控制和保护系统：

不考虑安全级仪控平台保护信号，但以下系统功能不受影响：

（1）ATWT 缓解系统；

（2）蒸汽旁排；

（3）稳压器喷雾及电加热器。

DAS验证分析中操作员不干预时间[1]为事故后30分钟，即对于没有自动保护信号的工况，事故后30分钟操纵员手动停堆或启动专设安全设施。

采用以上假设的工况记作基准工况。

2 限制准则

[1]介绍了多样性保护系统事故验证分析所应用的验收准则。基于指导性原则，并结合多样性保护设计原则和工程实践经验，可以确定验收准则的要求为：最佳估算并满足屏障完整性准则（不能导致一回路压力边界和安全壳完整性丧失）、满足放射性后果准则、保证堆芯可冷却几何形状等准则。

针对具体事故工况及分类，可进一步研究和确定具体的验收准则。在DAS分析验证中，汽轮机停机事故（II类工况同时叠加DCS发生SWCCF）的验收准则如下：（1）堆芯不会发生偏离泡核沸腾（DNB）；（2）热点燃料芯块中心温度低于熔化温度限值；（3）反应堆冷却剂系统压力不导致压力边界完整性丧失。

3 保护信号研究

3.1 基准工况分析

基于第1节的分析假设，图1-图2给出基准工况的分析结果。汽轮机事故停机后，随后主给水流量终止。此时因反应堆功率大于30%FP并且主给水流量低于6%NF，触发ATWT缓解系统[2]，经计算核实反应堆不会超压，最小DNBR高于限值，事故发生后1800s内SG没有满溢。在此之后操作员开始进行干预，将反应堆带入冷停堆状态。

图1 稳压器压力（基准工况）

图2 蒸汽发生器水体积（基准工况）

3.2 蒸汽发生器满溢分析

3.1节分析中假设汽机停机之后给水丧失，该假设对于堆芯安全而言是更恶劣的，其分析结果表明即使在这种情况下仍然能够满足安全限值要求。但是若假设在事故发生后给水系统仍能维持一定的给水流量，且在事故发生后的30分钟内无操作员干预，有可能会造成蒸汽发生器满溢，从而加重事故后果。为了进一步提高反应堆的安全裕量，本文在3.1节分析的基础上，进一步探讨增加“事故后蒸汽发生器不满溢”及相关信号设置。

3.2.1 无保护信号分析

本节在第1节基准工况假设的基础上，考虑主给水维持100%NF流量，对寿期末（EOL）工况进行分析（记作工况1）。

瞬态过程中，主给水维持100%NF流量，未能触发ATWT缓解系统[2]，蒸汽发生器在事故发生后约978s满溢（图3）。

图3 蒸汽发生器水体积（工况1）

3.2.2 主给水隔离信号分析

经过3.2.1节的分析，考虑到可能存在蒸汽发生器满溢的风险，本节在第1节基准工况假设的基础上，在DAS中增设“SG水位高高”信号。如果瞬态过程中触发DAS保护系统的“SG水位高高”信号，则主给水自动隔离（记作工况2）。

图4 稳压器压力（工况2）

工况2的计算结果见图4-图5。在事故过程中给水流量过高，DAS保护系统的“SG水位高高”信号实现主给水隔离，主给水隔离后触发ATWT缓解信号，随之反应堆停堆，辅助给水延迟一段时间后投入。在瞬态过程中最小DNBR高于限值。事故发生后1800s内SG没有发生满溢，在此之后操作员开始进行干预，从而可以最终避免SG满水。

图5 蒸汽发生器水体积（工况2）

4 结论

汽轮机事故停机叠加SWCCF不会损坏反应堆冷却剂系统压力边界的完整性，事故中的最小DNBR值高于限值，燃料包壳没有发生DNB的风险，满足验收准则要求。在DAS系统中设置“SG水位高高”主给水隔离信号，能够避免事故后蒸汽发生器满溢，有效提高了核电厂的安全性。

【参考文献】

［1］NRC NUREG-0800 Branch Technical Position BTP-7-19, ‘Guidance for Evaluation of Diversity and Defense-in-Depth in Digital Computer-Based Instrumentation and Control Systems‘[R],Rev 6,July 2012.

［2］陈济东,主编.大亚湾核电站系统及运行[M].北京:原子能出版社,1995.