杨红义，颜 寒，姜净珂

(中国原子能科学研究院 反应堆工程技术研究部，北京 102413)

钠冷快堆、铅冷快堆等液态金属反应堆(LMR)均采用了高热导率、高沸点的液态金属冷却剂[1]，因而相对于现有在商业核动力电厂的主流堆型——轻水反应堆(LWR)具备更高的冷却剂沸腾裕度，以及更高的冷却剂运行温度，并以此获得了更高的固有安全性以及热电转换效率[1-2]。

液态金属冷却剂与空气接触后会产生各类不利于反应堆运行的杂质[3-4]，故液态金属反应堆运行中必须保持压力密封状态，并通过覆盖气体隔绝反应堆冷却剂与空气，这使得液态金属反应堆换料远较轻水反应堆复杂和困难。

小型模块化的液态金属反应堆往往设计成无需换料或换料间隔特别长以回避这一问题，对于大型反应堆则必须设计一套复杂的换料系统进行定期换料操作。这套复杂的换料系统中往往包含1个燃料贮存桶，用于贮存从堆内换出的乏燃料以备后续燃料清洗系统清洗[5]。为防止由于燃料清洗系统故障导致换料工作暂停进而影响反应堆的运行效率，大型LMR燃料贮存桶往往被设计成能贮存大量乏燃料组件并配以专门的冷却系统，这样就在堆芯和乏燃料水池以外形成一个特殊的燃料暂存装置，当贮存桶内放置大量燃料且发生冷却剂装量或流量损失时，极有可能发生乏燃料组件损伤事故进而导致放射性危害，因此有必要运用概率安全分析(PSA)的方法对这种临时燃料贮存装置的安全性能进行研究，掌握其安全特点，识别设计改进项目。

本文将以某典型的大型钠冷快堆的湿式乏燃料贮存桶为对象开展相关的概率安全分析。

1 典型液态金属反应堆换料过程及乏燃料桶设计

对于需要定期更换燃料的液态金属反应堆，换料过程往往需要多个系统共同参与，包括堆内换料系统、堆外换料系统、乏燃料组件工艺运输系统、新组件工艺运输系统等。为保证堆芯几何形状完整以及相关的物理性能，在完成相关换料准备活动后，反应堆和相关换料系统在封闭的情况下按照“一出一进”的原则开展换料操作，即1个新组件被换入堆芯前，1个乏燃料组件从堆芯中心被换入反应堆周围的乏燃料堆内贮存阱，1个在乏燃料堆内贮存阱中放置了数个运行周期的乏燃料组件被转移进入堆外的乏燃料贮存桶。

乏燃料贮存桶中的组件从主容器中取出后，上面沾有带放射性的液态金属冷却剂，需经过复杂的清洗过程才能放入乏燃料水池，否则一方面存在放射性释放危险，另一方面液态碱金属与水接触后还会有剧烈的化学反应。

乏燃料贮存桶一般有两种设计形式[4]：干式桶和湿式桶。

干式桶，即不为桶内乏燃料组件提供冷却或仅提供少量风冷的贮存桶，这种情况下桶内无法贮存大量组件，较为安全，即使最为严重的事故工况下也只可能有数根乏燃料组件发生气密性破损，但一旦桶本身或后续的清洗系统发生故障，反应堆的换料工作必须短时间内中止，等待故障排除。

湿式桶，即通过钠循环以及空气热阱为桶内乏燃料组件提供冷却，这种情况下桶内能贮存大量组件，即使后续清洗系统发生故障，也可将堆内换出的组件暂存入桶中，换料时无需考虑清洗效率，换料完成后即可按规程开堆。

因为上述特征，实验堆等没有商业目的的反应堆，一般会选择安全的干式桶，而商业反应堆出于保证反应堆运行效率的考虑往往会选择运行效率高，但安全设计更复杂的湿桶，后续的研究同样以湿桶为研究对象。

对于有乏燃料组件冷却能力的乏燃料转换桶，设有专门的冷却系统，通过冷钠对桶中贮存的乏燃料组件进行冷却，冷却系统中的钠则通过由风机驱动的风冷系统进行冷却。

2 运行工况分析

在轻水反应堆上开展低功率停堆PSA时，电厂运行状态(POS)分析是PSA的第1步，这是因为不同工况下反应堆、相关安全系统及安全状态并不一致，可能存在不同的风险，必须分开分析[6]。

液态金属冷却反应堆的乏燃料贮存桶在不同工况下的燃料装量相差很大，因此有必要在始发事件分析前将乏燃料桶的运行工况划分为若干个类别。

经过对乏燃料桶以及相关换料系统在反应堆运行和换料过程中的运行方式进行研究，认为可将其运行工况划分为3个不同的运行状态(表1)。

表1中换料工作(状态B)发生的频率来源于某设计中的液态金属冷却剂反应堆型号的换料间隔与换料时间，同时假定每20次换料中清洗系统发生1次故障，故障使得换料-清洗时间持续40 d。

由于运行状态A时桶内无燃料，认为发生乏燃料组件损伤事件的风险为0，后续详细对状态B以及状态C开展分析。

3 始发事件分析

采取失效模型影响分析(FMEA)的方法对乏燃料桶及其冷却辅助系统进行分析[6]，识别各类设备故障导致的始发事件，并评价其始发事件发生频率，结果列于表2。

表1 乏燃料桶运行状态Table 1 Operation state of spent fuel container

表2 各运行状态下始发事件及其频率Table 2 Initiating event and its frequency by operation state

始发事件频率评价采用故障树方法[6]，采用NUREG/CR-6928[7]以及爱达荷国家实验室的可靠性数据库[8]，其中涉钠部件采用爱达荷国家实验室的液态金属反应堆部件失效数据，其余数据采用NUREG/CR-6928中的部件可靠性数据。通过以上数据计算获得假定365 d乏燃料桶冷却剂系统连续运行情况下始发事件的频率，之后乘以表1中运行状态B或运行状态C在总运行时间中的占比，获得相关始发事件的频率。

4 事故序列分析

针对前文列出的每个始发事件，构建其事故序列，所构建事故序列主要考虑以下安全功能或系统的响应。

1) 乏燃料转换桶冷却系统冷却乏燃料组件。乏燃料转换桶以及与其直接连接的冷却系统构成一个冷却闭环系统，冷却系统分为2列，每列包括2台电磁泵和1台热交换器以及若干附属管道阀门，2列共用的部分包括若干双层钠管道与1个钠缓冲罐容器，不存在单层的2列共用钠管道，2列中的任意1列均可维持足够的循环流量为乏燃料桶中的乏燃料组件提供冷却。

2) 风冷系统提供最终热阱。风冷系统也分为2列，每列由2台风机和附属通风通道以及风量调节装置组成，分别为2列乏燃料桶冷却系统的热交换器提供最终热阱。

3) 相关阀门组隔离管道泄漏。由于2列乏燃料冷却系统之间是连通的，为防止1列系统发生泄漏后2列系统均无法维持流量，设计了专门的阀门组，使得1列系统的任意单层管道泄漏发生后将其隔离，另外1列系统能继续执行乏燃料桶冷却功能。

4) 保护容器包容乏燃料桶泄漏。乏燃料转桶是一双层容器，由内层的主容器和外层的保护容器组成，主容器发生泄漏后，漏出的钠会漏入容器外层的保护气腔中，由于气腔体积有限，主容器内钠液面的降低也非常有限。这种情况下只要外层容器不发生泄漏，则内层泄漏不会对乏燃料桶冷却系统的冷却能力造成显著影响。

根据以上安全功能，分析每个始发事件发生后是否需要以上安全功能的响应，以及不同的成功-失败组合下电厂的事故序列及最终后果，形成9颗事件树(5个始发事件、2个运行状态，其中乏燃料桶主容器泄漏不区分运行状态)，其中典型的事件树如图1、2所示，图中STCD表示乏燃料组件发生气密性破损。

5 定量化以及重要割集

基于以上始发事件、事故序列模型，构建相关系统故障树模型，完成结果的定量化。共构建了乏燃料桶冷却系统故障树2棵、最终热阱通风系统1棵以及应急供电系统故障树2棵，其中应急供电系统故障树参考该反应堆PSA报告中的模型，这些故障树主要给乏燃料桶冷却系统以及最终热阱通风等题头事件提供输入。这些故障树中考虑了如下共因失效组：1) 备用的2台电磁泵启动共因失效；2) 4台电磁泵的运行共因失效；3) 4台风机的运行共因失效；4) 2台应急柴油机组的启动共因失效；5) 2台应急柴油机组的运行共因失效。

对于破损管道阀门组等其他题头事件，则根据相关反应堆PSA经验进行保守的假定。最终的定量化分析结果如下：总的乏燃料组件气密性损伤的频率为4.8×10-7/(堆·年)。其中支配性的割集列于表3。

以Fussell-Vesely(F-V)重要度评价，支配性的5个基本事件分别为：始发事件-55组件时1台电磁泵停运、正常供电母线开关站故障、电磁泵启动共因失效、风机运行共因失效、柴油机处于测试中。

图1 乏燃料组件转换桶冷却系统管道泄漏事件树Fig.1 Event tree of spent fuel container cooling system sodium pipe leakage

图2 乏燃料组件转换桶冷却系统电磁泵停运事件树Fig.2 Event tree of electromagnetic pump of spent fuel container cooling system out of service

表3 支配性的割集(前10)Table 3 Major MCS (TOP 10)

6 关键因素讨论

由完成的PSA结果可得出以下结论：

1) 从数值上看，4.8×10-7/(堆·年)的乏燃料组件损伤概率虽较低，但已是一不可忽略的风险，对于后续液态金属反应堆设计，如果采用了这种湿式燃料中转暂存装置的设计，应在PSA中关注此项风险。

2) 分析中的一些保守处理可能导致风险的估计值明显偏大，目前采用的1项基本假设是：任务时间为24 h，同时不考虑所有设备的维修恢复，根据目前的热工计算，即使丧失冷却剂60 h以上，之后只要恢复冷却剂循环与最终热阱，乏燃料组件以及乏燃料桶的完整性也有可能得到保证，考虑到电磁泵多数故障模式的故障维修较为简易，而目前识别的多数关键的故障发生在电气系统中，因此有理由相信，在恰当考虑设备的维修与恢复后，乏燃料组件损伤频率数值会出现明显下降。

3) 为评估考虑维修的潜在影响，通过敏感性分析进行评价。之前的分析中假定了电源的恢复，假定除此之外，事故后第1 d任何维修活动都是不可行的，之后认为有2 d的时间(事故的第2 d与第3 d)可修复任意1台始发事件中没有损伤的电磁泵(始发事件的原因是多方面的，未必是泵本身的故障)，相关设计人员判断电磁泵的多数故障模式的修复时间可能低于12 h，但该评估来源于正常的计划性维修活动，事故下的维修活动更为复杂，且第2、3 d固然可修复第1 d发生的故障，但期间也有可能发生新的故障，欲从数值上求解，必须获得准确的平均修复时间，利用马尔科夫等算法进行求解，本文简单地假定第2、3 d不会产生新的故障，且设备的平均修复时间保守地假定为24 h，修复的时间窗口为2 d。在此假定下，最终的STCD频率为2.71×10-7a-1，较第5章中的保守结果明显降低，如果能获得准确的平均维修时间，并考虑电磁泵以外其他设备的维修，那么STCD能进一步降低，预计至多降低1个量级。

4) 从目前的分析来看，失流事故与丧失热阱事故相关的始发事件较丧失厂外电事故以及冷却剂丧失事故的重要度高，这是因为相关始发事件的频率较高，同时也是因为双层容器-管的设计能有效降低冷却剂丧失的影响，而乏燃料事故缓慢的事故进程也使得失去厂外电事故的风险不高——多数情况下厂外电会在数小时内恢复。

5) 值得一提的是，应急柴油机的定期试验在总的风险中占比较高，这是因为作为安全级能动设备的电源，应急供电系统无法在电厂运期间完成定期试验与检修，而乏燃料桶主要在停堆换料期间装载乏燃料，发生事故后应急柴油机处于检修状态的概率不低，对此建议应引入风险指引的设计与技术规格书优化与其他的应用[9-14]，允许乏燃料桶冷却系统的电磁泵和风机使用非安全级的可靠性柴油机组并保证可靠性柴油机组在反应堆正常运行——换料活动开始前完成定期试验与检修，该措施经初步分析能使乏燃料损伤的风险降低14%左右。

7 结论

大型液态金属反应堆所用的湿式乏燃料贮存桶是其特有的风险源，本文利用PSA方法，对相关的风险进行了评价。基于分析与评价，计算得到总的乏燃料组件气密性损伤的频率为4.8×10-7/(堆·年)。经分析发现，由于事故进程较慢且干预时间较长，目前PSA通常采用的24 h不考虑恢复的假定可能并不完全适用于乏燃料桶的PSA，造成过度保守。同时给出了使用非安全级柴油机并优化技术规格书提高乏燃料桶安全性的建议。