液態(tài)金屬反應堆濕式燃料貯存桶內(nèi)部事件概率安全分析

楊紅義，顏 寒，姜凈珂

(中國原子能科學研究院 反應堆工程技術研究部，北京 102413)

鈉冷快堆、鉛冷快堆等液態(tài)金屬反應堆(LMR)均采用了高熱導率、高沸點的液態(tài)金屬冷卻劑[1]，因而相對于現(xiàn)有在商業(yè)核動力電廠的主流堆型——輕水反應堆(LWR)具備更高的冷卻劑沸騰裕度，以及更高的冷卻劑運行溫度，并以此獲得了更高的固有安全性以及熱電轉換效率[1-2]。

液態(tài)金屬冷卻劑與空氣接觸后會產(chǎn)生各類不利于反應堆運行的雜質(zhì)[3-4]，故液態(tài)金屬反應堆運行中必須保持壓力密封狀態(tài)，并通過覆蓋氣體隔絕反應堆冷卻劑與空氣，這使得液態(tài)金屬反應堆換料遠較輕水反應堆復雜和困難。

小型模塊化的液態(tài)金屬反應堆往往設計成無需換料或換料間隔特別長以回避這一問題，對于大型反應堆則必須設計一套復雜的換料系統(tǒng)進行定期換料操作。這套復雜的換料系統(tǒng)中往往包含1個燃料貯存桶，用于貯存從堆內(nèi)換出的乏燃料以備后續(xù)燃料清洗系統(tǒng)清洗[5]。為防止由于燃料清洗系統(tǒng)故障導致?lián)Q料工作暫停進而影響反應堆的運行效率，大型LMR燃料貯存桶往往被設計成能貯存大量乏燃料組件并配以專門的冷卻系統(tǒng)，這樣就在堆芯和乏燃料水池以外形成一個特殊的燃料暫存裝置，當貯存桶內(nèi)放置大量燃料且發(fā)生冷卻劑裝量或流量損失時，極有可能發(fā)生乏燃料組件損傷事故進而導致放射性危害，因此有必要運用概率安全分析(PSA)的方法對這種臨時燃料貯存裝置的安全性能進行研究，掌握其安全特點，識別設計改進項目。

本文將以某典型的大型鈉冷快堆的濕式乏燃料貯存桶為對象開展相關的概率安全分析。

1 典型液態(tài)金屬反應堆換料過程及乏燃料桶設計

對于需要定期更換燃料的液態(tài)金屬反應堆，換料過程往往需要多個系統(tǒng)共同參與，包括堆內(nèi)換料系統(tǒng)、堆外換料系統(tǒng)、乏燃料組件工藝運輸系統(tǒng)、新組件工藝運輸系統(tǒng)等。為保證堆芯幾何形狀完整以及相關的物理性能，在完成相關換料準備活動后，反應堆和相關換料系統(tǒng)在封閉的情況下按照“一出一進”的原則開展換料操作，即1個新組件被換入堆芯前，1個乏燃料組件從堆芯中心被換入反應堆周圍的乏燃料堆內(nèi)貯存阱，1個在乏燃料堆內(nèi)貯存阱中放置了數(shù)個運行周期的乏燃料組件被轉移進入堆外的乏燃料貯存桶。

乏燃料貯存桶中的組件從主容器中取出后，上面沾有帶放射性的液態(tài)金屬冷卻劑，需經(jīng)過復雜的清洗過程才能放入乏燃料水池，否則一方面存在放射性釋放危險，另一方面液態(tài)堿金屬與水接觸后還會有劇烈的化學反應。

乏燃料貯存桶一般有兩種設計形式[4]：干式桶和濕式桶。

干式桶，即不為桶內(nèi)乏燃料組件提供冷卻或僅提供少量風冷的貯存桶，這種情況下桶內(nèi)無法貯存大量組件，較為安全，即使最為嚴重的事故工況下也只可能有數(shù)根乏燃料組件發(fā)生氣密性破損，但一旦桶本身或后續(xù)的清洗系統(tǒng)發(fā)生故障，反應堆的換料工作必須短時間內(nèi)中止，等待故障排除。

濕式桶，即通過鈉循環(huán)以及空氣熱阱為桶內(nèi)乏燃料組件提供冷卻，這種情況下桶內(nèi)能貯存大量組件，即使后續(xù)清洗系統(tǒng)發(fā)生故障，也可將堆內(nèi)換出的組件暫存入桶中，換料時無需考慮清洗效率，換料完成后即可按規(guī)程開堆。

因為上述特征，實驗堆等沒有商業(yè)目的的反應堆，一般會選擇安全的干式桶，而商業(yè)反應堆出于保證反應堆運行效率的考慮往往會選擇運行效率高，但安全設計更復雜的濕桶，后續(xù)的研究同樣以濕桶為研究對象。

對于有乏燃料組件冷卻能力的乏燃料轉換桶，設有專門的冷卻系統(tǒng)，通過冷鈉對桶中貯存的乏燃料組件進行冷卻，冷卻系統(tǒng)中的鈉則通過由風機驅(qū)動的風冷系統(tǒng)進行冷卻。

2 運行工況分析

在輕水反應堆上開展低功率停堆PSA時，電廠運行狀態(tài)(POS)分析是PSA的第1步，這是因為不同工況下反應堆、相關安全系統(tǒng)及安全狀態(tài)并不一致，可能存在不同的風險，必須分開分析[6]。

液態(tài)金屬冷卻反應堆的乏燃料貯存桶在不同工況下的燃料裝量相差很大，因此有必要在始發(fā)事件分析前將乏燃料桶的運行工況劃分為若干個類別。

經(jīng)過對乏燃料桶以及相關換料系統(tǒng)在反應堆運行和換料過程中的運行方式進行研究，認為可將其運行工況劃分為3個不同的運行狀態(tài)(表1)。

表1中換料工作(狀態(tài)B)發(fā)生的頻率來源于某設計中的液態(tài)金屬冷卻劑反應堆型號的換料間隔與換料時間，同時假定每20次換料中清洗系統(tǒng)發(fā)生1次故障，故障使得換料-清洗時間持續(xù)40 d。

由于運行狀態(tài)A時桶內(nèi)無燃料，認為發(fā)生乏燃料組件損傷事件的風險為0，后續(xù)詳細對狀態(tài)B以及狀態(tài)C開展分析。

3 始發(fā)事件分析

采取失效模型影響分析(FMEA)的方法對乏燃料桶及其冷卻輔助系統(tǒng)進行分析[6]，識別各類設備故障導致的始發(fā)事件，并評價其始發(fā)事件發(fā)生頻率，結果列于表2。

表1 乏燃料桶運行狀態(tài)Table 1 Operation state of spent fuel container

表2 各運行狀態(tài)下始發(fā)事件及其頻率Table 2 Initiating event and its frequency by operation state

始發(fā)事件頻率評價采用故障樹方法[6]，采用NUREG/CR-6928[7]以及愛達荷國家實驗室的可靠性數(shù)據(jù)庫[8]，其中涉鈉部件采用愛達荷國家實驗室的液態(tài)金屬反應堆部件失效數(shù)據(jù)，其余數(shù)據(jù)采用NUREG/CR-6928中的部件可靠性數(shù)據(jù)。通過以上數(shù)據(jù)計算獲得假定365 d乏燃料桶冷卻劑系統(tǒng)連續(xù)運行情況下始發(fā)事件的頻率，之后乘以表1中運行狀態(tài)B或運行狀態(tài)C在總運行時間中的占比，獲得相關始發(fā)事件的頻率。

4 事故序列分析

針對前文列出的每個始發(fā)事件，構建其事故序列，所構建事故序列主要考慮以下安全功能或系統(tǒng)的響應。

1) 乏燃料轉換桶冷卻系統(tǒng)冷卻乏燃料組件。乏燃料轉換桶以及與其直接連接的冷卻系統(tǒng)構成一個冷卻閉環(huán)系統(tǒng)，冷卻系統(tǒng)分為2列，每列包括2臺電磁泵和1臺熱交換器以及若干附屬管道閥門，2列共用的部分包括若干雙層鈉管道與1個鈉緩沖罐容器，不存在單層的2列共用鈉管道，2列中的任意1列均可維持足夠的循環(huán)流量為乏燃料桶中的乏燃料組件提供冷卻。

2) 風冷系統(tǒng)提供最終熱阱。風冷系統(tǒng)也分為2列，每列由2臺風機和附屬通風通道以及風量調(diào)節(jié)裝置組成，分別為2列乏燃料桶冷卻系統(tǒng)的熱交換器提供最終熱阱。

3) 相關閥門組隔離管道泄漏。由于2列乏燃料冷卻系統(tǒng)之間是連通的，為防止1列系統(tǒng)發(fā)生泄漏后2列系統(tǒng)均無法維持流量，設計了專門的閥門組，使得1列系統(tǒng)的任意單層管道泄漏發(fā)生后將其隔離，另外1列系統(tǒng)能繼續(xù)執(zhí)行乏燃料桶冷卻功能。

4) 保護容器包容乏燃料桶泄漏。乏燃料轉桶是一雙層容器，由內(nèi)層的主容器和外層的保護容器組成，主容器發(fā)生泄漏后，漏出的鈉會漏入容器外層的保護氣腔中，由于氣腔體積有限，主容器內(nèi)鈉液面的降低也非常有限。這種情況下只要外層容器不發(fā)生泄漏，則內(nèi)層泄漏不會對乏燃料桶冷卻系統(tǒng)的冷卻能力造成顯著影響。

根據(jù)以上安全功能，分析每個始發(fā)事件發(fā)生后是否需要以上安全功能的響應，以及不同的成功-失敗組合下電廠的事故序列及最終后果，形成9顆事件樹(5個始發(fā)事件、2個運行狀態(tài)，其中乏燃料桶主容器泄漏不區(qū)分運行狀態(tài))，其中典型的事件樹如圖1、2所示，圖中STCD表示乏燃料組件發(fā)生氣密性破損。

5 定量化以及重要割集

基于以上始發(fā)事件、事故序列模型，構建相關系統(tǒng)故障樹模型，完成結果的定量化。共構建了乏燃料桶冷卻系統(tǒng)故障樹2棵、最終熱阱通風系統(tǒng)1棵以及應急供電系統(tǒng)故障樹2棵，其中應急供電系統(tǒng)故障樹參考該反應堆PSA報告中的模型，這些故障樹主要給乏燃料桶冷卻系統(tǒng)以及最終熱阱通風等題頭事件提供輸入。這些故障樹中考慮了如下共因失效組：1) 備用的2臺電磁泵啟動共因失效；2) 4臺電磁泵的運行共因失效；3) 4臺風機的運行共因失效；4) 2臺應急柴油機組的啟動共因失效；5) 2臺應急柴油機組的運行共因失效。

對于破損管道閥門組等其他題頭事件，則根據(jù)相關反應堆PSA經(jīng)驗進行保守的假定。最終的定量化分析結果如下：總的乏燃料組件氣密性損傷的頻率為4.8×10-7/(堆·年)。其中支配性的割集列于表3。

以Fussell-Vesely(F-V)重要度評價，支配性的5個基本事件分別為：始發(fā)事件-55組件時1臺電磁泵停運、正常供電母線開關站故障、電磁泵啟動共因失效、風機運行共因失效、柴油機處于測試中。

圖1 乏燃料組件轉換桶冷卻系統(tǒng)管道泄漏事件樹Fig.1 Event tree of spent fuel container cooling system sodium pipe leakage

圖2 乏燃料組件轉換桶冷卻系統(tǒng)電磁泵停運事件樹Fig.2 Event tree of electromagnetic pump of spent fuel container cooling system out of service

表3 支配性的割集(前10)Table 3 Major MCS (TOP 10)

6 關鍵因素討論

由完成的PSA結果可得出以下結論：

1) 從數(shù)值上看，4.8×10-7/(堆·年)的乏燃料組件損傷概率雖較低，但已是一不可忽略的風險，對于后續(xù)液態(tài)金屬反應堆設計，如果采用了這種濕式燃料中轉暫存裝置的設計，應在PSA中關注此項風險。

2) 分析中的一些保守處理可能導致風險的估計值明顯偏大，目前采用的1項基本假設是：任務時間為24 h，同時不考慮所有設備的維修恢復，根據(jù)目前的熱工計算，即使喪失冷卻劑60 h以上，之后只要恢復冷卻劑循環(huán)與最終熱阱，乏燃料組件以及乏燃料桶的完整性也有可能得到保證，考慮到電磁泵多數(shù)故障模式的故障維修較為簡易，而目前識別的多數(shù)關鍵的故障發(fā)生在電氣系統(tǒng)中，因此有理由相信，在恰當考慮設備的維修與恢復后，乏燃料組件損傷頻率數(shù)值會出現(xiàn)明顯下降。

3) 為評估考慮維修的潛在影響，通過敏感性分析進行評價。之前的分析中假定了電源的恢復，假定除此之外，事故后第1 d任何維修活動都是不可行的，之后認為有2 d的時間(事故的第2 d與第3 d)可修復任意1臺始發(fā)事件中沒有損傷的電磁泵(始發(fā)事件的原因是多方面的，未必是泵本身的故障)，相關設計人員判斷電磁泵的多數(shù)故障模式的修復時間可能低于12 h，但該評估來源于正常的計劃性維修活動，事故下的維修活動更為復雜，且第2、3 d固然可修復第1 d發(fā)生的故障，但期間也有可能發(fā)生新的故障，欲從數(shù)值上求解，必須獲得準確的平均修復時間，利用馬爾科夫等算法進行求解，本文簡單地假定第2、3 d不會產(chǎn)生新的故障，且設備的平均修復時間保守地假定為24 h，修復的時間窗口為2 d。在此假定下，最終的STCD頻率為2.71×10-7a-1，較第5章中的保守結果明顯降低，如果能獲得準確的平均維修時間，并考慮電磁泵以外其他設備的維修，那么STCD能進一步降低，預計至多降低1個量級。

4) 從目前的分析來看，失流事故與喪失熱阱事故相關的始發(fā)事件較喪失廠外電事故以及冷卻劑喪失事故的重要度高，這是因為相關始發(fā)事件的頻率較高，同時也是因為雙層容器-管的設計能有效降低冷卻劑喪失的影響，而乏燃料事故緩慢的事故進程也使得失去廠外電事故的風險不高——多數(shù)情況下廠外電會在數(shù)小時內(nèi)恢復。

5) 值得一提的是，應急柴油機的定期試驗在總的風險中占比較高，這是因為作為安全級能動設備的電源，應急供電系統(tǒng)無法在電廠運期間完成定期試驗與檢修，而乏燃料桶主要在停堆換料期間裝載乏燃料，發(fā)生事故后應急柴油機處于檢修狀態(tài)的概率不低，對此建議應引入風險指引的設計與技術規(guī)格書優(yōu)化與其他的應用[9-14]，允許乏燃料桶冷卻系統(tǒng)的電磁泵和風機使用非安全級的可靠性柴油機組并保證可靠性柴油機組在反應堆正常運行——換料活動開始前完成定期試驗與檢修，該措施經(jīng)初步分析能使乏燃料損傷的風險降低14%左右。

7 結論

大型液態(tài)金屬反應堆所用的濕式乏燃料貯存桶是其特有的風險源，本文利用PSA方法，對相關的風險進行了評價?；诜治雠c評價，計算得到總的乏燃料組件氣密性損傷的頻率為4.8×10-7/(堆·年)。經(jīng)分析發(fā)現(xiàn)，由于事故進程較慢且干預時間較長，目前PSA通常采用的24 h不考慮恢復的假定可能并不完全適用于乏燃料桶的PSA，造成過度保守。同時給出了使用非安全級柴油機并優(yōu)化技術規(guī)格書提高乏燃料桶安全性的建議。