乏燃料卸料過程中DCCY 故障的風險分析與對策

丁鉀沨

（中核核電運行管理有限公司，浙江嘉興 314300）

0 引言

中核運行三廠作為CANDU-6 型重水堆機組，采用電廠計算機系統（Digital Control Computer，DCC）進行控制，為了保證控制的可靠性和安全性，DCC 采用雙機控制模式，即DCCX 和DCCY。雙機的硬件配制和功能基本相同，運行基本相同的控制程序（燃料操作系統僅由DCCY 控制），均能獨立完成對整個機組的控制。

CANDU-6 型重水堆不停堆換料是由燃料操作系統來完成的，整個換料過程是由若干個計算機工作（JOB）和許多程序（SEQ）組成，程序中每一個指令的執行，是通過DCCY 輸入或輸出來控制的。燃料操作系統用來控制設備動作和顯示設備狀態的數字輸入信號D/I 有586 個，數字輸出信號D/O 有349 個，模擬輸入信號A/I 有170 個，所有的D/I、D/O、A/I 都是為了完成不停堆換料任務，因此DCCY 是換料過程中重要的控制設備。

1 乏燃料卸料過程中DCCY 故障的風險分析

1.1 乏燃料卸料過程描述

乏燃料卸料操作是不停堆換料過程中的重要組成部分，乏燃料卸料通過DCCY 進行控制，主要過程是：下游裝卸料機裝有8 根乏燃料抱卡到乏燃料通道，降低裝卸料機料倉液位到堰壩液位，打開乏燃料通道內、外球閥，轉動裝卸料機料倉，利用C桿前進指令將乏燃料推到升降斗上，通過下降升降斗將乏燃料運輸至水下小車，所有乏燃料入水后，完成乏燃料卸料程序。

1.2 DCCY 故障現象描述

作為全廠控制的核心，DCC 系統是一個實時控制系統，燃料操作系統僅由DCCY 控制，沒有備用計算機，所以DCCY 系統對乏燃料卸料操作非常關鍵。

DCCY 故障有兩種主要模式：計算機重啟和計算機停止。這兩種故障形式都將對燃料操作系統的乏燃料卸料操作產生影響，同時影響到乏燃料的冷卻，導致乏燃料發生物理變形或破損，因此需要采取應急響應行動。

1.2.1 計算機DCCY 重啟模式的現象

（1）與DCCY 相連的兩側換料盤臺CRT 顯示器黑屏，可以通過功能鍵盤按鈕恢復。

（2）燃料操作系統功能鍵盤的“STOP”燈亮。

（3）所有輸出到燃料操作系統的計算機D/O 失效斷開，所有驅動設備將停止動作。

（4）通過電站報警系統警示主控室操作員計算機已重啟。

1.2.2 計算機DCCY 停止模式的現象

（1）CRT 顯示將不會更新。如果計算機在停止后立即重啟，CRT 將要黑屏并且無法恢復，直至計算機重新啟動。

（2）燃料操作系統功能鍵盤的燈全部熄滅。

（3）所有輸出到燃料操作系統的計算機D/O 失效斷開，所有驅動設備將停止動作。

（4）通過電站報警系統警示主控室操作員計算機已停止運行。

在計算機重啟之前無法執行任何半自動或自動操作，必須通過手動模式完成所有應急操作，CRT 的顯示直到計算機重啟后才可用，所以換料操作員必須借助盤臺指示燈和讀數，來確定燃料操作系統的狀態。

1.2.3 計算機DCCY 故障主控室盤臺報警相關信息

當DCCY 出現故障時，主控室會出現窗報和CRT 報警指示。主控室操作員根據報警響應規程，識別DCCY 出現的是DCCY重啟報警，還是DCCY 停止報警，并及時通知換料操作員。

1.3 DCCY 故障后對乏燃料卸料操作的影響

總結兩種計算機故障模式，發現乏燃料卸載時DCCY 故障導致所有D/O 因失效而斷開，所有驅動設備停止動作，主要將影響以下4 個設備和系統：①裝卸料機料倉壓力設定點丟失，料倉回流管線壓力控制閥PCV1 在自動控制模式下閥門將會全開；②重水供給系統重水泵保持運行；③油系統的主油泵和增壓泵停運；④所有D/O 失效斷開，所有驅動設備將停止動作。

1.4 DCCY 故障對乏燃料失去冷卻的風險分析

通過DCCY 故障后對乏燃料卸料操作的影響分析發現，在乏燃料卸料過程中，如果DCCY 故障很容易使乏燃料喪失冷卻。參照圖1，根據乏燃料不同的冷卻工況從3 種情況進行分析。

圖1 乏燃料冷卻流量示意

1.4.1 第一種情況：裝卸料機料倉處于滿液位，靠裝卸料機內的循環重水冷卻乏燃料

燃料操作系統的重水來源于主熱傳輸系統重水儲存箱TK1，通過重水供應泵P1/P2 供給裝卸料機重水控制系統，最后重水通過料倉回流管線隔離閥MV31 和MV32 回到重水泵入口形成循環，回流管線的熱交換器HX2 作為系統中的熱阱，帶走乏燃料衰變熱。

如果此時DCCY 故障，料倉壓力設定點將會失去，料倉回流管線壓力控制閥PCV1 在自動控制下4 s 內達到全開，料倉壓力上升至重水供給壓力；同時D/O 失效斷開導致油系統的主油泵和增壓泵立即停運，但料倉回流管線隔離閥MV31 和MV32 在10 s 后才會關閉，料倉回流管線隔離閥MV31 和MV32 關閉后，料倉回流流量才下降為零，料倉回流管線被切斷，料倉內的乏燃料失去冷卻。

如料倉內的乏燃料失去冷卻，料倉溫度將會升高，8 min 內將55 ℃上升到90 ℃。此時若不能及時恢復油系統，需要密切監視料倉溫度，如果料倉溫度超過90 ℃則將重水供給壓力升到高壓，通過料倉壓力釋放閥RV1/RV2 釋放重水來冷卻乏燃料，待料倉溫度降低到60 ℃以下后，再將裝卸料機重水供給壓力設為低壓。因此，DCCY 故障導致油泵停運后，應第一時間手動啟動油泵，并關注料倉溫度，如果超過90 ℃，將通過重水外溢形成開式循環來實現乏燃料的冷卻。

1.4.2 第二種情況：裝卸料機處于堰壩液位，料倉轉動已有乏燃料轉出水面或部分轉出水面，推桿沒有前進

此種情況會出現乏燃料部分暴露在空氣中，正常卸料期間認為短暫的暴露在空氣中是安全的，同時根據卸料的過程進行，可能其它料倉管的乏燃料也會有部分漏出水面的情況，如果此時DCCY 故障，程序將會中斷，料倉停止轉動，回流流量不會失去，堰壩液位以下的乏燃料不會失去冷卻，暴露在空氣中的乏燃料會失去冷卻，長時間的失去冷卻，會導致乏燃料的包殼破損，使放射性物質泄漏到空氣中，造成廠房應急甚至更嚴重的事件，因此需要換料操作員必須采取及時有效的措施，使乏燃料棒束得到充分的冷卻，避免事態的進一步惡化。根據該情況分析，換料操作員應第一時間手動恢復油系統，將料倉管轉到H 管，使所有料倉管的乏燃料都處于安全狀態。

1.4.3 第三種情況：裝卸料機處于堰壩液位，C 桿前進推動乏燃料到升降斗，直至升降斗下降至乏燃料接收池

該過程大約為2 min，乏燃料隨著升降斗進入接收池，重新建立冷卻，如果此時DCCY 故障，自動程序中斷，料倉重水循環流量不會失去，堰壩液位以下的乏燃料不會失去冷卻，暴露在空氣中的乏燃料停止動作，失去冷卻，與第二種情況失去冷卻的后果一樣。因此，換料操作員首先應查看乏燃料棒束位置，手動動作C 桿，將乏燃料傳輸至升降斗，手動提升乏燃料棒束擋塊，手動釋放升降斗剎車傳輸至水面以下，使乏燃料得到充分的冷卻，避免事態的進一步惡化。

2 乏燃料卸料過程中DCCY 故障的響應對策

根據乏燃料卸料過程不同的冷卻方式，分為三種狀態制定了響應對策，任何一種響應對策首先要保證乏燃料的冷卻，采取的響應措施應該是使乏燃料最安全最快速恢復冷卻的辦法。由于DCCY 故障后只能進行手動操作，建議乏燃料恢復冷卻后，不再進行其他手動操作，等待DCCY 恢復正常，后續操作執行自動指令，從而降低人因失誤概率。

在執行應急響應程序時，注意控制時間，因為根據乏燃料暴露在空氣中1 h 后的分析結果顯示，乏燃料在空氣中10 min，乏燃料應急冷卻就應投入運行，大約20 min 后其物理尺寸將會發生變化從而導致該棒束在卸出時發生困難。

2.1 料倉處于PARK 壓力狀態的響應對策

2.1.1 計算機DCCY 故障后燃料操作系統狀態

料倉處于滿液位狀態，回流管線隔離閥MV31 和MV32 將在油系統停運后大約10 s 關閉，回流管線切斷，乏燃料失去冷卻。

2.1.2 響應操作步驟

響應操作步驟見表1。

表1 料倉處于PARK 壓力狀態的響應操作步驟

2.2 料倉處于堰壩液位乏燃料在料倉中的響應對策

2.2.1 計算機DCCY 故障后燃料操作系統狀態

料倉停止轉動，推桿沒有前進，乏燃料部分或全部轉出水面，乏燃料暴露在空氣中失去冷卻。

2.2.2 響應操作步驟

響應操作步驟見表2。

表2 料倉處于堰壩液位乏燃料在料倉中的的響應操作步驟

2.3 料倉處于堰壩液位乏燃料已經動作的響應對策

2.3.1 計算機DCCY 故障后燃料操作系統狀態

乏燃料通道內球閥MV6 和外球閥MV5 打開，料倉處于堰壩液位，C 桿推動乏燃料，向升降斗上前進，DCCY 故障，C 桿將停止前進，使乏燃料暴露在空氣中失去冷卻。

2.3.2 響應操作步驟

響應操作步驟見表3。

表3 料倉處于堰壩液位乏燃料已經動作的響應操作步驟

根據圖2 所示，C 桿與乏燃料通道外球閥的位置大致分為3 種，如果此時無法通過手動操作傳輸乏燃料，為了保證乏燃料的冷卻，將按照C 桿的位置進行相應的操作：

圖2 C 桿與乏燃料通道外球閥的位置參數

（1）第一種位置情況：第一根棒束前端面不在外球閥下面，C 桿停在1953 mm 之前，執行表2 操作步驟，關閉外球閥MV5，升料倉液位，建立重水冷卻回流流量。

（2）第二種位置情況：乏燃料在外球閥下面，C 桿停在1953～3248 mm，此時外球閥無法關閉，則執行表4 操作通過輕水冷卻乏燃料。

表4 C 桿位于第二種位置情況的響應操作步驟

（3）第三種位置情況：C 桿停在3248～3294 mm，此時燃料棒束不在外球閥下面并且也沒有在水下，執行表5 操作步驟。

表5 C 桿位于第三種位置情況的響應操作步驟

3 結束語

根據上述分析，乏燃料在卸料過程中，計算機DCCY 故障時乏燃料會出現3 種失去冷卻的情況，發生DCCY 故障后換料操作員首先應分析燃料操作系統所處狀態，嚴格按照響應步驟執行，以確保乏燃料得到充分的冷卻，并最大限度減少重水損失。