核電站多樣性保護系統的信號設置及驗證分析

陳 果 方紅宇 初 曉 徐青藍 喻 娜

（中國核動力研究設計院核反應堆系統設計技術重點實驗室，四川 成都 610213）

0 引言

在田灣核電站擴建工程5&6 號機組上，設置了多樣性保護系統（Diverse Actuation System，DAS），用以應對可能發生的整個安全級儀控系統的軟件共模故障（Software Common Cause Failure，SWCCF）。

本文所提的SWCCF 是指發生在安全級數字化儀控平臺軟件的共模故障。當發生SWCCF 時，安全級數字化儀控平臺完全失效，從而使得通過該平臺實現的系統或功能失效， 包括正常保護系統的緊急停堆功能、專設安全設施驅動功能等。 在這種情況下，只能通過不同于該平臺的非安全級平臺進行保護。

DAS 系統采用了獨立于安全級數字化儀控平臺的非安全級數字化儀控平臺，該系統與反應堆保護系統之間有最大限度的實體隔離和電氣隔離，不接收經反應堆保護系統軟件處理后的信號，同時也不送出信號參與反應堆保護系統的軟件處理，從而滿足了多樣性和獨立性的設計原則。

本文針對安全級儀控系統因軟件共模故障而失效，操作員沒有充分的手動干預時間的情況下，研究和提出需要在多樣性保護系統（DAS）中設置的自動保護信號和功能，并通過驗證分析，證明依靠DAS 系統能夠保證事故后果滿足相關驗收準則，為多樣性保護系統中自動保護信號的選定及論證提供經驗。

1 論證方法及驗收準則

DAS 驗證分析的目的是評價在發生軟件共模故障的情況下， 多樣性保護系統的設計是否能夠確保反應堆裝置的安全。 DAS 驗證分析的是始發事件疊加軟件共模故障SWCCF 的工況， 原則上屬于超設計基準事故分析的范疇，因此應采用最佳估算方法（現實性假設），主要體現在以下一些方面：不考慮單一故障、不疊加考慮喪失廠外電源、有關參數取名義值（如電廠的初始功率、初始溫度、壓力、中子學參數、余熱曲線、安注流量、閥門的容量等參數可以采用現實性假設）等。

由于安全級數字化儀控平臺失效，因此不考慮由該平臺實現的正常緊急停堆功能和專設安全設施驅動功能等，只考慮通過非安全級數字化儀控平臺實現的保護功能（如ATWT 緩解系統等）。 同時，分析中考慮了不受SWCCF 影響的有關操縱員手動動作， 并且假定事故發生10 分鐘以后操縱員的手動緊急停堆和對專設安全設施的操作才有效。

此外，DAS 驗證分析的驗收準則與設計基準事故存在差異。 NUREG—0800/BTP7-19 和NUREG/CR—6303 中介紹了有關的DAS 驗證分析驗收準則， 本文基于這些技術文件中的準則，并結合多樣性保護設計原則和DAS 驗證分析的目的，對驗收準則作了進一步研究，確定了重要的和具體的驗收準則：要求最佳估算結果滿足屏障完整性準則（不能導致一回路壓力邊界和安全殼完整性喪失）、滿足放射性后果準則、滿足根據多樣性原則及保證堆芯可冷卻幾何形狀等確定的堆芯狀態相關準則。 針對具體事故工況及分類，確定的具體驗收準則如表1 所示。

表1 DAS 驗證分析驗收準則

2 DAS 驗證分析

2.1 驗證分析的事故工況

為評價SWCCF 對各個事故的影響， 本文篩選出17 個特定事故進行分析，包括零功率及滿功率工況下給水流量增加、 零功率及滿功率工況下蒸汽管道破裂、汽輪機事故停機、主給水管道破裂、反應堆冷卻劑強迫流量完全喪失、反應堆冷卻劑泵軸卡住、一組棒束控制組件在次臨界或低功率啟動工況下失控抽出、RCCA 組在功率運行工況下失控抽出、 單個控制棒組件彈出、棒束控制組件彈出、一個穩壓器先導安全閥誤開、蒸汽發生器傳熱管破裂、蒸汽發生器傳熱管破裂加安全閥卡開、失水事故以及硼稀釋事故。

2.2 事故分析驗證

對于每一個事故，首先評價發生SWCCF 時，采用最佳估算的方法以及本文第2 節中提到的假設條件（包括操縱員可在事故發生10 分鐘后手動停堆、執行其他必要的安全功能）， 核反應堆裝置是否可以轉至安全的狀態。 如果結果不能滿足安全準則的要求，則進一步研究需要在多樣性保護系統DAS 中設置什么自動保護信號才能確保結果達到安全準則的要求。

因而，驗證分析的結果可分為兩種情況：一種是即使不在DAS 中設置相應的自動保護信號，事故的結果也能滿足驗收準則的要求， 如汽輪機事故停機等；另一種情況是需要在DAS 中設置專門的自動保護信號對事故后果進行緩解，如給水管道破裂事故、失水事故等。

以下分別以汽輪機事故停機和給水管道破裂事故、失水事故為例說明DAS 驗證分析的方法和過程。

2.2.1 汽輪機事故停機

當發生汽輪機事故停機的事件時，二回路蒸汽流量快速減少，排熱能力降低，同時由于發生SWCCF，導致通過安全級數字化儀控平臺實現的正常緊急停堆功能、大氣排放系統排放功能（GCT-A）及啟動輔助給水的功能均失效，導致短時間內一回路冷卻劑的溫度和壓力上升。 考慮了以下兩種不同的工況：

工況A，假設正常給水不受影響，蒸汽發生器二次側依靠蒸汽旁路排放至冷凝器（GCT-C）和蒸汽發生器安全閥進行排熱。

工況B， 假設正常給水很快喪失， 且能夠觸發ATWT 緩解系統進行保護。

采用最佳估算的方法，初始電廠狀態為額定滿功率狀態，考慮了壽期初和壽期末兩種情況，不考慮通過安全級數字化儀控平臺實現功能，并且假設事故后10 分鐘可以手動停堆和啟動輔助給水。 分析結果表明：對于工況A，正常給水不受影響，發生汽輪機事故停機后，通過給水、蒸汽發生器安全閥及GCT-C 可以有效導出堆芯熱量， 并且事故后10 分鐘手動停堆降低堆芯功率，10 分鐘后根據需要手動啟動輔助給水系統， 確保順利導出堆芯余熱， 瞬態過程中最小DNBR及系統壓力均滿足限制準則的要求；對于工況B，雖然喪失了正常給水，當通過ATWT 緩解系統觸發緊急停堆，并且啟動輔助給水系統，同樣使得堆芯余熱可以順利導出，最小DNBR 及系統壓力也沒有超過限制準則的要求。

因此， 當發生汽輪機事故停機疊加SWCCF 的瞬態時，無論是否可以自動觸發ATWT 緩解系統，事故過程中不會發生偏離泡核沸騰（DNB），系統壓力不會超限，不需要在DAS 中專門針對此事故設置自動保護信號。

2.2.2 給水管道破裂事故

對給水管道破裂事故分析同樣考慮是否可能觸發ATWT 緩解系統兩種工況，分別記為工況1、工況2。

對于工況1， 發生主給水管道雙端剪切破裂后，給水流量將瞬時減為0， 隨后由ATWT 緩解信號觸發停堆，同時延時一段時間啟動輔助給水泵。 結果表明，反應堆可以得到保護，堆芯是安全的。 此事故下反應堆很快由ATWT 緩解信號觸發緊急停堆，核功率急劇下降，且堆芯內未發生DNB， 這也意味著燃料包殼和芯塊的溫度符合限值要求。 事故過程中一回路系統壓力低于限值，因此一回路壓力邊界的完整性也得到了保障。

此外，對于給水管道破裂事故，存在這樣的較小破口，其不會導致流往三臺蒸汽發生器的主給水流量都全部喪失，可能存在流往2 臺或全部蒸汽發生器的給水流量維持在額定流量的6%以上的情況， 此時無法觸發ATWT 緩解信號。 此種工況定為工況2，假設只有某2 臺蒸汽發生器的給水流量維持在額定流量的6%，另一臺蒸汽發生器的給水流量為0，則ATWT緩解信號無法發出。 工況2 的計算結果表明，一回路系統壓力峰值超過了限值。

通過工況1 和工況2 的分析可知：對于可以觸發ATWT 緩解信號的較大破口的給水管道破裂事故，不要求在DAS 中設置其他自動保護信號；對于不能觸發ATWT 緩解信號的較小破口的給水管道破裂事故，要求在DAS 中設置其他自動保護信號。根據給水管道破裂事故的特點， 反應堆一回路系統壓力會快速上升，因此考慮在DAS 系統中設置“穩壓器壓力高信號”自動觸發緊急停堆。 同時，在事故發生后10 分鐘，操作員啟動輔助給水泵向完好SG 注水，帶走堆芯余熱。這一工況記為工況3。

工況3 的計算結果表明，對于DAS 中設置穩壓器壓力高緊急停堆保護的情況下， 在10 分鐘后手動隔離破損SG，啟動輔助給水系統；堆芯未發生DNB，燃料包殼和芯塊不會發生損毀， 反應堆堆芯是安全的；一回路峰值壓力為17.46MPa，未超過壓力限值，一回路壓力邊界的完整性也得到了保障。

對于可以自動觸發ATWT 緩解信號的較大破口的主給水系統管道破裂事故，ATWT 緩解系統可以有效保護反應堆，不要求在DAS 中設置其他的自動保護信號。對于無法觸發ATWT 緩解信號的較小破口的主給水系統管道破裂事故，要求在DAS 中設置“穩壓器壓力高緊急停堆信號”。

2.2.3 失水事故（大LOCA）

SWCCF 導致安全級數字化儀控平臺完全失效，將導致自動停堆失效、自動啟動安注功能失效、自動停運主給水泵和自動啟動輔助給水泵等失效。

分析中假定事故發生后10 分鐘操縱員手動停堆、執行專設安全功能。 結果表明，在安注箱注入完成后，由于反應堆在較長時間內沒有冷卻堆芯所需的足夠安注流量， 直至事故后10 分鐘操縱員才手動啟動安注，事故發生后燃料包殼溫度超過了1 204℃，不滿足驗收準則，因此需要在DAS 中專門針對此工況設置自動保護信號。

根據大LOCA 的事故進程特征，選擇穩壓器壓力低信號觸發停堆和穩壓器壓力低低信號觸發安注，不考慮設置其他保護功能，結果表明，在這一工況下燃料包殼峰值溫度為961.3℃，不會超過限值（1204℃），滿足驗收準則的要求。 因而，需要在DAS 中設置穩壓器壓力低停堆信號和穩壓器壓力低低安注信號，為反應堆提供必要的保護。

2.2.4 DAS 驗證分析結果

通過對2.1 節中提及的17 個事故進行驗證分析，主要結果如表2 所示。

表2 DAS 驗證分析結果

總體而言，為應對安全級儀控系統發生SWCCF 所帶來的影響，需要在DAS 中設置的自動保護信號如下：

（1）自動停堆信號

功率量程中子注量率高自動緊急停堆信號。

穩壓器壓力高自動緊急停堆信號。

穩壓器壓力低與P7 符合自動緊急停堆信號。

兩臺環路反應堆冷卻劑流量低信號（與P7 符合）自動緊急停堆信號。

（2）專設驅動信號

穩壓器壓力低低自動安注信號。

蒸汽流量高與低補償蒸汽壓力符合自動隔離主蒸汽信號。

3 結語

本文采用最佳估算的方法，對初因事件疊加軟件共模故障的工況進行了分析，提出了需要在多樣性保護系統DAS 中設置的緊急停堆信號和專設驅動信號，從而確保了田灣核電站擴建工程5&6 號機組在該類故障下仍然能夠處于安全可控的狀態。