WSMR非能动安全系统在全厂断电事故下的事故缓解能力分析

陈 钧，缪惠芳*，李卓成，石兴伟

(1.厦门大学能源学院，福建 厦门 361102；2.生态环境部核与辐射安全中心，北京 100082)

小型模块化反应堆(指电功率小于300 MW的反应堆，以下简称小堆)凭借初期成本低、建造周期短、电厂布置灵活以及用途广等特点，获得了广泛的关注[1].先进的小堆采用将反应堆主要系统部件布置于压力容器内的一体化结构，大量采用非能动安全设计，最大限度地减少运行所需的主要零部件，从设计上消除了一些特定的事故(如大管道破裂导致的冷却剂丧失事故)，从而显著提升了反应堆的固有安全性[1-2].

近年来，国际上提出了多种先进的小堆设计[3]，且相关的安全分析也正在逐步开展.西屋公司提出了WSMR(Westinghouse small modular reactor)的设计概念[4]，其单堆热功率为800 MW(电功率大于225 MW)，并对WSMR在设计事故下的系统响应进行了初步安全分析[5].由韩国研发的先进系统集成式模块化反应堆(system-integrated modular advanced reactor,SMART)的设计已经完成[6]，单堆电功率为100 MW，且其反应堆系统安全已经通过评估与审核[7]，此外，还对多种设计事故进行了模拟和分析(如小破口冷却剂丧失事故和主回路系统超压事故)[8-9].由Babcock & Wilcox公司开发的mPower先进小型模块化反应堆的扩展性与应用性分析也正在进行，其设计采用的“双胞胎机组”(twin-pack set)电功率可达390 MW[10].与此同时，中国也提出了基于HTR-10反应堆的球床模块式高温气冷堆HTR-PM的概念[11]，并进行了相关研究和开发工作，如热工水力瞬态研究等[12].

虽然小堆在设计和研发上已经取得了一定的成果，但是反应堆的技术变革、安全性与经济性等问题仍是小堆发展面临的巨大挑战[13].因此在小堆实现商业化之前，应对其进行全面的安全性评估，尤其是对于一系列可能对反应堆造成严重事故后果的事件，全面的安全分析有助于缓解措施的制定以及紧急事故应对能力的提升.其中，全厂断电事故是可能引发严重核事故从而导致堆芯损伤的重要事件之一.在传统大型压水堆中，常采用对反应堆主回路进行卸压注水的策略来应对全厂断电事故，从而避免高压熔堆的发生[14-15].但由于小堆与传统压水堆之间存在概念和设计上的差异，两者在发生全厂断电事故时的系统响应和事故进程可能存在显著差异.

尽管各国已经提出了多种小堆概念且进行了相关研究，然而有关小堆的非能动安全系统在全厂断电事故下的具体研究还十分稀缺，关于特定非能动安全设备的敏感性分析更是几乎空白.因此，本研究以WSMR为研究对象，以全厂断电事故为基础事故序列，研究非能动安全系统在全厂断电事故下的事故缓解能力，并针对堆芯补水箱的有效运行数量以及重新启用时间进行敏感性分析，研究其对事故进程的影响.本研究结果可为相关小堆严重事故管理导则的制定和改进提供参考，从而增强小堆对全厂断电事故的应对能力，同时有利于深化对模块化小堆的非能动安全系统的理解，有助于相关反应堆安全设计的改进.

1 模型与假设

1.1 WSMR及其非能动安全系统

本文的研究对象为西屋公司设计开发的WSMR，这是一种采用非能动安全系统设计的一体式小型模块化压水堆.如图1所示，WSMR将其反应堆主要部件集中安置在压力容器内，包括蒸汽发生器、稳压器、主冷却剂泵以及控制棒驱动机构，热功率为800 MW(电功率>225 MW)[16].WSMR设有8个主冷却剂泵，能够提供4 819.0 kg/s强制循环流量.稳压器内置于压力容器上方空间，其上方设有安全阀，在系统压强超过其设定值(17.0 MPa)后会自动开启.蒸汽发生器采用一次通过式设计，并将汽水分离功能设置在反应堆外部的蒸汽鼓中，从而有效缩小了设备尺寸，使整个系统更为紧凑.

图1 WSMR的反应堆冷却剂系统与非能动安全系统示意图Fig.1 Schematic drawing of the WSMR’s reactor coolant system and passive safety system

WSMR的非能动安全系统设计与AP1000类似[5]，其主要部件包括：4个独立堆芯补水箱、安全壳内水池及水箱、自动卸压系统、安全壳外水池以及2个外置最终热阱水箱[17].其中堆芯补水箱带有内置余热移除热交换器，并通过管线与外部最终热阱水箱相连，从而使其具有独立的余热移除能力.这些安全设施旨在利用自然循环移除反应堆衰变热，以确保足够的堆芯冷却能力.非能动安全系统不需要手动操作执行，从而降低了事故工况下的人因失误.由自然循环所驱动的非能动安全系统不需要泵、涡轮、柴油发电机等，只需要几个自动触发开关的阀门，从而提高了系统的运行可靠性，减少了由电源或机械故障引起的事故[18].Zhang等[19]进行了与WSMR相关的安全分析，并利用RELAP5程序对WSMR的热工水力模型和非能动安全系统模型进行了验证，本研究所使用的相关参数与其一致.

1.2 MELCOR模型

MELCOR是由美国圣地亚国家重点实验室(Sandia National Laboratories，SNL)开发的一款用于轻水式核反应堆严重事故分析的工程应用计算机程序，可用于模拟轻水式核反应堆的严重事故进程及后果，并监测反应堆中裂变产物的迁移和释放行为[20].由于其优良的计算性能以及较高的计算精度，MELCOR程序被核能企业、研究单位及监管部门广泛使用.因此，本研究采用MELCOR程序建立WSMR及其非能动安全系统模型，分析其非能动安全系统在全厂断电事故下的事故缓解能力.

WSMR的MELCOR节点划分如图2所示，主要包括安全壳、主冷却剂系统、主蒸汽系统和非能动安全系统几个部分.主冷却剂系统被划分为堆芯区域(CV114)、下封头区域(CV110)、上腔室区域(CV118、CV121、CV123)、下降段区域(CV100)、上升段区域(CV120)、稳压器(CV122)以及蒸汽发生器一次侧(CV88)等，其中蒸汽发生器高度为11.70～18.82 m(相对于水平面高度);主蒸汽系统包括蒸汽发生器二次侧(CV209)、主给水模块(CV213)、蒸汽鼓(CV265)以及蒸汽出口(CV290)等;非能动安全系统包括安全壳内水池(CV701)、内水池水箱(CV703)以及堆芯补水箱(CV440)等.需要说明的是，一共有2个安全壳内水池(CV701、CV702)、2个内水池水箱(CV703、CV704)和4个堆芯补水箱(CV440、CV450、CV540、CV550)，为了简化示意图，均仅画出其中一个.MELCOR模型中的控制体模块由流道相连，其主要流道包括压力平衡管线、压力容器直接注入管线以及安全壳内水池注入管线等.而MELCOR模型中的热交换计算由热构件实现，主要的热构件在图中以矩形块表示.MELCOR模型中的阀门则由带有控制函数模块的流道来控制开关，主要阀门包括自动卸压系统阀和动力卸压阀等.

图2 WSMR的MELCOR节点划分示意图Fig.2 The MELCOR nodalization diagram of the WSMR

为了准确模拟严重事故进程中堆芯熔化等复杂现象，在WSMR的MELCOR模型中对其堆芯区域进行了详细的节点划分，如图3所示.其中在轴向按照高度划分为14个轴向层，第1～4层代表下封头区域，第5层代表下部支撑板，第6～13层代表堆芯活性区域，第14层代表上部支撑结构；在径向按照功率分布划分为4个径向环，由内到外分别为1～4号环.

1.3 基础事故序列及假设

选取全厂断电事故为基础事故序列，在事故瞬态分析中，假设：1) 在0 s时发生全厂断电事故，2) 所有非能动安全设施失效，3) 事故过程中全程无人为干预.

在非能动安全系统事故缓解能力分析中，假设：1) 在0 s时发生全厂断电事故，2) 非能动安全系统正常响应，3) 事故过程中全程无人为干预.

在堆芯补水箱敏感性分析中，假设：1) 在0 s时发生全厂断电事故，2) 除堆芯补水箱及其内置非能动余热移除热交换器外的其余非能动安全设施全部失效，3) 事故过程中全程无人为干预.

2 结果与讨论

2.1 模型稳态验证

本节对WSMR的MELCOR模型进行了稳态计算以评估模型的可靠性，事故发生前的初始运行状态对后续事故进程有很大的影响，稳态运行参数的准确性表明了模型的可靠性，是后续瞬态分析的基础.在WSMR模型的稳态验证中，关键参数的计算值和设计值如表1所示.计算结果表明，MELCOR模型的计算值与设计值吻合良好，且误差在可接受的范围内，因此使用稳态计算结果作为瞬态计算的初始条件是合理的.

表1 稳态参数与设计参数的对比

2.2 全厂断电事故瞬态分析

图4 全厂断电事故下的主冷却剂流量(a)、主回路压强(b)、蒸汽发生器水位(c)、堆芯水位(d)、包壳最高温度(e)和燃料芯块最高温度(f)Fig.4 Primary system coolant flow rate (a),primary system pressure (b),steam generator water level (c),core water level (d),the highest temperature of the cladding (e),the highest temperature of the fuel pellet (f) under station blackout accident

全厂断电事故发生以后，反应堆保护系统发出信号释放控制棒，使其依靠重力自由下落插入堆芯，从而快速停止核反应.与此同时，主冷却剂泵、二次侧主给水泵以及再循环泵由于失电而惰转，导致主回路冷却剂流量迅速下降(图4(a))，堆芯余热由自然循环继续通过蒸汽发生器移除.由于堆芯产热大幅下降，且二次侧热阱在事故发生初期还未丧失，所以事故早期主回路内堆芯产热速率不及移热速率，使主回路压强在短期内下降(图4(b)).二次侧失去给水后，蒸汽鼓下方阀门自动打开，对蒸汽发生器进行重力补水以维持换热，使蒸汽发生器水位在事故早期上升，但由于缺乏额外的补水措施，所以蒸汽鼓内水量被耗尽后，蒸汽发生器水位开始逐渐下降并在3.5 ks时完全蒸干(图4(c)).随着二次侧热阱的完全丧失，堆芯余热无法被移除，导致主回路压强快速回升.如表2所示：在6.9 ks时，主回路压强上升至稳压器安全阀设定值，触发安全阀开启;随后主回路压强在安全阀设定值附近不断波动，同时主回路内冷却剂不断蒸发，导致堆芯水位开始下降.在28.0 ks时，堆芯水位下降至堆芯活性区顶部，堆芯开始裸露(图4(d)).在35.2 ks 时，堆芯完全裸露.此处选取温度最高的堆芯节点为代表作图，其包壳温度与燃料芯块温度变化如图4(e)和(f)所示.随着堆芯逐渐丧失冷却，包壳温度急剧升高，在49.8 ks时，包壳温度上升至1 477 K，表明包壳开始失效，燃料棒内部的部分放射性产物开始由包壳裂缝泄漏至回路中.与此同时，高温锆合金与高温蒸汽发生锆水反应产生大量氢气和热，加速包壳失效并显著提升芯块温度.由锆水反应所产生的氢气将积聚在安全壳中，且当其浓度达到一定水平时可能引发氢气爆炸，对安全壳的完整性构成严重威胁.在53.1 ks时，堆芯温度骤降为零，表明堆芯发生坍塌失效.

表2 关键事件发生时间点

2.3 非能动安全系统事故缓解能力分析

在全厂断电事故发生后33 s，随主回路压强下降至11.72 MPa，非能动安注信号被触发，堆芯补水箱内的含硼冷却水将随着堆芯补水箱下方阀门的开启，经由压力容器直接注入管线注入至主回路下降段中，进而流入堆芯.直接注入管线流量如图5(a)所示，在初始安注阶段，由于冷却水的低温和高密度，冷却水在较大的压差下注入，所以初始注水流量较大，在自然循环逐渐建立以后，安注流量逐渐下降并趋于稳定.注入主回路的冷却水迅速吸收堆内大量余热，使主回路堆芯入口处冷却剂的温度大幅下降(图5(b))，最低温度降至470 K.与此同时，主回路压强也快速下降至6 MPa 左右(图5(c)).注入的冷却水流经堆芯以后快速吸热升温，而后转而向上通过上升段，经由压力平衡管线从上方流回堆芯补水箱中，由此在主冷却剂系统和堆芯补水箱之间形成自然循环.流回堆芯补水箱内温度较高的冷却剂在非能动余热移除热交换器的作用下，将热量传递至反应堆外部的最终热阱水箱中.此处选取燃料芯块中心节点温度作图，结果如图5(d)所示.由于非能动安全系统的及时响应，堆芯补水箱在事故发生后短时间内便对主回路进行安注，此时堆芯仍处于淹没状态，所以堆芯始终维持在较低的温度.余热通过自然循环不断被移除，主回路内温度与压强逐渐趋于稳定，全厂断电事故得到有效缓解.

由以上分析可知，在非能动安全系统正常响应的情况下，在全厂断电事故发生以后，余热能够在堆芯补水箱补水以及余热移除热交换器的共同作用下持续被移除，从而快速缓解事故，并保证了堆芯的长期冷却.

图5 在非能动安全系统缓解下的直接注入管线流量(a)、主回路冷却剂温度(b)、主回路压强(c)和燃料芯块中心温度(d)Fig.5 Direct vessel injection line flow rate (a),primary system coolant temperature (b),primary system pressure (c) and central temperature of the fuel pellet (d) under the passive safety system mitigation

2.4 堆芯补水箱的敏感性分析

由上述分析可知，在全厂断电事故下，堆芯补水箱对于事故的缓解起到十分关键的作用.有效投入运行的堆芯补水箱数量直接影响到其所能提供的冷却水量，以及可调用的余热移除热交换器数量，从而间接地对余热移除效率及事故进程造成影响.由于全厂断电造成的早期二次侧给水丧失，蒸汽发生器将在短期内干涸.二次侧热阱的丧失使余热仅能通过主回路与堆芯补水箱之间的自然循环移除.然而，较低的余热移除效率可能无法及时将堆芯衰变热完全移至堆外，导致事故无法得到缓解.实际过程中，可能由于各种原因，堆芯补水箱不能及时响应或者只有部分堆芯补水箱可以正常工作，这种情况下的事故缓解能力还需要进一步研究.因此，本节将在假设除堆芯补水箱及其内置非能动余热移除热交换器外的其余非能动安全设施全部失效的条件下，对堆芯补水箱的有效运行数量和不同启用时间进行敏感性分析.

2.4.1 不同堆芯补水箱数量

本节对开启1个和2个堆芯补水箱的事故进程进行分析，结果如图6所示.在只有1个堆芯补水箱有效运行的情况下，在事故前期阶段提供了一定的余热移除能力，在一定时间内有效地将堆内温度维持在较低水平.但仅1个非能动余热移除热交换器无法提供足够的热移除效率(即堆芯产热速率大于堆芯移热速率)，导致主回路冷却剂储量不断减少，堆芯水位从90.4 ks开始下降(图6(a))，堆芯开始裸露的时间相较于没有堆芯补水箱时延迟了约62.4 ks.在144.0 ks时堆芯完全裸露，比没有堆芯补水箱时延迟了约108.8 ks.在2个堆芯补水箱有效运行的情况下，由于2个堆芯补水箱提供了更大的注水量，且2个非能动余热移除热交换器提供了足够的余热移除效率(即堆芯移热速率大于堆芯产热速率)，所以堆芯全程处于淹没状态，并且保持了堆芯的长期冷却.此处分别选取温度最高的堆芯节点为代表作图，其燃料芯块温度变化如图6(b)所示.在1个堆芯补水箱有效运行的情况下，由于余热移除效率不足，堆芯发生裸露后逐渐丧失冷却，在151.7 ks时堆芯坍塌，比没有堆芯补水箱时延迟了约98.6 ks；而在2个堆芯补水箱有效运行的情况下，由于堆芯始终处于淹没状态，所以堆芯温度始终维持在600 K左右.

由以上分析可知，在其余非能动安全设施全部失效的情况下，当全厂断电事故发生时，至少需要2个有效运行的堆芯补水箱才能够有效缓解事故，并保证堆芯的冷却；仅依靠1个堆芯补水箱无法缓解事故，堆芯最终仍将失效，但可以大幅延迟事故进程，从而为恢复电力提供充裕的时间.

图6 不同数量堆芯补水箱有效运行情况下的堆芯水位(a)和燃料芯块最高温度(b)Fig.6 Core water level (a) and the highest temperature of the fuel pellet (b) when different numbers of the core makeup tanks are operating normally

2.4.2 不同启用时间

图7 在不同时间重新启用堆芯补水箱时的堆芯水位(a)和燃料芯块最高温度(b)Fig.7 Core water level (a) and the highest temperature of the fuel pellet (b) when the core makeup tanks are reinvested at different times

以上对堆芯补水箱有效运行数量的敏感性分析的前提为：在事故初期时堆芯补水箱即能够在非能动安注信号触发后及时启用.实际情况下，可能存在阀门无法打开或其他未知原因而导致堆芯补水箱无法在信号发出的第一时间作出响应.因此，若考虑4个堆芯补水箱能够在事故进程中被重新启用，不同的启用时间将对事故进程造成重要影响.图7为在不同时间重新启用堆芯补水箱的堆芯水位与燃料芯块最高温度变化，此处分别选取温度最高的堆芯节点为代表作图，以燃料芯块是否失效作为判据进行敏感性分析.若在20.0 ks时重新启用堆芯补水箱，由于此时堆芯水位还未下降，堆芯仍处于淹没状态，所以在重新启用堆芯补水箱后，堆芯水位全程保持不变.由于堆芯补水箱内冷却水温度较低，在其对主回路注水以后，燃料芯块最高温度迅速下降至500 K左右并维持稳定，该情况下堆芯始终处于冷却状态.若在28.0 ks时重新启用堆芯补水箱，此时堆芯刚开始裸露，因此图中可观察到堆芯水位小幅下降，之后随堆芯补水箱的重新启用而迅速被冷却水补充，并在之后的过程中保持不变.由于堆芯刚开始裸露便进行了注水，此时燃料芯块最高温度并未发生明显上升，所以燃料芯块最高温度同样下降至500 K左右后不再变化.若在35.2 ks时重新启用堆芯补水箱，此时堆芯刚刚完全裸露，燃料芯块已经开始逐渐升温.随堆芯补水箱的重新启用，堆内水量迅速得到补充，堆芯快速恢复至淹没状态.虽然燃料芯块最高温度已上升至900 K左右，但在冷却水注入以后，芯块得到冷却并迅速降温，且在长期过程中保持稳定.若在52.5 ks时重新启用堆芯补水箱，此时堆芯已经长时间裸露，芯块最高温度已经上升至1 750 K左右，包壳已经失效，且上方的部分燃料已经开始熔化，但尚未坍塌，因此堆芯内部结构未被破坏.随堆芯补水箱的重新启用，燃料外部得到迅速冷却，但芯块内部的降温速率低于外部，因此图中芯块最高温度迅速下降后的稳定温度高于500 K.在该情况下，堆芯结构未发生损坏，堆芯补水箱的重新启用保证了堆芯结构的完整性.若在53.0 ks时重新启用堆芯补水箱，此时水位变化与在52.5 ks时的情况类似，然而在该情况下燃料芯块最高温度在短时间内迅速上升后骤降为零，表明堆芯在堆芯补水箱重新启用之前已经发生坍塌，堆芯结构完整性遭到破坏.结合上述分析可知，若要保持堆芯完整性，避免堆芯结构损坏，重新启用堆芯补水箱的时间应不晚于52.5 ks.

3 结 论

本研究利用严重事故分析程序MELCOR对WSMR及其非能动安全系统进行建模，分析其非能动安全系统在全厂断电事故下的事故缓解能力，着重探讨堆芯补水箱的事故缓解作用，并针对堆芯补水箱的有效运行数量与不同启用时间进行了敏感性分析.分析计算结果表明：全厂断电事故会导致堆芯冷却能力下降，从而造成堆芯坍塌失效，进一步对安全壳的完整性造成重大威胁；而非能动堆芯补水箱能够为反应堆提供额外的冷却剂，并与主回路建立自然循环，利用余热移除热交换器将堆芯余热移至堆外最终热阱水箱中，从而快速缓解事故并保证堆芯的长期冷却.对堆芯补水箱的敏感性分析结果表明：在其余非能动安全设施全部失效的情况下，至少需要2个正常运行的堆芯补水箱才能避免堆芯失效，仅依靠1个堆芯补水箱无法最终缓解全厂断电事故，但可以大幅延迟事故进程，从而为恢复电力提供充裕时间；若考虑在事故进程中重新启用堆芯补水箱以保证堆芯结构完整性，避免堆芯坍塌，其重启时间应不晚于52.5 ks.本文的研究结果有助于指导制定与改进小堆相关严重事故管理导则，从而增强小堆对全厂断电事故的应对能力，同时有利于深化对小堆非能动安全系统的理解，帮助改进相关反应堆安全设计.