徐 智，高泉源

（蘇州熱工研究院有限公司，蘇州 215004）

熔鹽堆是6種四代堆之一，在釷鈾燃料循環(huán)應用和能源綜合利用方面具有非常突出的優(yōu)勢。中科院上海物理研究所設計的熔鹽堆（TM?SR-LF1）采用一體化的堆本體布局，具有固有安全性。當反應堆出現(xiàn)異常工況時，反應堆不靠人為操作或外部機構強制性干預，而是依賴反應堆中與設計有關的固有特性自我調(diào)節(jié)、自我穩(wěn)定能力使反應堆趨于正常運行或安全停閉[1]。和其他研究堆類似，TMSR-LF1無成熟的設計導則、標準，作為II類研究堆，其設計與常見的核動力反應堆以及同類別的反應堆有明顯的差異。比如，TMSR-LF1的保護和安全監(jiān)測系統(tǒng)（PMS）為安全級系統(tǒng)，而向其供電的電氣系統(tǒng)為非安全級。由于這種設計比較罕見，且審評時無可遵循的導則、標準，本文對這種不常見的設計的可接受性進行了分析。

1 設計特性

1.1 儀控系統(tǒng)設計

TMSR-LF1 的儀控系統(tǒng)為反應堆的運行提供保護功能、控制功能和信息功能。TMSR-LF1儀控系統(tǒng)可分為3 層：監(jiān)控管理層、過程控制層和現(xiàn)場設備層，按照系統(tǒng)功能可分為堆外核測量系統(tǒng)（NIS）、熱工測量系統(tǒng)（TMS）、保護和安全監(jiān)測系統(tǒng)、堆控制系統(tǒng)（PLS）、數(shù)據(jù)顯示和處理系統(tǒng)（DDS） 及運行和控制中心（OCS）等[1]。

PLS 主要實現(xiàn)反應堆功率控制、過程控制，實現(xiàn)核功率與熱功率的調(diào)節(jié)，同時保護設備的運行，可以盡量減少緊急停堆。DDS 對獲取的數(shù)據(jù)進行處理，提供反應堆在運行工況下的信息，具有數(shù)據(jù)顯示、數(shù)據(jù)處理、數(shù)據(jù)存儲、報警、邏輯計算、安全參數(shù)顯示、計算機化規(guī)程、報表和存檔等功能。OCS集成了多個安全級和非安全級的系統(tǒng)和設備，為運行提供了控制和監(jiān)視反應堆運行所需的設施和人機接口（HSI）資源。

NIS 主要用來獲取反應堆的核功率，同時，給保護系統(tǒng)提供緊急停堆和事故監(jiān)測信號。TMS對反應堆熔鹽回路的流量、壓力、液位和溫度等參數(shù)進行準確的測量、顯示和記錄，從而監(jiān)督熔鹽堆熱工系統(tǒng)中的各個設備的運行狀況。

PMS 連續(xù)監(jiān)測反應堆保護信號值，當信號值超過保護整定值時，會在規(guī)定時間內(nèi)發(fā)出緊急停堆觸發(fā)信號，觸發(fā)控制棒緊急下落，防止事故發(fā)生，并且可以在事故發(fā)生后減輕事故后果。

在相關工況下，操縱員需要在主控室安全盤臺上通過按鈕對相關閥門進行手動操作，關閉安全容器隔離閥門，通過操縱員、值長、大屏幕及遠距離監(jiān)測站發(fā)出指示。操縱員根據(jù)運行規(guī)程，可對隔離閥門進行復位操作。

操縱員能夠通過事故后監(jiān)測功能對監(jiān)測信號進行測量，檢驗事故后自動保護動作的正確性，確定事故的性質(zhì)，監(jiān)測輻射水平，支持運行人員有關的緩解操作、防護措施以及應急防護行動決策，以減輕事故后果，并防止放射性物質(zhì)的非正常釋放。在事故及恢復過程中，如果自動動作未發(fā)生，操縱員可采取手動校正動作，使反應堆處于安全停堆狀態(tài)。

PMS 由過程測量通道、核測量通道、邏輯系列、反應堆停堆斷路器、手動驅(qū)動電路等部分組成?，F(xiàn)場信號通過傳感器分別傳至保護系統(tǒng)的A、B通道機柜，信號經(jīng)采集及運算后與整定值進行比較，產(chǎn)生的信號進入邏輯處理單元進行二選一的邏輯處理，處理后產(chǎn)生的緊急停堆信號分別輸出到對應的停堆斷路器。

保護系統(tǒng)采用兩重冗余設計，在整定值設置時考慮了裕量，當兩通道儀表輸出不一致但未觸發(fā)時，系統(tǒng)不動作，只有通道達到觸發(fā)條件才輸出停堆信號。TMSR-LF1保護系統(tǒng)安全設施的驅(qū)動是通過斷開閥門供電實現(xiàn)閥門關閉的。該控制獨立于DCS 中閥門的正常控制功能，無須相關的優(yōu)選邏輯模塊。

C類以上的事故后監(jiān)測傳感器輸出分別由保護系統(tǒng)A、B通道機柜采集處理后，發(fā)送至主控室PMS安全控制臺上的顯示器。

事故后監(jiān)測功能與反應堆緊急停堆功能共用一個機柜，采用兩個通道的設計，事故后設置兩個獨立的監(jiān)測通道。機柜分別放在兩個實體分隔的保護設備間內(nèi)。事故后顯示裝置安裝在控制臺（盤）上。事故后劑量監(jiān)測儀表配備了本地顯示模塊。

根據(jù)事故分析要求，TMSR-LF1設置了兩個專設安全設施：非能動余熱排出系統(tǒng)、安全容器。非能動余熱排出系統(tǒng)的功能是在燃料鹽回路和冷卻鹽回路系統(tǒng)完全喪失排熱能力的工況下，利用空氣自然循環(huán)將反應堆余熱排出。系統(tǒng)一直在線運行，事故后不需要任何控制。安全容器由上安全容器、下安全容器組成，主要功能是在燃料鹽邊界或覆蓋氣邊界發(fā)生放射性物質(zhì)泄漏的事故工況下，限制放射性物質(zhì)向環(huán)境釋放，減輕事故后果。正常運行時，需要開啟的隔離閥在失去動力時自動關閉。主控室有動力操作隔離閥的位置指示。PMS 系統(tǒng)不設置自動驅(qū)動，只有手動驅(qū)動。對于運行中常開的隔離閥門，安全盤臺上設置緊急關閉旋鈕。對于所有運行中常閉的隔離閥門，安全控制盤臺上也設置了手動旋鈕開關，對于安全容器隔離閥門，根據(jù)其功能分類及運行要求設置了若干手動關閉按鈕。

儀控系統(tǒng)安全級保護信號見表1，儀控系統(tǒng)結構如圖1所示，PMS系統(tǒng)的驅(qū)動邏輯如圖2所示。

表1 安全級保護信號Table 1 Safety level protection signal

TMSR-LF1 儀 控 系 統(tǒng) 的PMS、NIS、TMS（部分安全級信號儀表）、控制棒斷路器機柜以及OCS 中的安全級顯示器、控制器按安全級∕設備進行設計。

圖1 儀控系統(tǒng)結構圖Fig.1 Instrument control system structure diagram

圖2 TMSR-LF1保護系統(tǒng)結構框圖Fig.2 Protection system structure block diagram of TMSR-LF1

1.2 電氣系統(tǒng)設計

TMSR-LF1的交流電源系統(tǒng)是為保障反應堆完成運行目標而設置的系統(tǒng)。它保證TMSR-LF1在正常運行、起動、正常停堆時獲得供電，包括維持TMSR-LF1正常運轉(zhuǎn)的動力、照明、控制設備和儀表負荷相關設備。交流電源系統(tǒng)由廠外電力系統(tǒng)和廠內(nèi)電力系統(tǒng)兩大部分組成，其中，廠內(nèi)電力系統(tǒng)又分為廠內(nèi)正常交流電源系統(tǒng)和廠內(nèi)備用電源系統(tǒng)。

廠內(nèi)備用電源系統(tǒng)的功能是當廠外兩路交流電源均不可用時，啟用備用柴油發(fā)電機組并在預定時間內(nèi)向指定的負荷（交流不間斷電源系統(tǒng)、實物保護系統(tǒng)、消防負荷、應急照明系統(tǒng)等）提供電力。備用柴油發(fā)電機組不提供安全停堆相關系統(tǒng)設備的供電，不需要長期持續(xù)運行，其安全等級為非安全級。

TMSR-LF1 由3 套交流不間斷電源及輸入輸出配電裝置構成，每套包括充電器、逆變器、旁路變壓器、蓄電池組、輸入輸出交流配電柜等設備。UPS1 在全廠斷電后仍需持續(xù)向輻射安全監(jiān)測儀表和熔鹽制備控制系統(tǒng)供電2 h，向儀控系統(tǒng)等供電1 h。

電源UPS2、UPS3組成雙電源，同時給堆外核測柜、保護系統(tǒng)處理柜、保護系統(tǒng)安全顯示器、事故后監(jiān)測儀供電，當全廠斷電后，該組UPS電源持續(xù)供電不小于12 h。事故后，監(jiān)測儀表采用雙路UPS供電配置。以上的交流不間斷電源系統(tǒng)設備為非安全級，抗震等級要求與建筑物抗震等級一致。不間斷電源系統(tǒng)的單線圖如圖3所示。

圖3 間斷電源系統(tǒng)的單線圖Fig.3 Single line diagram for UPS

2 審評問題

在TMSR-LF1 的PSAR 審評時，除了少量的研究堆導則外，沒有成熟的導則與標準可用。因此，審評采用了核電廠有關的成熟導則、標準作為參考，對于TMSR-LF1特有的以及難以滿足核電標準的部分，采用“一事一議”的辦法。

為實現(xiàn)核動力廠的安全運行，防止危及安全的事件發(fā)生或減輕事件后果，HAF 102提出了核動力廠重要構筑物、系統(tǒng)和部件的設計必須滿足的要求[2]。該規(guī)定要求運營單位必須提供對核動力廠狀態(tài)進行監(jiān)測的手段，以保證實現(xiàn)所要求的安全功能；假設始發(fā)事件發(fā)生后，如需要操縱員判斷核動力廠的狀態(tài)并及時使核電廠進入穩(wěn)定停堆工況，則必須設置有關的儀表以監(jiān)測核動力廠的狀態(tài)，同時，設置適當?shù)氖謩硬僮髟O備；必須設置用于確定核動力廠裂變過程、反應堆堆芯完整性、反應堆冷卻劑系統(tǒng)完整性和安全殼完整性主要變量值的監(jiān)測儀表；獲得核動力廠安全和可靠運行所需的重要信息；確定核動力廠事故狀態(tài)及控制措施；預測可能出現(xiàn)放射性物質(zhì)釋放的位置及釋放量；根據(jù)需要向應急監(jiān)管單位提供核動力廠重要參數(shù)和核動力廠內(nèi)及其外圍放射性狀況的信息；在交流電源喪失的情況下，應保證核動力廠關鍵參數(shù)監(jiān)測以及完成安全必要的短期行動的動力供應；設置相應的輻射監(jiān)測設備，以保證在運行狀態(tài)下和設計基準事故工況下提供充分的輻射監(jiān)測，以及在設計擴展工況下提供實際可行的輻射監(jiān)測等。

HAD 102∕01 將保護系統(tǒng)定義為探測電廠偏離可接受狀態(tài)并發(fā)出指令的安全系統(tǒng)。設置保護系統(tǒng)的目的是在控制系統(tǒng)不能維持電廠參數(shù)在容許值以內(nèi)時，用來保證安全。當控制系統(tǒng)內(nèi)部發(fā)生故障時，或由于發(fā)生某種事件使過程變量變化太快而控制系統(tǒng)來不及動作時，或由于安全重要物項的某種故障時，保護系統(tǒng)需要迅速做出動作，以防止危險的發(fā)生[3]。

根據(jù)TMSR-LF1 的PMS 設計功能，參考《核電廠安全重要儀表和控制功能分類》（GB∕T 15474—2010）以及核安全規(guī)定和導則，審評者認為將TMSR-LF1 的PMS 定為安全級是可接受的[4,5]。

《核電廠安全系統(tǒng)第1 部分：設計準則》（GB∕T 13284.1—2008）指出安全系統(tǒng)由監(jiān)測指令設備、執(zhí)行裝置和動力源3 部分組成，因此，安全系統(tǒng)供電電源(屬于動力源，安全級)應符合有關規(guī)定，并且是安全系統(tǒng)的一部分。安全系統(tǒng)供電電源應符合《核電廠安全級電力系統(tǒng)準則》（GB∕T 12788—2008）的要求[6]。

GB∕T 12788 要求安全級電力系統(tǒng)中為安全功能服務的部分應滿足核電廠安全系統(tǒng)準則(GB∕T13284.1)的要求。安全級電力系統(tǒng)中的其他部件、設備和系統(tǒng)應滿足安全系統(tǒng)的某些要求，以增加安全級電力系統(tǒng)的可用性和可靠性。安全級電力系統(tǒng)的設備應通過型式試驗、以往的運行經(jīng)驗、分析或以上3種方法的任意組合進行質(zhì)量鑒定，以證實該設備能夠連續(xù)滿足設計基準規(guī)定的要求。安全級電力系統(tǒng)的設備應按《核電廠安全級電氣設備鑒定》（GB∕T 12727—2017）的要求進行質(zhì)量鑒定[7]。

GB∕T 12788 還明確了為安全級儀表和控制系統(tǒng)提供交流或直流電源的要求。供電系統(tǒng)應能為反應堆停堆系統(tǒng)、專設安全設施、輔助支持設施及其他輔助設施提供高可靠性的電源。通常設計要分成兩個或多個冗余負載組，每個負載組的保護動作應獨立于其他冗余負載組，應為儀表和控制系統(tǒng)提供兩個或兩個以上獨立的直流電源，應為儀表和控制系統(tǒng)提供兩個或兩個以上獨立的交流電源。為了滿足這些條款的要求，設計中常設置隔離的專用電源。

此外，《核電廠事故監(jiān)測儀表準則》（GB∕T 13627—2010）要求事故監(jiān)測儀表的電源屬于安全系統(tǒng)輔助設施。A、B、C 類變量監(jiān)測儀表的供電應是安全級的。每個儀表通道的供電都應設計成在電廠瞬態(tài)期間連續(xù)可用，除非在運行基準文件中對短時間的電源中斷進行了評價并被認為是可接受的。如果儀表的供電是從變壓器、電流互感器或兩線制儀表回路中得到的，則這類儀表可不遵循上述要求。為事故監(jiān)測儀表通道供電的電源應能夠確保所需的電壓、頻率及持續(xù)時間，以保證事故監(jiān)測通道的精度和可靠性。供電電源應具有防瞬態(tài)特性的功能[8]。

上述標準的主要要求見表2。

表2 安全級電源供電要求的標準及其索引Table 2 Standards and indexes for safety level power supply requirements

如果直接套用核電廠的上述標準與HAD 102∕13[9]，采用非安全級電源給安全級的儀控系統(tǒng)供電的設計不滿足要求。在PSAR 審查階段，這成了不易解決的難題。

但儀控專業(yè)的審評者認為由于TMSR-LF1的額定熱功率較低，僅為2 MW，且采用了一體化的堆本體布局，主回路高溫低壓，余熱排出系統(tǒng)采用無須干預的非能動設計，堆容器外設置安全容器等阻止放射性物質(zhì)釋放的多道屏障，且具有在線氣體凈化功能，燃料鹽能夠較好地限制放射性物質(zhì)的釋放，堆芯具有良好的負反饋特性等固有安全性，因此，直接按小核電廠的標準要求設置安全級電源向功能比較簡單的II類研究堆保護系統(tǒng)供電可能不夠合理。

此外，與HAF 102不一樣，HAF 201未對研究堆的分級進行明確要求。HAF 201的規(guī)定只強調(diào)了研究堆設計必須滿足的安全要求，對于如何滿足這些要求則不做具體規(guī)定，并認為某些研究堆實際上并不需要滿足全部安全要求。HAF 201 對保護系統(tǒng)的支持系統(tǒng)無明確分級規(guī)定。對于電源系統(tǒng)，HAF 201只是要求必須確定正常和應急電源設計的基準[10]。因此，儀控審評者認為非安全級電源向安全級儀控系統(tǒng)供電的設計有可能是可接受的。

3 可接受性分析

相對于核動力廠的法規(guī)和導則要求，研究堆有關電源的要求比較籠統(tǒng)和寬泛，因此，分析時仍按核動力廠的要求進行。對于保護系統(tǒng)的支持系統(tǒng)，HAF 102 5.4.7.2要求支持系統(tǒng)和輔助系統(tǒng)具有可靠性、多重性、多樣性、獨立性以及用于其隔離和功能試驗的措施，必須與所支持的系統(tǒng)的安全重要性相適應。5.4.7.3不允許支持系統(tǒng)和輔助系統(tǒng)的任一失效同時影響安全系統(tǒng)的多重部件或執(zhí)行多樣化安全功能的安全系統(tǒng)[1]。由于TMSR-LF1的保護系統(tǒng)設有兩個序列，且不設多樣化系統(tǒng)，因此，兩個獨立的UPS電源設置滿足5.4.7.3 的要求。分析主要圍繞電源系統(tǒng)與所支持保護系統(tǒng)的安全重要性的適宜性進行展開。

保護系統(tǒng)及其供電電源的故障模式及失效見表3。表3 表明可預計的故障不會妨礙保護系統(tǒng)執(zhí)行安全功能。

表3 保護系統(tǒng)及其供電電源的故障模式及失效分析Table 3 The failure mode and analysis for the PMS and its power supply

值得注意的是，由于保護系統(tǒng)采用了兩列獨立的冗余設置，序列間的信號均經(jīng)過電氣隔離，且符合二選一邏輯，因此，安全級任意的序列隨機故障在最惡劣的情況下只會導致單一序列驅(qū)動的失效，剩余的那個序列仍然能夠執(zhí)行安全停堆功能。

除此之外，由于TMSR-LF1為非動力堆，其運行對電網(wǎng)的影響幾乎可以忽略。因此，從這點上說，TMSR-LF1外電源的可靠性較核電廠要高。同時，工業(yè)級別的非安全級冗余后備柴油發(fā)電機亦能為儀控系統(tǒng)提供可靠的電源。

安全分析研究了3種未能緊急停堆的預期瞬態(tài)。假定事故中保護系統(tǒng)未有效觸發(fā)控制棒落棒停堆。分析結果均表明事故不會造成燃料鹽邊界的損壞，不會造成放射性物質(zhì)額外釋放。表4給出了詳細分析[1]。

縱上所述，審評者認為采用非安全級電源系統(tǒng)向保護系統(tǒng)供電，在安全方面基本可接受。同時，審評者指出設計時如果能加強對非安全電源系統(tǒng)的監(jiān)控，提高UPS 電源多樣性特性，能夠進一步提高保護系統(tǒng)供電的可靠性。此外，審評者建議設計方對將電源改為安全級的代價進行分析，進一步判別該設計的合理性。

表4 未能緊急停堆的事故分析Table 4 Safety analysis of ATWS

4 結語

對于將熔鹽堆安全級保護系統(tǒng)的電源系統(tǒng)設計為非安全級，本文從保護系統(tǒng)以及其供電系統(tǒng)的設計出發(fā)，對AC 電源的可靠性、UPS 的故障特性、保護系統(tǒng)的傳感器（包括核測系統(tǒng)）的電源特性、保護系統(tǒng)柜以及停堆斷路器柜的電源特性、手動驅(qū)動特性以及保護失效的后果進行了分析，分析認為該設計能夠滿足HAF 相關的要求，在安全上可以接受。該案例說明，對于按失電安全、無自動觸發(fā)的失電觸發(fā)專設安全動作的、具有較高固有安全性的II類研究堆，不宜照搬小核電廠保護系統(tǒng)的輔助支持系統(tǒng)的要求進行審評。