小型模块化熔盐堆误提棒ATWS事故分析

许田贵 邹 杨 徐 博 朱贵凤 孙 强

1（中国科学院上海应用物理研究所 上海 201800）

2（中国科学院大学 北京 100049）

熔盐堆作为第四代先进反应堆的6个候选堆之一，具有钍资源高效利用、固有安全性高、可实现燃料闭式循环、防核扩散等特点［1-2］。对于未来核电发展和解决能源问题具有重要意义。超设计基准事故是反应堆事故分析中的重要组成部分，各类反应堆均开展过相关研究。Sangida等［3］基于PCTRAN对AP1000和VVER1200进行了汽轮机故障叠加未能紧急停堆（Anticipated Transient Without Scram，ATWS）事故分析，结果表明反应堆所有重要参数均在安全限值之内，与两个反应堆的安全分析报告一致。Guo等［4］借助系统分析程序THERMIX分析了HTR-10在失冷不失压（Pressurized Loss of Forced Cooling，PLOFC）事故和误提棒ATWS组合事故下的热响应，对计算值与实验值进行了比较，验证了HTR-10具备良好的安全特性。岳芷廷等［5］基于RELAP5程序分析了DHR-200池式堆全厂断电ATWS事故下的热工水力特性和自然循环能力，验证了DHR-200的固有安全性。朱磊等［6］分析了西安脉冲反应堆在断电ATWS事故和大破口失水事故下的瞬态响应特性，计算结果表明，发生断电ATWS事故可能造成部分燃料元件熔毁，大破口失水ATWS事故与破口位置和尺寸相关。在熔盐堆的各种超设计基准事故中，尤以误提棒ATWS事故最为典型［7］，是对反应堆安全能力极限的一种测试，因此在熔盐堆事故分析领域具有重要研究意义。

目前，针对熔盐堆的瞬态分析主要集中在瞬态分析程序的开发和熔盐堆的事故安全分析。Krepel等［8］开发了适用于熔盐堆的DYN3D-MSR，该程序可计算堆芯内三维中子通量密度分布，并扩展了DNP沿轴向流动的模型，热工水力模型则采用并联多通道模型。Zhuang等［9］基于TABFEN程序扩展出了适用于液态燃料熔盐堆的三维中子动力程序，通过耦合并联多通道热工水力模型形成了MOREL2.0瞬态程序。施承斌［10］在RELAP5/MOD4.0的基础上修改了点堆中子动力学方程，增加了缓发中子先驱核流动的影响，通过体积比法和衰变法获得了液态燃料熔盐堆的点堆中子动力学模型。针对熔盐堆的事故分析集中在失流事故、热阱丧失事故和反应性引入事故等等。Wulandari等［11］和秋穗正等［12］均各自分析了MOSART（Molten Salt Advanced Reactor Transmuter）堆的无保护过冷事故。郭张鹏等［13］则分析了嬗变堆MOSART的无保护失流（Unprotected Loss of Flow，ULOF）和 无保 护热阱 丧失（Unprotected Loss of Heat Sink，ULOHS）的组合事故，并分别与ULOF和ULOHS事故进行了对比分析。薛冰等［14］基于RELAP/MOD4.0分析了10 MW固态熔盐堆的热阱丧失事故，结果表明：反应堆具有可靠的固有安全性。Wan等［15］则基于TANSY程序，分析了熔盐快堆MSFR（Molten Salt Fast Reactor）由于添料导致的反应性引入事故，并对燃料添加量和添加速率进行了敏感性分析。余文等［16］基于TREND系统分析程序，针对10 MW液态熔盐堆分析了无保护状态下不同反应性引入大小和反应性引入速率对事故的影响。王凯等［17］则基于RELAP5-TMSR程 序 以TMSR-LF（Thorium Molten Salt Reactor-Liquid Fuel）为研究对象，分析了落棒情况下的提棒速度和落棒时间对控制棒误抽出事故的影响。焦小伟等［18］则分析了2 MW液态熔盐堆在不同低功率水平下，反应性引入速率和反应性温度系数的参数组合对误提棒事故的影响。

总之，目前除破口事故研究较少外，其他安全事故基本均有相关研究。已有的误提棒事故分析也针对无保护和落棒两种状态下进行了相关敏感性分析，但均未考虑停堆策略与停堆后的长期安全。因此，本文基于RELAP5-TMSR程序针对熔盐堆发生控制棒误抽出ATWS事故开展模拟，选取三种停堆策略进行比较分析，重点研究了循环泵和风机维持运行或关闭对事故进程的影响。此外对反应性引入价值、提棒速度和温度系数等若干重要因素开展了相应的敏感性分析。

1 计算模型

125 MW的液态熔盐堆系统示意图如图1所示，主要设计参数见表1。该熔盐堆采用三回路设计方案，一回路燃料盐采用LiF-BeF2-ZrF4-UF4-ThF4，二回路冷却盐采用NaF-BeF2，三回路采用氦气冷却。一回路主要设备包括堆本体、燃料盐泵、熔盐-熔盐换热器；二回路主要设备包括冷却盐泵、熔盐-氦气换热器；三回路主要设备是熔盐-氦气换热器以及发电机组。燃料盐流经下腔室进入堆芯，通过石墨通道向上流动，并在这里发生核反应，燃料盐升温，再经上腔室流出，流经热管段后进入熔盐-熔盐换热器的壳侧，将热量传递给二回路，然后被燃料盐泵泵入下降环腔，流回至下腔室。二回路通过冷却盐泵驱动，将热量传递给熔盐-氦气换热器，最后经氦气通过发电设施将热能转化为电能。一、二回路的回路材料均采用国产GH3535合金。为保护反应堆安全，堆本体和熔盐-熔盐换热器均设置了非能动余热排出系统——反应堆容器辅助冷却系统（Reactor Vessel Auxiliary Cooling System，RVACS），事故状态下能够确保导出至少1%额定功率的热量。

图1 125 MW熔盐堆系统示意图Fig.1 Schematic of the 125 MW MSR system

表1 系统主要设计参数Table 1 Main system design parameters

本文采用RELAP5-TMSR对误提棒ATWS事故进行分析，图2为熔盐堆系统节点示意图。在所建立的模型中，阴影部分表示热构件，箭头方向为流体流动方向。一回路由控制体1XX表示，其中控制体113为熔盐-熔盐换热器壳侧，将燃料盐热量通过金属热构件传递至二回路侧的控制体206、212。二回路和三回路分别由控制体2XX和3XX表示，控制体234、304以及它们之间的热构件构成了熔盐-氦气换热器，负责将热量从二回路传递给三回路，最终热阱由两个时间控制体300和308模拟其温度和压力边界。堆芯热量通过石墨热构件、下降环腔和金属热构件传递给RVACS。堆芯和RVACS之间的传热依赖于热辐射和自然循环。反应堆功率由考虑缓发中子先驱核流动的点堆动力学提供，功率根据中子物理计算分布在燃料盐回路各部分的燃料盐中。表2为满功率稳态运行工况下RELAP5-TMSR程序计算值和设计值的对比。其中，堆芯物理设计值由MCNP计算所得，换热器相关设计值由HTRI程序计算所得。由表中数据可知，设计值跟计算值误差在1%以内，计算模型具有很好的准确性和可靠性。

表2 125 MW液态熔盐堆参数设计值与计算值对比Table 2 Comparison of calculated and designed values of 125 MW MSR’s steady-state operation

图2 反应堆系统节点示意图Fig.2 Nodalization diagram of the reactor system

由于液态熔盐堆没有固定的燃料元件包壳，其物理屏障是回路边界。温度过高可能会导致回路材料力学性能下降。此外，堆芯内的熔盐也不能发生沸腾。液态燃料熔盐堆的设计基准事故的安全限值包括：1）燃料盐回路合金材料温度低于800℃［17］；2）燃料盐最高温度低于1 450℃。对于超设计基准事故，除上述限值外，允许燃料盐回路合金材料温度短时间（＜100 h）处于800～900℃范围；在设计中应尽量降低燃料盐回路合金材料处于800℃以上的时间。

该事故中可能触发的停堆信号见表3。

表3 保护参数整定值Table 3 Trip setpoint parameters

2 误提棒ATWS事故分析

满功率下一根价值最大的调节棒从堆芯中部提出，瞬态分析过程中采用的假设包括：

1）调节棒行程为150.0 cm，以0.8 cm·s-1［17］的速度提出，187.5 s共引入反应性5.0×10-3。

2）燃料盐温度系数为-4.75×10-5K-1，石墨温度系数为-2.44×10-5K-1。

3）反应堆触发停堆信号后，紧急停堆系统失效控制棒无法下插，同时棒控连锁机制失效，调节棒提出至顶部。

4）根据不同停堆策略，触发停堆信号后分为三种情况：（1）关闭所有主泵和风机；（2）维持所有主泵和风机运行；（3）维持一回路主泵运行，关闭二回路主泵和三回路风机。

125 MW液态熔盐堆的满功率有效缓发中子份额仅3.5×10-3，相比于普通压水堆的缓发中子份额6.5×10-3［19］小很多，引入的总反应性5×10-3约1.43$，与压水堆相比相同情况下功率峰值更高。

2.1 主泵和风机均关闭

本例事故的事件序列如表4所示。图3（a）是功率和反应性曲线，图3（b）是反应堆重要温度曲线，图3（c）是一、二回路质量流速曲线。0 s时刻调节棒从堆芯中提出，引入正反应性，功率开始增加，堆芯温度也随之上升。12.7 s后热功率达到1.14倍额定功率，触发停堆信号，一、二回路主泵和三回路风机失电惰转，燃料盐和冷却盐流速开始下降。由于液态熔盐堆的燃料盐既是载热介质又是发热流体，一回路流量下降导致流出堆芯的缓发中子先驱核减少，额外引入了正反应性，因此总反应性迅速上升，并在14.3 s达到极大值2.539×10-4。此时，提棒引入了3.813×10-4，流量下降引入了2.304×10-4，温度负反馈共引入了-3.578×10-4。随着温度反馈引入的负反应性不断增大，功率在15.4 s时达到额定功率的123.0%的最大值后逐渐下降。功率的降低使得堆芯温度上升速度变缓，负反应性引入速度降低，总反应性开始上升。187.5 s时控制棒提出至顶部，5×10-3的正反应性引入完毕，一回路流量降低至7.7%，引入了2.312×10-3。由于传热的滞后性，堆芯温度仍在上升，持续引入负反应性，因此187.5 s后反应性和功率迅速下降。燃料盐最高温度和一回路出口温度也随之逐渐下降，燃料盐最高温度在198.1 s达到了最大值902.53℃，一回路出口温度在233.4 s达到了最大值874.94℃。依靠RVACS和自然循环的建立，堆芯余热被不断排出，燃料盐最高温度和一回路出口温度分别于1 661 s和1 150 s降低至800℃以下，之后再没有超过设计基准事故的安全限值。由于二回路最高温度点出现在熔盐-熔盐换热器壳侧入口对应的管侧处且二回路没有形成自然循环，因此其温度变化趋势与一回路出口温度相似。整个事故模拟过程中，虽然一、二回路温度均超过了800℃，其中维持在800℃以上的时间分别为1 085 s和1 197 s。但对于超设计基准事故而言，由于超温时间小于100 h，事故后果处于可接受范围。

表4 主泵和风机关闭情况下的事故序列Table 4 Event sequence with pumps and fan shutdown

图3泵和风机关闭情况下的功率和反应性(a)、冷却盐与燃料盐温度(b)、归一化质量流速(c)和衰变热传导(d)Fig.3 Variations of power and reactivity(a),cooling salt and fuel salt temperature(b),normalized mass flow(c)and decay heat transfer(d)with time,in circumstances of pumps and fan off

图3 （d）是堆芯经过不同途径对外释放的衰变热量。一、二回路冷却剂通过换热器在事故前期吸收了相当一部分衰变热。比较三条曲线在0～500 s时间段的积分热量：RVACS带走了471 MJ衰变热，其他两条分别为7 656 MJ和4 700 MJ。可见，熔盐的热惰性在事故前期相当于一个临时热阱，且散热效果是RVACS的数倍。事故后期，余热排出主要由RVACS承担，其散热量基本维持在额定功率的1.6%左右，提供了可靠的堆芯长期热阱。

在此发生此种事故工况时，可以考虑采取后续落棒和排盐等应急措施。图4是假设一回路出口温度达到800℃时，操纵员经过10 s反应时间手动控制落棒情况下的反应堆重要温度曲线。其中，控制棒10 s完成落棒，共引入-8.073×10-2。从图4可以看出，一回路出口温度峰值为808.27℃，超过800℃的时间为64～92 s，共28 s。落棒有效缩短了超温时间，如此短时间的超温不会对回路合金材料安全造成影响。此外，排空引入的负反馈可以确保燃料盐达到并稳定在次临界状态，并且具备足够的停堆深度。排放到排盐罐中的熔盐会通过排盐罐的余热排出系统带走余热，并包容放射性产物。

图4 落棒情况下的冷却盐与燃料盐温度变化曲线Fig.4 Temperature varistion curve of cooling salt and fuel salt in circumstance of rod drop

2.2 维持主泵和风机运行

表5为本例事故的事件序列，图5（a）是功率和反应性曲线，图5（b）为堆芯温度变化曲线。0 s时刻调节棒开始从堆芯中提出，12.7 s触发停堆信号，主泵和风机维持运行。控制棒误抽出使总反应性和功率上升，但随着堆芯温度的上升，温度反馈引入的负反应性增强，总反应性开始下降。总反应性在19.9 s达到最大值1.515×10-4。其中，提棒引入了5.307×10-4，燃料温度反馈引入了-3.612×10-4，石墨温度反馈仅引入了-1.80×10-4。70～187.5 s之间总反应性变化比较平缓，导致功率上升，速度在70 s前后有明显变化。但总反应性在此期间仍然大于0，功率在持续上升。187.5 s后控制棒完全抽出，不再引入正反应性，功率开始下降，此时功率达到了最大值，约为额定功率的180.7%。随着功率下降，燃料盐最高温度和一回路出口温度也随之下降。燃料盐最高温度在189.5 s达到最大值824.31℃，一回路出口温度在192.3 s达到最大值798.49℃。依靠主泵和风机的运行，堆内热量被不断排出，堆芯温度逐渐趋于稳定。整个事故模拟过程中，一、二回路管路熔盐温度都没有超过800℃的设计基准事故安全限值，但反应堆没有停堆且始终在超功率状态下运行。

图5 泵和风机运行情况下的功率和反应性(a)、冷却盐和燃料盐温度(b)Fig.5 Variation of power and reactivity(a),cooling salt and fuel salt temperature(b)in circumstances of pumps and fan operation

表5 主泵和风机运行情况下的事故序列Table 5 Event sequence with pumps and fan operate

2.3 仅维持一回路主泵运行

本例事故的事件序列如表6所示。图6（a）是功率和反应性曲线，图6（b）是事故前500 s反应堆中重要温度变化曲线，图6（c）是整个事故模拟过程的反应堆重要温度曲线。0 s时刻调节棒开始从堆芯中提出，12.7 s触发停堆信号，二回路泵和三回路风机失电惰转，一回路主泵维持运行。事故前期控制棒抽出，总反应性和功率上升。二回路流量下降又导致通过熔盐-熔盐换热器的散热量下降，堆芯热量不断积累，堆芯温度上升。温度反馈引入的负反应性逐渐超过正反应性，功率在28.2 s达到额定功率的130.4%后开始下降。由于传热的滞后性，熔盐带走的堆内热量的下降速度比功率慢，堆芯部分区域散热量大于功率，导致燃料盐最高温度和一回路出口温度降低。燃料盐最高温度和一回路出口温度分别在38.1 s和45.9 s达到了第一个极大值，分别为744.26℃和723.97℃。堆芯部分区域的短暂降温使燃料平均温度上升趋势变缓，负反应性引入速度下降，总反应性上升。167.7 s时反应堆再临界，功率也出现了约4%幅度的上升，187.5 s后调节棒完全抽出，功率迅速下降。燃料盐最高温度和一回路出口温度也随功率先上升后下降。燃料盐最高温度在196.9 s达到最大值756.85℃，一回路出口温度在216.4 s达到最大值751.16℃。得益于RVACS和一回路的强迫循环，整个模拟过程中，一、二回路熔盐温度都没有超过800℃的设计基准事故安全限值，相比于第2种停堆策略，堆芯温度更低。图6（d）是堆芯经过不同途径对外释放的衰变热量。事故前期衰变热主要通过换热器带走，通过一回路传递给二回路的热量直到约7 063 s才低于RVACS带走的热量，最终RVACS带走的散热量基本维持在额定功率的1.0%左右。

图6 仅一回路泵运行情况下功率和反应性(a)、事故前500 s的冷却盐与燃料盐温度(b)、整个事故模拟过程的冷却盐与燃料盐温度(c)、衰变热传导(d)Fig.6 Variation of power and reactivity(a),cooling salt and fuel salt temperature of 500 s before accident(b),cooling salt and fuel salt temperature throughout the accident simulation(c),decay heat transfer(d),when only primary loop pump is operating

表6 仅一回路泵运行情况下的事故序列Table 6 Event sequence with only primary pump operate

3 反应性引入价值与引入速率

基于§2.3事故针对反应性引入价值开展敏感性分析，选取5种假设，以0.8 cm·s-1的速度提棒，共引入反应性2×10-3、4×10-3、5×10-3、6×10-3、8×10-3和1×10-2。图7（a）和图7（b）分别是5种假设下的燃料盐最高温度和一回路出口温度曲线，表7是模拟结果的关键参数比较。可知，当反应性引入价值为8×10-3时一回路出口温度峰值刚好超过800℃的设计基准事故安全限值，基本可以确定反应性引入价值小于8×10-3时，可以确保堆芯安全，并且反应性引入价值与堆芯峰值温度呈显著正相关性。此外，当引入的反应性小于2×10-3时，一回路出口达到峰值温度的时间在调节棒完全提出堆芯之前；大于2×10-3时，则在调节棒完全提出堆芯之后。

图7 引入不同反应性时的燃料盐最高温度(a)和堆芯出口温度(b)Fig.7 Variations of maximum fuel salt temperature(a)and core outlet temperature(b)with different reactivity introduction

表7 引入不同反应性时的堆芯温度Table 7 Core temperature with different reactivity

在§2.3事故的基础上，针对提棒速度展开敏感性分析，选取6种假设，分别以0.1 cm·s-1、0.4 cm·s-1、0.8 cm·s-1、1.0 cm·s-1、3.0 cm·s-1和4.0 cm·s-1的速度提出调节棒，共引入反应性5×10-3。图8（a）和（b）是不同提棒速度下反应堆功率和堆芯出口温度变化曲线，表8给出了模拟结果关键参数，可知，当提棒速度为3.0 cm·s-1时，一回路出口温度峰值为800.65℃，刚好超过800℃的设计基准事故安全限值。因此在发生误提棒ATWS事故时，采取仅维持一回路泵运行的停堆策略下，提棒速度小于3.0 cm·s-1、共引入反应性5×10-3时可保证回路合金温度不超过设计基准事故安全限值，并且提棒速度与功率和堆芯峰值温度呈正相关。此外，不同提棒速度情况下的温度稳定值是相同的，与提棒速度无关。

表8 不同提棒速度下的关键参数Table 8 Key parameters under different control rod withdraw speed

图8 不同提棒速度时燃料盐最高温度(a)和一回路出口温度(b)Fig.8 Variations of maximum fuel salt temperature(a),and primary loop outlet temperature(b)under different rod withdrawal speeds

4 温度系数的影响

整个反应堆寿期过程中温度反应性系数是不断变化的，在确保一回路出口温度峰值不超过800℃的设计基准事故安全限值的情况下，不同温度系数下存在对应的事故允许的反应性最大值。为初步探究温度反应性系数与反应性最大值的关系，基于§2.3事故计算总温度系数分别为-3×10-5K-1、-6×10-5K-1、-9×10-5K-1、-1.2×10-4K-1和-1.5×10-4K-1时的反应性最大值。其中，假设燃料温度系数与石墨温度系数的比值为2:1。由图9可以看出，两者之间呈线性相关。这是因为一回路出口温度峰值均限制为800℃，即温差相同，燃料温度系数石墨温度系数的比值和其他条件也相同，所以在总温度系数成一定比例的情况下，最大反应性也必然呈相同比例，即总温度系数与最大反应性呈线性相关。

图9 最大引入反应性随总温度系数的变化Fig.9 Variation of introduced maximum reactivity with total temperature coefficient

除此之外，还基于§2.3事故研究了总温度系数相同、燃料温度系数与石墨温度系数不同比例情况下的温度系数与事故允许的反应性最大值的关系。假设总温度系数为-6×10-5K-1，燃料温度系数与石墨温度系数的比例分别为4:1、3:1、2:1、1:1、1:2、1:3和1:4。图10是不同温度系数比例情况下的反应性最大值。可以看出，燃料温度系数占比越大，反应性最大值越大，但增大到一定程度，不再有明显增长。图11是不同温度系数比例下的一回路出口温度变化曲线。可见，随着燃料温度系数比值的增大，事故前期的温度曲线逐渐接近。这是因为堆芯温度达到峰值的时间与提棒速度相关，提棒速度相同时，温度达到峰值的时间就比较接近，而温度峰值又固定为800℃，所以一回路出口温度从初值达到800℃的最短路径是固定的。由于总温度系数是相同的，因此反应性最大值存在一个限值。在相同时间内，燃料温度变化快，燃料温度系数占比越大，越及时抵消提棒引入的正反应性，反应性波动幅度越小，功率波动幅度越小，温度波动幅度越小；石墨温度变化慢，引入的反应性比较滞后，石墨温度系数占比越大，反应性波动幅度越大，温度波动幅度越大。因此燃料温度系数占比越大，一回路出口温度从初值达到800℃峰值的路径越靠近最短路径，但当燃料温度系数的占比达到一定值后，反应性最大值则变化不大。

图10 不同温度系数比值与反应性最大值Fig.10 Variation of introduced maximum reactivity with temperature coefficient ratio

图11 不同温度系数比值下的一回路出口温度Fig.11 Variation of the primary loop outlet temperature under different temperature coefficient ratios

5 结语

本文针对125 MW液态熔盐堆控制棒误提出的ATWS事故进行了分析，并对影响事故后果的因素展开了讨论，结果表明：

1）熔盐堆发生控制棒误提出ATWS事故时，采取关闭主泵和风机的停堆策略，无法抑制温度超过800℃的设计基准事故安全限值，但停留在800℃以上的时间较短，事故后果是可接受的。其他两种停堆策略下堆芯温度不会超过设计基准事故的安全限值，其中仅维持一回路主泵运行时，堆芯温度最低。

2）在仅维持一回路泵运行的情况下，反应性引入价值越大，温度峰值越大；提棒速度越快，温度峰值越大。当误提棒速度为0.8 cm·s-1、反应性引入价值小于8×10-5时，可以确保反应堆安全。此外，事故后期的温度稳定值与提棒速度无关。

3）在确保一回路出口温度不会超过800℃的设计基准事故安全限值的情况下，总温度系数与事故允许的最大反应性呈线性相关。在总温度系数保持不变的情况下，反应性最大值随燃料温度系数占比增大而增大。但增大到一定比例后，反应性最大值没有明显变化。

本文仅探讨了误提棒ATWS事故后的3种停堆策略，还需要讨论更多的停堆策略，例如：仅维持二回路泵运行和同时维持一、二回路泵运行等。从主泵和风机均关闭的误提棒ATWS事故中可以看出，反应堆短时间超功率积累的裂变能无法通过热传输系统或其他方式及时导出，需要进一步分析RVACS的排热能力以及不同自然循环流量对误提棒ATWS事故的影响。此外，还需要研究各种控制策略和应急措施以确保反应堆的安全。

作者贡献声明许田贵：负责事故模拟计算，数据分析及文章撰写；邹杨：负责提供研究思路、分析的技术路线、研究进度监督与指导；徐博、孙强：负责提供技术支持与指导，文章审阅与修订；朱贵凤：负责提供中子物理计算数据及文章审阅。