AP1000设计得失

杜铭海： AP设计的“得失”和“充水-排汽”战略 老李： 1.经常看您的博客，也很关心美国核管会对AP1000设计的审评。希望AP设计能尽快得到批准，因为我们“引进”了这种设计，而且有人迫切希望领导“强势”用它“统一”国家的核电技术路线。但美国核管会专家们的认识还不统一，机构发言人汉娜（RogerHannah）证实“推迟了认证决定”，要害是“担忧”安全壳的外层“屏蔽构筑物”对外部冲击的承受力（《圣匹兹堡时报》10月18日报道）。 2.“非能动”安全理念还是先进的。核电从一开始就注重并不断扩大利用这种理念，例如压水堆靠重力使控制棒下插停堆、安注箱等等。应当承认AP的设计在“不断扩大”非能动理念上有进步，例如非能动安注、余热排出和自动降压系统，甚至把换料水箱置入安全壳内，极端情况下用来实现“安全壳水淹”。但把“非能动”理念用于安全壳设计，把“经典”的安全壳分为中空的屏蔽构筑物和圆柱形钢制容器两部分，在屏蔽构筑物上放个大水箱，以实现“安全壳冷却”，则达到了“纵深防御”的“极致”，也含有“风险”。AP设计在西欧推销受挫和在美国国内审评过程的曲折经历，估计会使西屋有点认识。 3.反应堆设计的某种理念要有个合适的“度”，“过犹不及”。“纵深防御”也要适可而止，不能“不碰南墙不回头”。确保安全壳“完整性”，防止放射性失控释放，不一定非要AP这样的安全壳冷却系统，西欧流行的“安全壳排气过滤”就是一个可行的思路。“后福岛”时代，为应对极端外部事件，美国核管会也在考虑“安全壳排气过滤”。 4.“安全壳排气过滤”是欧洲人的反应堆安全理念。为防止安全壳失去完整性后放射性失控释放，宁愿面对“受控”的放射性释放风险（排出的放射性可降低到1/500）。这种理念有“疏导”、“缓解”的含义，和中国4000多年前“大禹治水”的疏导哲学是一致的，“疏导”而不“围堵”。这使我想到，面对福岛事故类的极端外部事件，要确保电厂和周围居民的安全，必须转变思想观念，采用“疏导”，即尽早采取“充水-排汽”战略，确保燃料包壳（第一道屏障）的完整性。我在05/25/11给你的信中曾谈到“充水－排汽”方式。在能源网《福岛核事故的“根本”教训》中，也谈了，但并没有“底”。 5.其实，《9.11》事件后美国核工业对“纵深防御”哲学的局限性有认识，普遍认为，极端外部威胁，防不胜防；“围堵”、固定式的硬件设计的代价高昂，价值“有限”，在某些情况下甚至“有和没有一样”，还是“充水-排汽”战略适应性、灵活性强，而代价可以接受。福岛事故后欧盟进行了“应力测试”，也普遍接受了“充水-排汽”战略。 6.我结合上述认识写了《“后福岛”时代，现代核电如何“解除”社会的担心？》一文，目前还没找到接受刊载的网站。或许技术性太强了，看不懂？或许哪些论点不能成立？或者话语太“偏激”，接受不了？望不吝赐教。 顺祝安好！ 杜铭海2011-10-20从“后福岛时代”看AP1000非能动设计的“得失”－祝修订的AP1000设计获美国核管会批准 杜铭海，dumhai@126.com2011-12-29  经历了途中的跌跌撞撞，12月22日，美国核管会(NRC)批准修订的AP1000设计，为美国新堆项目开工建造扫清了道路。估计明年初，南方核电公司和迪库珀公司(SanteeCooper)顺利拿到沃格特勒(Vogtle)-3,4和萨莫尔(Summer)-2,3核电机组建造和运行联合许可证书，没有太多的悬念。核管会主席格雷戈里.B.姚茨科(Gregory.B.Jaczko)对这个设计有很好的评价：利用简化、固有、非能动或其它创新的安全和安保功能提高安全裕度，能承受飞机撞击而没有显著的放射性物质外泄[1]。 我国引进的AP1000是NRC批准的2006年版设计。据说“除了针对软地基的设计修改不适用于三门和海阳的岩体地基，以及针对抵御大型商用飞机恶意撞击的设计在我国尚没有法律要求外，其余设计变更均已经在我国三代核电自主化依托项目4台机组中得到同步应用。”[2] AP1000是众多新堆设计中的“佼佼者”。对核电业主有吸引力的最大特点是简化和“非能动”安全。为提高安全，核电机组几十年来沿着“纵深防御”哲学理念演进、发展，变得越来越复杂，有点“头重脚轻”、不堪重负了。西屋公司迎合核电业主的愿望，在设计上做“减法”，博采众多轻水堆成功的系统和设备设计，在简化、茁壮、非能动和固有安全方面做了很好的周纳综合，很有特色。估计这种设计理念对轻水堆技术发展有推动作用，对初涉核电或转型的国家有吸引力。《国际核工程》网站对英国威尔法电站反应堆技术选型进行的读者调查显示，AP1000有明显的优势。（见该网站主页《读者调查》栏） 为保证成功，AP1000设计博选成熟、工程验证过的系统和设备，这是西屋公司的“聪明”之处。现代压水堆设计，应急状态确保堆芯安全的关键是主冷却剂系统及时降温降压排出堆芯余热。但除蒸汽发生器系统之外，压水堆没有与沸水堆相匹敌的“非能动”余热导出系统。西屋公司把现代压水堆的换料水箱放在安全壳内，把应急余热排出热交换器放在换料水箱内，用管道和阀门连接构成的AP1000“非能动堆芯余热排出系统”(PRHR)，显然有沸水堆隔离凝汽器(IC)和堆芯隔离冷却(RCIC)系统的“烙印”。 PRHR系统非常简单。换料水箱既是它的“凝汽器水箱”，又是吸收堆芯热能的“海绵”（沸水堆湿井）。系统从主冷却剂系统(RCS)热段引出，通过浸泡在换料水箱内的热交换器，依靠自然循环回到RCS冷段，把堆芯余热转入换料水箱。换料水箱水温超过100℃沸腾，蒸汽排入容积很大的安全壳内，利用水汽化潜热降温，能坚持很长时间。只有安全壳内蒸汽温度和压力达到设计限值，才对安全壳的完整性造成威胁。[3]  图1.AP1000非能动余热排出系统示意图正常情况下，入口管线上的电动阀门处于常开状态，出口管线上的气动阀(FO)常关，只有失去压空或控制信号触发才打开。系统投入、切除操作简单，有“故障开启”的特质，失去电源和压空动力，照常运行。 这个系统和福岛1#机组的IC系统非常相似，但控制方式几乎完全相反。所以，在“失去一切电源”的情况下，排出堆芯余热的“操作”也完全相反。如果福岛1#机组采用这种设计或操纵员意识到这一点，失去一切电源后立即（半小时内）就地打开IC系统的（两个）隔离阀，手动打开调节阀控制堆芯蒸汽流量，仅系统存水就能坚持8个小时以上[4]。如适时给水箱补水（消防水），1#机组爆炸就可避免，整个福岛事故的事件序列就要重写了。  图2. 福岛1#机组隔离凝汽器系统示意图 AP1000“非能动堆芯余热排出系统”设计，也满足美国核管会9.11后提出的要求。即使极端灾难性外部事件导致广泛的电厂与基础设施损坏和长期停电，仍然可排出堆芯余热，确保燃料包壳和主系统压力边界的完整性[5]。 AP1000“非能动堆芯余热排出系统”把换料水箱作为“热阱”，这一点与福岛2/3#机组的RCIC系统向安全壳湿井排“乏汽”有点类似。堆芯余热可临时“禁闭”在安全壳内，但不是长远之计。西屋公司意识到这一点，但不想采用西欧的“安全壳过滤排气”概念，所以就有了把典型安全壳结构分离为钢安全壳和钢-混凝土屏蔽构筑物两个部分、头顶大水池、通过水淋冷却钢安全壳降压降温的“创新”设计。 图3.AP1000非能动安全壳冷却示意图  信奉“纵深防御”哲学理念，追求“彻底”非能动，为排出堆芯余热采用这种安全壳冷却设计有一定的必然性。追求“完美”达到“顶峰”本身含有的许多“风险”就会逐渐暴露出来。从2006年NRC批准修订的AP1000设计以来，AP1000设计审批中的争论主要集中在安全壳设计的特异性：－背离安全壳设计最基本的固有理念，使本为一体、内有钢衬里密封的钢筋混凝土安全壳分裂成孤立的两部分：薄壁的钢安全壳和防撞击的屏蔽构筑物。屏蔽构筑物防飞机撞击审评勉强通过，仍然存在某些担心，包壳钢安全壳腐蚀[6]。－没有先例，没有运行经验—“完美”中的“不完美”。运行经验是核安全文化生命力的实质。－工程与维护代价巨大，72小时不干预原则太“奢华”。这与西屋公司降低工程造价与建设工期的承诺相违，也削弱了它的市场穿透力。“核需要关注时代的理性而不是时代的信仰。它就是个商业行为，不是宗教。”[7]－面对复杂多变的内/外部条件和挑战，任何固定式防范措施都有局限性，特别是外部条件和挑战。需要时刻保持警觉，不能“高枕无忧”。“后福岛”时代，任何先进堆设计，准备移动式电源和水泵等应急设施仍然是必做的“功课”[8]。现代轻水堆接受福岛事故的教训，做足准备，同样能保证运行安全。 到目前为止，AP1000还在图纸上和实施过程中。它的许多理念是否那么理想和完整，还有待建造和调试、甚至运行实践过程加以验证和补充，或者还有改进的必要。这个过程中国要付出极大经济代价和时间来实现，会使全世界核工业受益。 完全是个人观点，与任何组织无关。注明个人网址，希望得到批评指正。   附注：（网上都可查到）1.No.11-226，NRCAPPROVESRULETOCERTIFYAMENDEDAP1000REACTORDESIGN，December22,20112. 美国核管会批准AP1000核电的DCD19版设计，2011年12月25日。此报道最早见于国核技网站，信息来源：美国核管会、西屋网站。但引用的这段话应当来自国核技3. WestinghouseAP1000®NuclearPowerPlant：CopingwithStationBlackout，WestinghouseNon-ProprietaryClass3，April20114. Unit1isolationcondensersstoppedworkingaftertsunami，NEI,28November20115.AndrewPfister,KeithCoogler,ChrisGoossen, AP1000DesignRobustnessAgainstExtremeExternalEvents–Seismic,Flooding,andAircraftCrash,pfisteaf@westinghouse.com;cooglekl@westinghouse.com;goossecr@westinghouse.com6. ReactorDesignEdgesTowardApproval,butNotWithoutComplaints，TheNewYorkTimes，March8,20117.WorldNuclearNews, EconomicshinderUSnewbuild,16August20118.JamesH.Scobel,TerryL.Schulz,LucaOriani, AP1000-SevereAccidentFeaturesandPost-FukushimaConsiderations,scobeljh@westinghouse.com“后福岛”时代，不会重复“昨天的故事”杜铭海(退休的核工程师，dumhai@126.com)2012-02-26“3.11”日本福岛核事故快一周年了。尽管三台损坏的反应堆已经实现了政府拟定的目标，进入核燃料清除和反应堆退役阶段，但事故的影响和余波还在演进。日本政府想稳定局势，重新启动安全审评合格的核电机组，社会公众和地方政府的安全疑虑是重大障碍。世界其它有核或准备发展核电的国家和国际社会正在认真分析并吸取福岛事故的经验教训，制定保证核安全的各种措施，恢复核电正常发展，认识上的分歧和争论还广泛存在。应对能源需求增长和减排压力的“核复苏”受到压抑，温室气体的排量在上升……如何看待福岛核事故，拓展核电的未来还要做更多工作。其中，关键是政府决策层和社会公众的“认识”问题。福岛事故的里程碑意义应当说，通过广泛调查和分析研究，福岛核事故的起因已经清晰，应当汲取的经验教训也逐渐明确。简单地说，就是极端外部自然事件组合对设防/准备不足核电厂的灾难性冲击，所幸后果并不那么严重。相对天灾直接造成的沿海地区人员死亡和其它损失，福岛事故对周围居民健康的影响仍然是“心理”上的[1-3]。但是，整个社会、特别是核工业对福岛事故认识必须进一步深化并做出转变。代表性的观点是美国核管会提出调查结论：“凡涉及核电厂堆芯损坏以及放射性物质泄漏失控的事故，即使没有对公众健康造成显著的影响，从本质来说也是不可接受的”[4]。采取一切可能的防范和缓解措施，确保不发生“放射性物质泄漏失控的事故”，应当成为世界核工业努力追求的安全目标。早在核能和平利用初期，核科学先驱就意识到核能的特征并提出确保核安全根本原则。体现在核反应堆运行方面，就是：－立即停堆，停止链式核反应，使堆芯进入并保持深度次临界状态；－主回路降压、降温，排出堆芯核衰变热；－保持安全壳的完整性，防止放射性物质失控地进入外环境。从反应堆发展初期至福岛事故前夕，核科学与核工业一直在“纵深防御”哲学理念的指引下，结合运行经验反馈和前瞻性安全研究，认识并落实这三项原则，使运行核反应堆安全性不断提升。福岛事故的“里程碑”意义在于补充、完善并纠正了核科学和核工业界的认识：外部事件对反应堆安全的影响被低估了，极端外部事件组合对多堆场址的冲击可能存在负面效应；“纵深防御”哲学有缺陷，面对广泛可能的挑战性情景，多重屏障存在被瓦解的可能，单纯防御可能“防不胜防”，需要“转变”观念；确保反应堆安全的关键在于确保核燃料包壳的密封性，必须以“疏导”为主，可靠地排出衰变热；安全壳的完整性比密封性更重要，是确保放射性释放受控的最终手段。对于确保反应堆安全三原则，核科学与核工业的认识没有分歧，普通公众也可以理解。但在执行、实现三原则上，存在不同观点和认识。问题不在于“立即停堆，停止连锁反应，使堆芯进入并保持深度次临界状态”的方法和手段，而是“排出堆芯剩余发热”的目标和对“安全壳完整性”的认识。无论任何原因导致反应堆事故状态，实现紧急停堆后的首要任务是“排出”堆芯的剩余发热，目标是保持核燃料包壳的密封性。采取各种措施，使主系统降温、降压，充分利用反应堆系统已有的冷却剂流过堆芯带出余热是第一要务。最极端、最困难的条件是反应堆失去“所有”动力（外部电源，内部交流、直流电源，压缩空气和控制测量仪表显示），广泛的基础设施损坏甚至失去主控室功能，而“排出余热”的“要求”没有任何改变。对于现代轻水堆，在这种极端外部条件下系统本身保持核燃料包壳完整性的时间范围与堆型和设计有关。只要在此时间范围内使用移动式电源启动一个可用的应急冷却系统给堆芯充水，靠堆芯内的水汽化排出余热，就可化解危机，赢得进一步应急准备的时间（12小时）。简单地说，核安全的“核心信条”是：使堆芯内水流动，就能赢得时间，进而避免导致福岛事故那么严重的堆芯熔化[5]。保持核燃料包壳完整性是保持“安全壳的完整性”的前提。核燃料包壳完整，不发生锆包壳氧化，发热量小很多；即使万一出现主系统管道泄漏和/或核燃料包壳破裂，确保安全壳完整性仍然比密封性重要。及时采取安全壳排汽、甚至排气的放射性释放风险很小，采取安全壳过滤排汽（气）措施是受控的、后果预知的风险，至少可使释放的放射性总量减少4－5个数量级[6]。上述极端困难的外部条件不是不可能或“不可想象”的。福岛事故与上述情况大体相应，但不是最坏。如地震震中距电厂更近或地质状况更不利，反应堆重要系统和设备的制造和土建安装质量存在某种缺陷，就有可能发生损坏或泄漏，情况会更复杂。就此而言，即使最先进的轻水堆设计也不能完全排除堆芯损坏和放射性释放的可能性。堆芯“充水-排汽”理念“充水-排汽”，就是充分利用主回路系统现成的水源，使堆芯内的水保持流动；以保持核燃料包壳的完整性为目标，使堆芯内的水汽化/蒸发排出堆芯余热，为长期可靠地排出余热赢得进一步的准备时间。压水堆主回路系统保持完整，可利用蒸汽发生器(SG)可靠地排出余热。室外大气是可靠的热阱，可利用的水源也比较多，消防水是最方便的选择。排出的蒸汽没有任何放射性，对环境没有任何不利的影响。相对沸水堆，压水堆主回路压力边界出现泄漏，情况比较复杂，因为没有那么多的非能动余热导出系统。为确保核燃料包壳的完整性，唯一的办法是在包壳材料许可的最大限值下降温、降压[7]，把压水堆“转化”为沸水堆，利用“充水-排汽”模式排出热能。“后福岛”时代，现代核反应堆必须视此为可能面对的极端情景，认真分析研究。具体分析每个反应堆在这种状态下实际可采取的最佳战略行动是核电厂业主的任务。但不考虑特定情况，普遍适用、灵活、简单的手段就是现场有移动式电源和水源。再具体、简单、方便些，就是电瓶车、消防车、水龙带......从最近美国核研究所的报道看，核工业主动添置的应急设施也就是这类的设备[8]。先进反应堆，有的采用“创新”设计导出堆芯余热（如AP1000），有的强化各种屏障的能力（如EPR），但现在都认识到，迟早要有上述的移动式电源和水源。如是，采用这么简单的措施，现代反应堆的安全性至少可上一个“台阶”。因为现代反应堆总的堆芯损坏频度(CDF)中，“全厂停电”是主因（占25－70%，甚至更高）[9]。这种思维，美国人称之为“缓解”战略并纳入“纵深防御”哲学的范畴[4]。从积极主动化解矛盾的观点，称之为“疏导”理念更确切，概念更清晰、合理。初始响应——“疏导”理念执行要点实施“疏导”理念，要重视、发挥人的主观能动性。过去的核安全分析，“人因”的消极方面被“放大”了，缺少“辨证”观点。核安全主要靠“人”。在极端复杂、困难或“无章可循”的情况下，人的主观能动性甚至“临场发挥”，有可能以极小的代价换取全面的胜利。不鼓励“英雄行为”和“鲁莽举动”，但最困难、危急局面和关键时刻仍然要坚持核工业的职业操守和牺牲精神。实施“疏导”理念，主要涉及“软件”方面的改进和最低限度采购。安全相关系统（设备）的变更极少，而且是非常细微的改进。就压水堆而言，借鉴先进堆的某些设计，的“硬件”改进是：—汽动/柴油机驱动辅助给水系统的阀门控制方式增加“故障投入”模式。—稳压器卸压阀控制回路增设“连续降压”控制功能。在主回路压力边界出现泄漏的情况下，保持堆芯内的水流动并变为“充水-排汽”模式，排出堆芯余热。实施要点：—进行本机组、本现场的系统研究、分析和准备，确定不同响应战略的行动时限、“入口条件”和行动步骤。—执行手段要茁壮、简单、灵活、易行。通过最简单的，即使现场运行甚至辅助人员（如消防和保安人员）也会执行。—电厂领导和管理层要首先接受培训并“亲身”参加实际演练。—电厂组织机构和人员配置做适应性变更，明确授权现场第一责任人和后备人选。机组值长是“第一”责任人，现场值班“安全工程师”（又称“值班技术顾问”）是最合适的“后备”人选。安全工程师隶属电厂核安全处，有单独的值班岗位和现场巡视、检查[10]。—发生严重事件，立即电厂应急响应指挥，同时进行分析判断。无须请示或批准，即可在30分钟内采取初始响应行动：■压水堆主回路系统基本完整：●30分钟内手动打开主蒸汽系统大气释放阀，确保辅助给水系统正常启动给SG补水，监视、保持SG水位（不满水）；同时给凝结水箱补水；●如辅助给水泵故障，必须使用移动式水泵，在90分钟内以40m3/小时的流量给SG补水。■主系统压力边界出现泄漏：●视主系统降压速率和堆芯温度变化趋势，决定是否在30分钟内实施稳压器卸压阀连续降压。同时确定“充水”位置，在90内以70m3/小时的流量给堆芯连续充水，控制堆芯温度和压力，实现“充水-排汽”运行模式。●视堆芯状态演变，适时利用“另外”后备的移动式水源，以70m3/小时的流量通过安全壳喷淋或低压安注管路，实现“安全壳水淹”。●连续监视安全壳内的温度和压力，适时手动投入安全壳过滤排汽（气）系统，确保安全壳的完整性。—最起码的工具是带照明的“矿工”式安全帽、通信联络手段和必要的电工工具。—依靠的主要信息是堆芯/SG温度和压力,水位指示不可靠。为确保堆芯核燃料组件不裸露，SG不满水，应当通过模拟或事故分析，绘制“堆芯/SG水位与温度、压力的相应关系曲线”。初始响应——实施“疏导”理念是在电厂严重事故情景下，沟通电厂正常运行与电厂严重事件应急响应之间的“桥梁”和转入电厂应急响应的“过渡过程”。过渡得好，可为后续响应创造最佳条件，尽早恢复正常冷却功能，进入“冷停堆”状态。文中引用的行动时限和充水流量数值的准确性还要结合机组的特定设计，利用模型/程序（如常用的MELCOR、MAAP）加以验证[11]。简单结论福岛事故的里程碑意义在于揭示核科学与核工业安全理念需要“转变”：确保核安全的关键在于保持核燃料包壳的完整性；“纵深防御”哲学需要“疏导”理念的辅助，“充水-排汽”（不是排气）是理想模式；安全壳的完整性比密封性更重要，安全壳过滤排汽/气是降低放射性环境影响的最后手段。严重事故毕竟是小概率事件，暴露的某些设计缺陷需要消除（如系统隔离和密封），但大规模的固定式防御手段（如防浪大坝和围墙）的必要性和有效性不能确定，便携式电源和移动式水源更灵活、有效。轻水堆的安全性能一直在不断改进。设备制造和建安质量是确保核安全的物质基础，但体制和文化是核工业面临的严重挑战。人类能够吸收过往的经验教训，随时做好应对设计基准和超设计基准事件的准备，不再重演“过去的故事”。完全是个人观点，与任何组织或个人无关；注明个人邮箱，希望听到反驳意见。注释：(引用资料均可在网上查到)1.WNN,Lowriskfrommajoraccidentconsequences,02February20122.USNRC,MODELINGPOTENTIALREACTORACCIDENTCONSEQUENCES,NUREG/BR-0359,January20123.MIT,TechnicalLessonsLearnedfromtheFukushima-DaichiiAccidentandPossibleCorrectiveActionsfortheNuclearIndustry:AnInitialEvaluation，MIT-NSP-TR-025，May2011.4.USNRC,RecommendationsforEnhancingReactorSafetyinthe21STCentury,July12,2015.DeclanButler,France'imaginestheunimaginable',Naturenews11January20126.M310型反应堆设计有安全壳过滤排气系统；水汽化的净化效果～100；过滤排汽系统的净化效果大于500，因此总效率～2x10-57．美国忧思科学家联盟(UCS)核安全工程主任洛克博姆(DavidLochbaum)曾指出，福岛1#机组紧急停堆后堆芯冷却、加热速率高达到164℃/小时和138℃/小时，远远超过技术规格书的（冷却速率为55℃/小时），但没有发现任何问题，证明沸水堆燃料的锆合金包壳能承受很高的冷却速率而不出现破损。详见DavidLochbaum,FukushimaDai-IchiUnit1:TheFirst30Minutes，UCS,May24,20118.USNEI,U.S.NuclearIndustryAdoptsInitiativetoAcquireMoreEmergencyEquipment,February21,20129.INL，AnalysisofStationBlackoutRisk，NUREG/CR-6890,Vol.2，December200510.三里岛事故后，世界许多核电厂曾增设“值班技术顾问”或“安全工程师”岗位，专司运行异常和重大事故处理职能。尽管许多核电厂的这种设置保留下来，但多半不再“跟班倒”。现在看来，恢复“倒班”是有效的措施。11.文中引用行动时限和充水流量多依据下述三个资料：1）NE1，B.S.bPhase2&3SubmittalGuideline，NE106-12Revision2，December2006；2）Shih-jenwang,Chun-shengChien,andTe-chuanWang,SimulationofMaanshanTMLB`sequencewithMelcor1.8.3,NuclearTechnology,Vol.,126APR.1999;3)NUREG-1150-vol.1SevereAccidentRisks:AnAssessmentforFiveU.S.NuclearPowerPlants,FinalSummaryReportpart-2,SummaryofPlantResults,December1990