Размещено на http://www.allbest.ru/

Опыт ввода в эксплуатацию АЭС с ВВЭР-1000 в Китае - аварийный режим: «ложное срабатывание алгоритма управления течью из первого контура во второй»

Д.Э. Колчинский, А.М. Альтшуллер

СПбАЭП, Санкт-Петербург, Россия

Опыт проведения динамических испытаний на Тяньваньской АЭС и отладка алгоритмов автоматического поддержания параметров показали необходимость уделять более пристальное внимание расчетной оценке согласованного поведения реакторной установки и вспомогательного оборудования в переходных режимах. Из-за инерционности в реагировании на изменяющиеся параметры регуляторы и вспомогательное оборудование, включаясь по уставкам во время переходных режимов, вступают в работу слишком поздно, в результате чего параметр успевает достигнуть следующего предела. Наиболее показательным и серьезным, с точки зрения вызванного резонанса, примером этого является получение на этапе динамических испытаний аварийного режима «ложное срабатывание алгоритма управления течью из первого контура во второй» входе проведения испытания ложного срабатывания аварийной защиты. В этом испытании впервые в ходе пуско-наладочных работ основные регуляторы работали совместно в переходном режиме, и полученный результат был полной неожиданностью для, проводившего его, персонала. Тем не менее, необходимо отдать должное именно персоналу, который быстро сориентировался в ситуации и принял правильные решения. Расследование инцидента долгое время находилось под контролем у надзорного органа КНР и в Российском Агентстве по Атомной Энергии, в результате был выпущен отчет [1]. Цель данной статьи: еще раз обратить внимание на необходимость тщательного анализа результатов ввода в эксплуатацию и первых лет эксплуатации Тяньваньской АЭС - первой российской АЭС третьего поколения, большая часть решений которой реализовано в проекте АЭС-2006.

«Испытание блока при ложном срабатывании АЗ» запуск алгоритма «преодоление аварии с течью из первого контура во второй»

Динамические испытания на первом блоке Тяньваньской АЭС проводились в 2007 году специалистами «Атомтехэнерго» при участии СПбАЭП, ОКБ «Гидропресс» и РНЦ «Курчатовский институт», а также фирмы AREVA - поставщика СКУ систем безопасности и китайского оперативного персонала компании JNPC.

Первое испытание первого блока при ложном срабатывании АЗ было выполнено 23.01.2007 на этапе освоения номинальной мощности при исходном уровне мощности реактора 100% Nном.

Целью испытаний являлась комплексная проверка совместной работы основного и вспомогательного оборудования при переходе блока из состояния "Работа на мощности" в "горячее" состояние во время ложного срабатывания аварийной защиты (АЗ).

Ложное срабатывание аварийной защиты является проектным режимом нарушения нормальной эксплуатации, характеризующимся быстрым вводом отрицательной реактивности и приводящим активную зону в подкритическое состояние. При этом в соответствии с проектным подходом предполагалось, что за счет собственных свойств внутренней самозащищенности и штатной работы вспомогательных систем реакторная установка безопасно перейдет в «горячее» состояние и сможет находиться в нем сколь угодно долго. Под безопасным переходом понимается такое следование переходного процесса, при котором не формируются дополнительные аварийные сигналы и не выполняются защитные действия (кроме тех, которые непосредственно были вызваны аварийной защитой).

Испытание проводилось в соответствии с процедурой [2], согласно, которой приемочные критерии были сформулированы следующим образом:

1. Оперативный персонал не должен вмешиваться в работу автоматических систем регулирования и защит блока после останова реактора до стабилизации основных параметров РУ;

2. Следующие основные параметры РУ не должны выходить за пределы:

- давление пара в ПГ 4,9 - 7,84 МПа;

- температура теплоносителя в петлях 1 контура 270 - 323 єС;

- уровень в ПГ (общий диапазон) (Lном_0,5)- (Lном+0,3) м;

3. Время падения всех ОР СУЗ с верхнего до нижнего положения менее 2,5 сек.

Последовательность событий при испытании (приводится в соответствии с [1]):

1. Режим «ложное срабатывание АЗ» был имитирован нажатием кнопки АЗ на блочном щите управления (БЩУ) Во время данного испытания 20 из 85 ОР СУЗ имели задержку падения от 8 до 1287 сек, тем не менее штатная работа остальных 65 ОР СУЗ обеспечила перевод реактора в подкритическое состояние. Данное событие являлось отдельным предметом анализа и не будет больше упоминаться в данной статье..

2. Через 5 сек после АЗ реактора в соответствии с проектом сработали защиты на закрытие стопорных клапанов (СКТ) турбины и затем на отключение генератора от сети.

3. Давление пара в главном паровом коллекторе (ГПК) после закрытия СКТ возрастало максимально до значения 6,45 МПа и регулировалось работой быстродействующей редукционной установки сброса пара в конденсатор (БРУ-К), в результате чего давление в ГПК снизилось до 5,2 МПа приблизительно через 40 секунд после АЗ (затем, после автоматического закрытия всех клапанов БРУ-К давление пара в ГПК начало увеличиваться до 5,5 МПа).

4. Из-за интенсивного расхолаживания через второй контур через 30 секунд после АЗ сформировался второй сигнал АЗ по давлению 1 контура менее 13,73 МПа при температуре 1 контура более 260 оС в соответствии алгоритмом управления авариями с течью первого контура. По этому сигналу в соответствии с проектным алгоритмом закрылась запорная арматура на линии подачи борного раствора на всас насосов подпитки первого контура Закрытие арматуры на всасе подпиточных насосов реализовано для того, чтобы исключить влияние систем нормальной эксплуатации на работу систем безопасности.

5. Через 48 секунд после АЗ значение уровня в компенсаторе давления (КД) достигло 4,9 м, что сформировало уставку «-200 мм» от номинального уровня, по которой включился второй подпиточный насос малой (6 т/ч) производительности. Еще через 15 секунд уровень в КД достиг уставки «-800 мм» и в работу включился подпиточный насос большой (60 т/ч) производительности.

6. Не смотря на работу системы подпитки (общий расход составил около 70 т/ч) уровень в КД продолжал снижаться и через несколько секунд после включения подпиточного насоса большой производительности сформировался третий сигнал АЗ по снижению уровня в КД менее 4,0 м. А еще через 23 секунды уровень в КД достиг уставки «-1500 мм» от номинала и в работу включился второй подпиточный насос большой производительности (общий расход подпитки - порядка 90 т/ч), что позволило временно стабилизировать уровень в КД на отметке 3,3 м. Однако еще через 15 секунд все насосы подпитки отключились по своим защитам из-за того, что ранее были закрыты задвижки на всасе из баков запаса борного раствора (см. п.4).

7. Через 88 секунд после начала испытания сформировался четвертый сигнал АЗ - «течь из первого контура во второй». Критерием формирования сигнала АЗ послужило достижение в диверситете В алгоритма управления режимом течь из первого контура во второй совпадения уставок «уровень в КД «-1000мм» от номинального» и разность подпитки одного из парогенераторов (ПГ) от остальных боле 42 кг/с.

8. Формирование сигнала течи из первого контура во второй активизировало алгоритм автоматического управления этим аварийным режимом, предусматривающий следующие действия:

- включение четырех насосов системы аварийного ввода бора на впрыск в КД суммарным расходом 17,3 кг/с для снижения давления первого контура до 7,9 МПа;

- открытие клапанов быстродействующей редукционной установки сброса пара в атмосферу (БРУ-А) на трех неаварийных ПГ для снижения температуры (обеспечения запаса до температуры насыщения) теплоносителя первого контура;

- отключение подачи охлаждающей воды промконтура к системам нормальной эксплуатации;

- отключение ГЦНА (на аварийной петле);

- отсечение аварийного ПГ.

9. Персонал своевременно зафиксировал отсутствие активности в паропроводах ПГ на основании чего сделал вывод о ложной природе формирования сигнала «течь первого контура во второй», дальнейшее проведение испытаний было остановлено (через 88 секунд после начала).

10. Дальше в течение последующих 30 секунд ложный сигнал «течь из первого контура во второй» сформировался еще в двух парогенераторах, в результате чего ГЦНА на соответствующих петлях автоматически отключились, после этого сформировался пятый сигнал АЗ по «отключению 3-х ГЦНА из 4-х» (через 121 секунду после первого).

11. После снижения давления в первом контуре ниже 7,9 МПа (через 4 минуты 20 секунд от начала испытания) снялся сигнал на принудительное открытие БРУ-А и произошло закрытие БРУ-А на всех ПГ (при давлении в ПГ 1,9 - 2,3 МПа). В то же время в соответствии с логикой управления аварией «течь из первого контура во второй» сформировался сигнал на отсечение трех «аварийных» парогенераторов (закрылись БЗОК, питательная вода и продувка). Давление во втором контуре начало повышаться.

12. К этому времени операционный персонал сумел овладеть ситуацией - подключил насос подпитки первого контура для восстановления уровня в КД и создания стояночной концентрации. Некоторое время параметры реакторной установки восстанавливались в режиме естественной циркуляции (из-за отключения по защите последнего ГЦНА), но через час параметры первого контура достигли «горячего» состояния и в работу были введены два ГЦНА.

Как видно из приведенной выше последовательности событий полученный аварийный режим характеризуется множественным (каскадным) формированием сигналов аварийной защиты, что оказало сильное эмоциональное воздействие на оперативный персонал. Помимо исходного сигнала АЗ дальше по времени сформировались сигналы аварийной защиты: по течи первого контура, по течи первого контура во второй и по факту отключения трех ГЦНА из четырех.

1. Причиной формирования сигнала аварийной защиты «течь первого контура» явилось стремительное снижение давления в системе первого контура и падение уровня в компенсаторе давления, вызванные захолаживанием теплоносителя первого контура. Значительное снижение температуры теплоносителя первого контура (до 272оС вместо 280оС) в свою очередь произошло за счет интенсивного отвода тепла через второй контур вследствие медленного закрытия БРУ-К при переходе из режима сброса паровой нагрузки в режим поддержания давления в ПГ.

Кроме того, формированию аварийной уставки по уровню в КД способствовала непроектная работа уровнемеров. Дело в том, что традиционно для измерения уровня в компенсаторе давления используются две шкалы уровнемеров: с малой базой - 6,3 м, для регулирования уровня при работе на мощности и с общей базой - 12 м для формирования аварийных уставок и для работы в режимах разогрева-расхолаживания. При снижении давления в первом контуре, из-за интенсивного кипения теплоносителя в объеме компенсатора давления, а также локального вскипания в уравнительных сосудах, разница в показаниях уровнемеров с малой и общей базами достигали одного метра. Таким образом, когда при снижении температуры первого контура до 280 оС уровень в КД достиг проектного значения 5,1 м по уровнемеру с малой базой и отклонение от уставки регулирования было равно «0», то по уровнемеру с общей базой было зафиксировано значение 4,0 м и в ходе дальнейшего снижения температуры первого контура сформировалась уставка АЗ - «уровень в КД меньше 4 м». Кроме того, снижение уровня ниже 4,1 м сформировало сигнал течи первого контура «уровень в КД на 1 м ниже номинального» (в «горячем» состоянии при температуре первого контура < 280 оС номинальный уровень - 5,1 м) при отсутствии течи, а только за счет усадки теплоносителя. Логика формирования уставки для регулирования уровня в КД показана на рисунке 1.

Рисунок 1. Алгоритм формирования уставки для регулирования уровня в КД в зависимости от температуры теплоносителя первого контура из [3] на момент проведения испытаний.

аварийный режим испытание атомный

После стабилизации температуры первого контура (после закрытия БРУ-К) кипение в компенсаторе давления прекратилось и уровнемеры с малой и общей базой показали похожие значения - около 3,3 м.

Анализ изменения уровня в компенсаторе давления при срабатывании АЗ показал, что запас теплоносителя первого контура недостаточен для того, чтобы компенсировать его усадку при резком снижении мощности и обеспечить нахождение уровня в проектных пределах без подключения специальных средств. Поэтому в качестве мер, учитывающих эту особенность, было предложено:

- повысить уставку уровня в КД при работе на 100% мощности до 8,80 м (вместо 8,17 м);

- реализовать опережающий запуск насоса подпитки большой производительности по сигналу АЗ.

Для исключения ложного формирования сигнала снижения уровня в КД на 1,0 м менее номинального при отсутствии течи был расширен диапазона формирования уставки уровня в КД по средней температуре теплоносителя до 270 °C (рисунок 2).

Рисунок 2. Откорректированный алгоритм формирования уставки для регулирования уровня в КД в зависимости от температуры теплоносителя первого контура из [3].

Учитывая также, что снижение уровня в КД явилось следствием существенного «захолаживания» теплоносителя было внесено ограничение по работе БРУ-А в алгоритме управления аварией из первого контура во второй, в соответствии с которым БРУ-А не допускала снижение давления в ПГ ниже 4,9 МПа.

2. Сигнал аварийной защиты «течь первого контура во второй» сформировался при совпадении сигналов снижения уровня в КД и разбаланса подпитки между разными парогенераторами (разница в подаче питательной воды между двумя любыми рабочими парогенераторами составила более 42 кг/с).

Режим ложного запуска алгоритма «течь из первого контура во второй» для ТАЭС является проектной аварией и рассматривается в отчете по обоснованию безопасности. В [4] приводится анализ и расчет данного аварийного режима, которые показали, что даже с наложением обесточивания приемочные критерии такие как, непревышение параметрами первого и второго контуров проектных пределов, обеспечение охлаждения активной зоны и целостности топлива, равно как низкий уровень радиационного воздействия на население выполняются.

Надо отметить, что автоматическое управление аварией «течь из первого контура во второй» на российских АЭС не применяется, для этого существуют специальные противоаварийные процедуры, в соответствии с которыми управление аварией возлагается на оперативный персонал. При этом признаком наличия течи является появление -активности в паропроводе парогенератора, а по другим косвенным признакам оператор может оценить достоверность события, размеры и место течи, а также стратегию ее преодоления.

Отсутствие автоматического управления аварией с течью из первого контура во второй на российских АЭС оправдано, поскольку алгоритм идентификации течи весьма сложен для реализации его на релейных средствах СКУ, и, кроме того, в арсенале российских ВВЭР нет такого эффективного средства снижения давления в первом контуре, как система аварийного ввода бора. Поэтому опытный персонал российских АЭС справедливо признан более эффективным в деле преодоления подобных аварий, нежели автоматика.

К проекту АЭС-91, реализованному на ТАЭС, изначально были предъявлены высокие требования по автоматизации, чему должно было способствовать применение цифровой СКУ, как для управления технологическим процессом нормальной эксплуатации, так и для систем безопасности. В проекте постулируется невмешательство оператора в аварийный процесс в течение 30 минут после начала аварии, поэтому управление всеми аварийными режимами, в том числе и течами из первого контура во второй, должно было быть автоматизировано.

В соответствии с концепцией автоматизации Тяньваньской АЭС каждая функция безопасности должна запускаться по одному из сигналов, формирующимся в двух различных комплектах аппаратуры (диверситеты А и В) и имеющим различную физическую природу происхождения. В частности, для формирования сигнала межконтурной течи в диверситете А была применена логика формирования, основанная на появлении -активности в паропроводе, а в диверситете В - на разнице расходов питательной воды между парогенераторами. Дополнительными критериями наличия течи служат показания уровнемеров в компенсаторе давления и парогенераторах. Применение дисбаланса расходов питательной воды кажется логичным для идентификации межконтурной течи, поскольку при работе парогенераторов в одинаковых условиях, снижение расхода питательной воды в одном из них свидетельствует о наличие дополнительной подпитки, и при одновременном снижении уровня в компенсаторе давления, можно заключить, что имеет место переток теплоносителя из первого контура во второй, как раз в этом парогенераторе.

Однако при проведении динамических испытаний было обнаружено, что в переходных режимах с быстрым изменением мощности взаимное влияние меняющихся параметров первого и второго контуров приводит к рассогласованному поведению регуляторов уровня в ПГ, в результате чего расход питательной воды на разные ПГ может быть различным. Более того, сигнал «разница расходов питательной воды более 42 кг/с», вообще, формировался довольно часто в процессе работ по вводу блока в эксплуатацию, но был кратковременным и при отсутствии сигнала об уменьшении уровня в КД не запускал алгоритм управления аварией. По результатам испытания было решено ввести шунтирование сигнала АЗ и на запуск систем безопасности по разбалансу расхода питательной воды в следующих переходных режимах:

- резких сбросах нагрузки;

- отключениях ГЦН;

- снижении мощности до ~ 10%Nном и переводе регулирования уровня в ПГ с основных на пуско-остановочные регулирующие клапаны.

Кроме того, для исключения кратковременного ложного срабатывания сигнала при переходных режимах выполнена временная задержка в формировании сигнала.

Выводы по результатам анализа аварийного режима

Не смотря на то, что аварийный режим на ТАЭС проходил по сценарию, отличающемуся от рассмотренного в [4], приемочные критерии, установленные в проекте, были выполнены, и реакторная установка была переведена в безопасное состояние. При этом самым главным и опасным отличием от проектного протекания аварийного режима явилось множественное формирование сигнала аварийной защиты по «течи из первого контура во второй» и, как следствие, каскадное отключение трех из четырех парогенераторов. Для исключения этого в алгоритмы функций безопасности были внесены изменения, препятствующие одновременному отсечению более одного парогенератора. Всего по результатам одного этого испытания было внесено более десяти изменений в алгоритмы управления функциями безопасности. Некоторые из этих изменений, наверное, являлись избыточными мерами, но тем, кто был на БЩУ в момент, когда с блоком происходит «что-то непонятное», любые меры по исключению подобных ситуаций лишними совсем не кажутся. Все, принятые по результатам испытания изменения были реализованы, и проведенное спустя четыре месяца повторное испытание режима ложного срабатывания АЗ прошло успешно.

В заключение хочется отметить и положительный момент «отрицательных» результатов испытания - это безупречная работа цифровой системы управления. Все алгоритмы отработали четко, как было заложено в проекте. Кроме того, возможности цифровой СКУ позволили тщательно изучить протекание режимов и получить качественный анализ на основании архивных данных.

В электронном архиве ТАЭС уже накоплен огромный объем информации по вводу в эксплуатацию, самой эксплуатации, обо всех испытаниях и нарушениях. Два блока Тяньваньской АЭС уже более двух лет работают на 100% мощности, поставляя электроэнергию в сеть. Однако приходится с сожалением констатировать, что опыт ввода ТАЭС в эксплуатацию в недостаточной степени изучен и принят во внимание при проектировании, строительстве, а в будущем при вводе в эксплуатацию и эксплуатации новых российских АЭС, в то время как наши партнеры по Тяньваньской АЭС (AREVA, Siemens, JNPC) зафиксировали все должным образом и провели специальные мероприятия по учету этого опыта. Говоря об учете опыта мы имеем в виду не только и не столько проектирование (как раз проектные ошибки легче всего выделить и учесть в будущем), но речь идет создании комплексной обратной связи между проектированием, строительством, наладкой, эксплуатацией и научным руководством. Необходимо для верификации и валидации проектных решений более широко применять математическое моделирование технологических процессов совместной работы оборудования и автоматики. К сожалению, в нынешних условиях больших объемов и сжатых сроков по реализации новых проектов, на это не хватает ни времени, ни людей, но хочется надеяться, что руки у нас до этого когда-нибудь все-таки дойдут.

Список литературы

1. Отчет: «Анализ ложного срабатывания алгоритма «течь из первого контура во второй» на энергоблоке № 1 Тяньваньской АЭС в КНР». Федеральное агентство по атомной энергии, 2007.

2. Процедура "Испытание блока при ложном срабатывании АЗ". LYG-1-000.TP-L009/01, Rev.B.07.2005. Атомтехэнерго.

3. Requirement specification. The process engineering task description for the safety instrumentation and control systems, Concept report. SPbAEP, 2003.

4. Окончательный отчет обоснования безопасности для Тяньваньской АЭС. СПбАЭП, 2003.

Размещено на Allbest.ru