2002年第四代核能系统国际论坛提出了在2030年前研发6种第四代核能系统的目标，其中包括熔盐堆(Molten Salt Reactor, MSR)。2011年中国科学院启动了首批战略性科技先导专项“未来先进裂变能——钍基熔盐堆核能系统”^[1]，由中国科学院上海应用物理研究所主导进行钍基熔盐堆核能系统(Thorium Molten Salt Reactor, TMSR)的研发与应用。目前，TMSR中心已成为熔盐堆的重要研发中心，其钍基熔盐堆的关键技术研发和设计研究均处于世界领先水平^[2]。

钍基熔盐堆-固态燃料二号堆(Thorium Molten Salt Reactor -Solid Fuel 2, TMSR-SF2) 是基于SF1 (Solid Fuel 1) 的小型模块化升级堆型，除了保留熔盐球床堆的堆芯结构^[3]、包覆颗粒燃料^[4]、低压高温运行环境、高热惰性^[5]、高安全裕度等固有安全性和依靠自然循环的非能动余热排出安全系统^[6-7]等优点外，还吸收小型模块化的一体化设计、方便运输、就地装卸、功率灵活、储热应用等诸多特性，在安全、经济与适用广度方面有了巨大的改进。SF2可以满足偏远地区发电供暖以及岛屿海水淡化等诸多特殊需求，尤其适用于中国国家重大战略“一带一路”途径的国家和地区的热电供。目前SF2已经完成了其预概念设计。基本参数：燃料元件为直径3.0 cm球床；燃料球个数为874000；反应堆热功率384 MW；电功率170 MW；使用高温氦气布雷顿循环，转换效率高达44%；采用四回路设计，冷却剂分别为FLiBe、FLiNaK、KNO₃与氦气；一回路质量流速1588 kg∙s^-1，进出口温度为600-700 ℃；二回路质量流速1809 kg∙s^-1，进出口温度534-740 ℃；三回路质量流速2500 kg∙s^-1，进出口温度503-588 ℃；三条熔盐回路额定压强分别为4.0×10⁵Pa、5.0×10⁵ Pa、6.0×10⁵ Pa；燃料、慢化剂、冷却剂与反射层温度反应性系数分别为-3.95×10^-5K^-1、-1.69×10^-5 K^-1、-0.68×10^-5 K^-1与0.6×10^-5 K^-1。

全厂断电事故是因厂外干涉或误操作导致主泵、涡轮等其他反应堆用电设施失效的稀有事故(Class III)^[8]。在传统压水堆中全厂断电事故会导致所有回路失流，堆芯升温突破安全限值引发严重后果，必须依靠堆芯紧急冷却系统注入过量含硼水保证堆芯燃料元件始终淹没直到事故缓解避免放射性释放。然而SF2因为冷却剂成本高昂无法采取类似策略，必须借助安全分析软件对其进行事故模拟，评估依靠固有安全性实现SF2安全停堆与后续堆芯长期冷却的可行性与可靠性。从设计基准事故的角度考虑，熔盐堆全厂断电事故与失流事故、丧失热阱事故、失去厂外电源事故有极强的相似性与包容性，对其分析研究具有重要意义。

Relap5/MOD4.0为一维点堆两相流分析程序，因此进行安全分析前必须进行节点化处理^[9]，图 1为SF2在RELAP中的节点图，包括反应堆容器、三个回路、堆舱与直接反应堆辅助冷却系统(Direct Reactor Auxiliary Cooling System, DRACS)^[10]。所有反应堆元件的热工水力参数、换热关系式^[11]、工质物性等均做了等效化处理，以保证计算结果的准确性。

图 1

图 1 TMSR-SF2节点图 Figure 1 Nodalization diagram of TMSR-SF2.

表 1为SF2的安全限值，作为回路材料的哈氏合金相对于燃料元件与冷却剂，安全裕度最低，704 ℃以上其耐腐蚀性能会显著下降，750 ℃以上将无法保证支撑强度^[12-13]。因此一回路出口的冷却剂温度成为全厂断电安全事故分析中最关注的物理量，直接决定了一回路物理边界的安全性。

表 1

表 1 安全限值 Table 1 Safety limitation. 安全限值 Safety margin 最小值 Minimum / ℃ 最大值 Maximum / ℃ FLiBe 459 1400 FLiNaK 454 1570 KNO3 220 600 燃料球Fuel pebble — 1250 哈氏合金Hastelloy alloys — 750/704

表 1 安全限值 Table 1 Safety limitation.

表 2为SF2的保护参数与整定值，全厂断电事故发生同时所有主泵惰转，1 s延迟后控制棒失电落棒。为满足事故保守假设，整定值误差全取偏离初值一侧。DRACS的额定余热排出功率为额定热功率的1.5%，理论上可以满足堆芯衰变热排出需求，但其自然循环过程建立需要至少61 s，因此SF2能否在堆芯实现热平衡前保证安全限值不被突破成为最有价值的研究对象。

表 2

表 2 保护参数与整定值 Table 2 Protection parameters and setting values. 保护参数 Protection parameters 整定值 Setting values 误差 Error 延迟时间 Delay time / s 反应堆倍增周期Reactor period ≤20 s 6% 0.5 反应堆功率Reactor power proportion ≥109%额定值≥109% rated value 3% 0.5 一回路冷却剂质量流速Loop mass flow proportion ≤60%额定值≤60% rated value 3% 1 一回路冷却剂出口温度Main loop outlet coolant temperature ≥704 ℃ 4 ℃ 4 一回路冷却剂入口温度Main loop intel coolant temperature ≤550 ℃ 4 ℃ 4

表 2 保护参数与整定值 Table 2 Protection parameters and setting values.

全厂断电事故发生0 s时主泵失电惰转，回路质量流速迅速降低并稳定在初始值的1.2%左右，1 s后控制棒下落停堆，1.1 s后一回路质量流速低于整定值开启DRACS阀门，至此SF2所有安全系统全部启动。

从反应性变化曲线来看，依靠落棒引入的负反应性占据了主导影响，甚至在图 2中燃料温度开始上升前便实现了安全停堆。事故发生11.0 s后控制棒完成落棒动作，停堆深度达到-9548×10^-5，反应堆热功率平缓降低至额定热功率的1%左右，全事故过程没有任何临界迹象。

图 2

图 2 反应性与反应堆功率 Figure 2 Reactivity and normalized power.

图 3展示了反应堆中重要温度变化曲线，在惰转引起的流速降低与停堆引起的功率降低共同作用下，事故前期堆芯温度发生了一次较大波动。前34s惰转影响占据优势，堆芯处于过冷状态，之后泵叶动向释放完毕，燃料球内衰变热开始积累使得温度回升，一回路出口冷却剂温度在40 s后紧随其后并在388 s时达到了全事故过程最大值727.8 ℃。得益于DRACS完全开启，自然循环逐步建立并排出堆芯余热，冷却剂没有突破750 ℃安全限值。事故发生27 min后，冷却剂温度回落至704 ℃以下，不会对哈氏合金造成严重后果。

图 3

图 3 冷却剂与燃料温度 Figure 3 Coolant and fuel temperature.

图 4为堆芯经过不同途径对外释放的衰变热量比较结果，DRACS开启后立刻达到额定余热排出功率并保持不变，抗干扰能力远强于回路换热器。而依靠惰转与自然循环驱动的一二回路冷却剂则通过换热器在事故前期吸收了相当一部分衰变热。比较三条曲线在0-388 s时间段的积分总热量：DRACS带走5818 kW衰变热，其他两条分别为20337 kW与7912 kW。可见SF2的高热惰性在事故前期相当于一个临时池式热阱，且效果数倍于DRACS。事故中期，直到回路间热平衡建立，通过换热器的热流量逐渐降低至额定热功率的0.4%以下，余热排出才由DRACS主要承担。可见，SF2的热惰性在面对事故瞬态冲击时可以起到了良好的缓冲作用，为非能动安全系统争取了数百秒时间。

图 4

图 4 衰变热传导 Figure 4 Decay heat transfer.

事故后期，余排能力稳定的DRACS提供了可靠的堆芯长期热阱。虽然控制棒引入的过量负反应性将衰变热始终维持在额定热功率的1.0%左右，低于DRACS 1.5%的设计参数，使图 5中余热排出功率曲线略有下降，但这50%的设计余量可以大幅强化后期的安全冗余与热平衡稳定性。

图 5

图 5 DRACS质量流速与余热排出量 Figure 5 Mass flow rate and decay heat removal in DRACS.

除了基于基准假设的全厂断电事故外，本文还研究了其他5种可能的继发事件，分别为主泵维持运行、未能停堆的预期瞬态(Anticipated Transients Without Scram, ATWS)、第二套控制棒落棒、主泵维持运行且落棒失败、DRACS失效。一共6种事故的燃料与冷却剂最高温度变化曲线如图 6所示。

图 6

图 6 燃料(a)和冷却剂(b)最高温度比较 Figure 6 Maximum fuel (a) and coolant (b) temperature comparison.

显然，ATWS作为超设计基准事故，其后果最为严重，停堆深度不足导致衰变热超出了SF2固有安全性与DRACS的承受上限，冷却剂最高温度达到809.5 ℃。但如果在ATWS事故中维持主泵运行，可以借助回路熔盐有效吸纳堆芯积累的衰变余热，冷却剂最高温度仅708.3 ℃。DRACS失效工况初期与默认工况完全一致，但1 h后开始出现差异。至于第二套停堆棒落棒工况，从宏观结果来看与基准事故根本没有任何区别。

基于以上结果，可以得到这6种事故的严重性排序：主泵运行=默认工况 < DRACS失效≈ATWS且主泵运行 << ATWS，安全系统的重要性排序：前期为泵 > 控制棒 >> DRACS，后期为控制棒 > DRACS > 泵。控制棒与DRACS对事故的影响符合设计预期，但通过主泵运行来抑制堆芯过热有着更深层的启示。泵作为能动的非安全系统，在事故前期可以充分利用反应堆热惰性，“预支”回路熔盐在中后期的吸热量，与非能动安全系统DRACS具有高度契合，后者50%的衰变余热裕度恰好可以弥补前期“预支”效应带来的副作用，确保堆芯的长期冷却状态。

由于SF2还处在预概念设计阶段，关键参数的敏感性分析可以为后续设计提供重要的优化参考。本文选择燃料、冷却剂、慢化剂与反射层的温度反应性反馈系数为分析对象，根据燃料与冷却剂最高温度评价其对事故安全的影响程度^[14]。

图 7展示了4个反应性系数上下各浮动10%后与原事故结果的关键温度差值。燃料、冷却剂、反射层与慢化剂的反应性系数的比例关系约为-12:-2:2:5，而其相应稳态影响结果分别为：1.19 ℃、-0.77 ℃、0.17 ℃、-0.47 ℃，比例关系约为10:-6:2:-4，可见燃料、反射层与慢化剂的影响幅度与其系数大小基本一致，但冷却剂凭借熔盐的自然循环增大了近三倍的影响份额。

图 7

图 7 冷却剂最高温度比较(a)上浮10%，(b)下浮10% Figure 7 Maximum coolant temperature comparison. (a) Come-up 10%, (b) Lower 10%

在控制棒引入的负反应性影响下，4个系数对事故后果的影响均不超过1.5 ℃，不会对事故后果产生较大影响。由图 7可见，燃料对负反馈的影响程度在初期完全与反馈系数成正比，但进入安全停堆阶段后，燃料温度随之下降了40 ℃（图 3），引入了正反应性，造成150 s后温差的迅速上升以平衡，这也是固有安全性对前期“预支”的一种补偿。

本文基于RELAP5安全分析软件对小型固态燃料熔盐堆TMSR-SF2的全厂断电事故进行了模拟分析，比对了不同伴生事件下堆芯重要安全参数的变化情况，并对重要反应性系数进行了敏感性分析，结果表明：

1) TMSR-SF2拥有显著的固有安全性，在全厂断电事故中控制棒可以自行落棒实现安全停堆，有效抑制了前期衰变热对堆芯的温度冲击。DRACS拥有稳定余排能力，有力保证了中后期堆芯的长期冷却。燃料与冷却剂最高温度分别为781.1 ℃与727.8 ℃，超过704 ℃的持续时间为1029 s，不会对哈氏合金产生严重损害。

2) 即使发生全厂断电ATWS事故，SF2依然可以凭借负反应性反馈实现安全停堆，但冷却剂最高升至784.6 ℃，威胁哈氏合金运行安全。如果维持主泵运行充分利用SF2的热惰性则能中和堆芯过量的衰变余热，保持冷却剂温度始终低于701.3 ℃，后期借助DRACS的余热设计裕量实现热量平衡。

3) 通过比较不同伴生事件结果，可以总结出SF2安全系统在不同时期对堆芯安全的重要性排序。前期排序为：泵 > 控制棒 >> DRACS，后期为控制棒 > DRACS > 泵。证明了泵在事故前期卓越的温度展平能力，以及作为非能动安全系统的一种补充手段的可行性与必要性。

4) SF2的热惰性与冷却剂温差可以在事故前期为堆芯提供数倍于DRACS余排能力的临时热阱，填补了DRACS的启动过程过慢带来的隐患。

5) SF2这4种温度反应性反馈系数的影响程度依次为燃料 > 冷却剂 > 慢化剂 > 反射层，由于熔盐堆一回路冷却剂的体积优势和流动优势，增强冷却剂的负反应性反馈对强化固有安全性的效果最明显。