BR112013015407B1

BR112013015407B1 - Sistema de reator nuclear

Info

Publication number: BR112013015407B1
Application number: BR112013015407-1A
Authority: BR
Inventors: Bruce M. Cook
Original assignee: Westinghouse Electric Company Llc
Priority date: 2010-12-20
Filing date: 2011-10-27
Publication date: 2021-11-03
Also published as: EP2656351B1; BR112013015407A2; ZA201304433B; CN103460298A; CA2821170C; CN103460298B; CA2821170A1; US8559584B2; JP2014510900A; JP5795082B2; ZA201401441B; EP2656351A1; US20120155597A1; WO2012141738A1; EP2656351A4

Abstract

sistema de reator nuclear um dispositivo de bloqueio para evirar a atuação de um sistema de despressurização automática em um sistema de reator nuclear pressurizado devido aos sinais espúrios que resultam de uma falha de software. o sinal de bloqueio é removido quando o nível de refrigerante dentro dos tanques de composição núcleo cai abaixo de um nível predeterminado.

Description

FUDAMENTOS DA INVENÇÃO 1. Campo da invenção

Esta invenção se refere em geral a reatores nucleares de água pressurizada e, em particular, a sistemas para injetar refrigerante adicional no circuito de refrigeração de reator no evento de um acidente postulado. A invenção é aplicável a sistemas de reator que possuem funcionalidades de segurança passiva com despressurização automática do circuito de refrigeração de reator para facilitar a injeção de água de refrigeração adicional.

2. Técnica Relacionada

Um reator nuclear, tal como um reator de água pressurizada, circula refrigerante a alta pressão através de um circuito de refrigeração que atravessa um vaso de pressão de reator que contém combustível nuclear para aquecer o refrigerante e um gerador de vapor operável para extrair energia do refrigerante para trabalho útil. Um sistema de remoção de calor residual é tipicamente provido para remover calor de decaimento uma partir do vaso de pressão durante o desligamento. No evento de uma perda de refrigerante, são providos meios para adicionar refrigerante adicional. Uma perda de refrigerante pode envolver apenas uma pequena quantidade, enquanto que refrigerante adicional pode ser injetado uma partir de um suprimento de água de composição de alta pressão relativamente pequeno, sem despressurizar o circuito de refrigeração de reator. Se uma perda maior de refrigerante ocorre, é necessário adicionar refrigerante uma partir de um suprimento de baixa pressão que contém uma grande quantidade de água. Como é difícil utilizar bombas para superar a pressão substancial do circuito de refrigeração de reator, por exemplo, 2.250 psi (15,5 MPa) ou 150 bar (15 MPa), o circuito de refrigeração de reator é despressurizado no evento de uma perda maior de refrigerante de forma que água de refrigeração pode ser adicionada uma partir de um tanque de armazenamento de água de reabastecimento na contenção na pressão ambiente dentro do invólucro de contenção de sistema de reator nuclear.

O circuito primário de um sistema de reator nuclear AP 1000, oferecido por Westinghouse Electric Company LLC, do qual a presente invenção é uma parte, utiliza um sistema de redução de pressão em estágios para despressurizar o circuito de refrigeração primário, o qual é ilustrado nas Figuras 1 e 2. Uma série de válvulas 72 acoplam a saída de reator 56 (também conhecido como a "perna quente" do circuito de refrigeração primário) para o interior do invólucro de contenção 54. Quando começa inicialmente a pressurização, o circuito de refrigeração 46 e a estrutura de contenção 54 são acoplados através da válvula de despressurização 72 através de um ou mais pequenos condutos 76 ao longo de um caminho de fluxo com contrapressão não não-substancial. Enquanto a pressão no circuito de refrigeração cai, condutos adicionais são abertos através das válvulas de despressurização adicionais 72 em estágios, cada estágio abrindo um caminho de fluxo maior e/ou mais direto entre o circuito de refrigeração 46 e o invólucro de contenção 54.

Os estágios de despressurização inicial acoplam um tanque pressurizador 80 o qual é conectado por condutos para a perna quente de circuito de refrigeração 56, para aeradores 74 em um tanque de fornecimento de água de reabastecimento na contenção 50. Os aeradores 74 compreendem condutos que levam a pequenos orifícios de pulverização submersos no tanque, provendo assim contrapressão e permitindo que água condense a partir de vapor emitido pelos aeradores para o tanque 50. Os estágios de despressurização sucessivos possuem diâmetros internos de conduto progressivamente maiores. Um estágio final possui um grande conduto 84 que acopla a pema quente diretamente no invólucro de contenção 54, por exemplo, em um compartimento de ciclo de refrigeração principal 40 através do qual a pema quente 56 do circuito de reator 46 passa. Este arranjo reduz a pressão no circuito de refrigeração expeditamente, substancialmente a pressão atmosférica, sem carregamento hidráulico súbito dos respectivos condutos de reator. Quando a pressão é suficientemente baixa, água é adicionada ao circuito de refrigeração por fluxo de gravidade a partir do tanque de fornecimento de água de reabastecimento na contenção 50.

A despressurização automática no sistema de reator AP 1000 é uma proteção passiva que garante que o núcleo de reator é resfriado mesmo no caso de um acidente de perda maior de refrigerante tal como uma grande quebra no circuito de refrigeração de reator. Na medida em que o tanque de armazenamento de água de reabastecimento na contenção drena por gravidade, nenhuma bomba é necessária.

A drenagem da água no fundo da construção de contenção onde o vaso de reator está localizado desenvolve uma cabeça de pressão de fluido de água na contenção suficiente para forçar água no circuito de refrigeração despressurizado sem confiar em elementos ativos tais como bombas. Uma vez que o circuito de refrigeração está na pressão atmosférica e a contenção é inundada, a água continua a ser forçada no vaso de reator, onde a ebulição da água resfria o combustível nuclear. Agua na forma de vapor que escapa do circuito de refrigeração de reator é condensado nas paredes interiores do invólucro de contenção, e drenada de volta para ser injetada novamente no circuito de refrigeração de reator.

O arranjo anterior foi mostrado para ser eficaz no cenário de uma perda severa de acidente de refrigeração. No entanto, existe um potencial que se o sistema de despressurização automática é ativado em circunstâncias menos terríveis, a contenção pode ser inundada desnecessariamente. A despressurização seguida por inundação da contenção de reator necessita de desligamento do reator e um esforço de limpeza significativo. Esta preocupação foi parcialmente endereçada na Patente dos EUA 5.268.943, designada ao Depositante desta invenção.

Foi postulado que uma atuação espúria do sistema de despressurização automática AP 1000 sob condições normais pode levar a um acidente que é mais severa do que foi analisada para a planta. De maneira apropriada, uma melhora adicional na despressurização automática é desejada para guarda contra tal ocorrência.

Portanto, é um objetivo desta invenção prover um dispositivo que bloqueia a atuação das válvulas do sistema de despressurização automática sob condições de planta normais.

E um objetivo adicional desta invenção prover tal dispositivo que irá manter um sinal de bloqueio nas entradas do sistema de despressurização quando os tanques de composição núcleo estão cheios, para reduzir a frequência de evento de iniciação da atuação de sistema de despressurização automática espúria. Em cenários de acidente verdadeiros, os tanques de composição núcleo são drenados nos estágios iniciais da mitigação. Portanto, o baixo nível em qualquer um destes tanques irão prover uma indicação de que o sinal de bloqueio precisa ser removido para permitir que o sistema de segurança atue as válvulas do sistema de despressurização automática como projetado.

Adicionalmente, é um objetivo desta invenção prover tal sistema que é substancialmente à prova de falha para garantir que ele não impede a atuação do sistema de despressurização automática quando ele é necessário.

SUMÁRIO DA INVENÇÃO

Para alcançar os objetivos anteriores, esta invenção provê um sistema de reator nuclear que possui um circuito de refrigeração pressurizado incluindo um vaso de pressão, trocador de calor, tanque de composição núcleo e tubulação de conexão, com a tubulação de conexão incluindo uma tubulação de ciclo de refrigeração principal que conecta o trocador de calor ao vaso de pressão em uma configuração de ciclo fechado e uma conexão de água de composição que conecta o tanque de composição núcleo ao vaso de pressão. O sistema de reator nuclear é alojado dentro de um invólucro de contenção que também possui um reservatório de água na contenção que é mantido ventilado para uma atmosfera do invólucro de contenção. O sistema de reator nuclear inclui adicionalmente um sistema de despressurização para despressurizar automaticamente o circuito de refrigeração pressurizado no evento de um acidente com base em projeto e que conecta o reservatório de água ao vaso de pressão. Um dispositivo de bloqueio está conectado ao sistema de despressurização para evitar que o sistema de despressurização ative quando a refrigeração dentro do tanque de composição núcleo está acima de um nível pré-selecionado. Preferivelmente, o dispositivo de bloqueio falha em uma condição à prova de falhas em que a falha de substancialmente qualquer componente dentro do dispositivo de bloqueio irá evitar que o dispositivo de bloqueio evite que o sistema de despressurização ative. Desejavelmente, o nível pré-selecionado é um nível no qual o tanque de composição núcleo é considerado substancialmente cheio.

Em uma modalidade, o tanque de composição núcleo inclui mais do que um tanque de água conectado ao vaso de pressão e em que o dispositivo de bloqueio evita que o sistema de despressurização ative quando refrigerante em cada um dos tanques de água está acima do nível pré- selecionado. Preferivelmente, o dispositivo de bloqueio não evita que o sistema de despressurização ative quando a refrigeração dentro de qualquer um dos tanques de água está abaixo do nível pré-selecionado.

BREVE DESCRIÇÃO DOS DESENHOS

Um entendimento adicional da invenção pode ser conseguido a partir da seguinte descrição das modalidades preferidas quando lidas em conjunto com os desenhos anexos nos quais:

A Figura 1 é uma vista isométrica dos componentes de um sistema de refrigeração de núcleo passivo o qual pode se beneficiar a partir desta invenção;

A Figura 2 é um esboço de sistema esquemático do sistema de refrigeração de núcleo passivo da Figura 1;

A Figura 3 é um diagrama esquemático mais detalhado do sistema de remoção de calor residual mostrado na Figura 2;

A Figura 4 é um diagrama de bloco esquemático do dispositivo de bloqueio de sistema de despressurização automática desta invenção;e

A Figura 5 é um diagrama de circuito esquemático do dispositivo de bloqueio desta invenção.

DESCRIÇÃO DA MODALIDADE PREFERIDA

A partir da Figura 2, pode ser percebido que existem duas fontes de refrigerante para compensar a perda do refrigerante no sistema de reator nuclear AP 1000 22. Uma entrada 32 do tanque de composição núcleo de alta pressão 33 está acoplada pelas válvulas 35 à entrada de refrigeração do reator ou "perna fria" 36. O tanque de composição núcleo de alta pressão 33 também está acoplado por válvulas motorizadas 38 e válvulas de retenção 42 para uma entrada de injeção do vaso de reator 44. O tanque de composição núcleo de alta pressão 33 é operável para fornecer refrigerante adicional ao circuito de refrigeração de reator 46, na pressão operacional do reator, para compensar as perdas relativamente pequenas. No entanto, o tanque de composição núcleo de alta pressão 33 contém apenas um fornecimento limitado de refrigerante, apesar de, como pode ser percebido a partir da Figura 1, existirem dois tanques de composição núcleo no sistema.

Uma quantidade muito maior de água de refrigeração está disponível a partir do tanque de armazenamento de água de reabastecimento na contenção 50, a pressão atmosférica devido à ventilação 52, que abre a partir do tanque 50 no interior da construção de contenção 54. Quando o sistema de reator 22 está operando, a pressão operacional do circuito de refrigeração está na ordem de 2.250 psi (150 bar - 15 MPa). Portanto, de maneira a adicionar refrigerante ao vaso de reator 60 e o circuito de refrigeração 46 acoplado a ele, o sistema deve ser pressurizado, isto é, trazido para a pressão atmosférica ou quase atmosférica na contenção. O sistema de despressurização automática despressuriza o circuito de refrigeração 46 em estágios, para limitar o carregamento hidráulico e térmico nos tubos de refrigeração principais 36, 56 e o vaso de reator, devido à despressurização, pela ventilação na contenção 54.

O sistema de reator nuclear 22 no exemplo mostrado nas Figuras 1 e 2, é despressurizado através da ventilação do circuito de refrigeração 46 na contenção 54 em quatro estágios da pressão decrescente, o último estágio distinguido por acoplamento direto do circuito de refrigeração 46 para o interior do ambiente da contenção 54. No último estágio, refrigerante a partir do tanque de armazenamento de água de reabastecimento 50 pode ser alimentado por gravidade através da válvula motorizada 62 e da válvula de retenção 64 na entrada de injeção de vaso de reator 44. Adicionalmente, no último estágio, a construção de contenção 54 pode ser inundada com água a partir do tanque de armazenamento de água de reabastecimento 50. Agua na contenção 54 drena assim por gravidade no circuito de refrigeração 46 e é fervida pelo combustível nuclear. Desta forma vapor gerado é ventilado na contenção 54, onde o vapor condensa nas paredes de contenção relativamente mais frias como explicado no pedido copendente com No. de série, preenchido em (NPP2009-014). A água condensada é drenada de volta no fundo da contenção 54, e é reciclada; o sistema descrito assim que provê um meio de refrigeração passivo independente das bombas e outros componentes de circulação ativamente energizados.

Durante a despressurização em estágios representada pela esquemática mostrada na Figura 2, três estágios iniciais são alcançados sucessivamente através da abertura das válvulas de despressurização de estágio inicial 72 acopladas através dos aeradores 74 entre o circuito de refrigeração 46 e o invólucro de contenção 54. As respectivas válvulas 72 em cada perna de despressurização 76 são abertas em pressões sucessivamente inferiores e preferivelmente são acopladas entre o pressurizador de sistema de refrigeração 80 e os aeradores 74 submersos no tanque de fornecimento de água de reabastecimento 50 em pernas paralelas ao longo dos condutos 76. Os condutos abertos sucessivamente 76 são progressivamente maiores para os sucessivos estágios, ventilando assim o circuito de refrigeração 46 mais e mais completamente para a contenção 54. O estágio final de despressurização, alcançado pelos meios de válvula de abertura 82, utiliza os condutos mais largos 84 e acopla diretamente o circuito de refrigeração 46 ao invólucro de contenção 54 (ao invés de através dos aeradores 74 no tanque de fornecimento de água de reabastecimento 50), por exemplo, se abrindo em um compartimento de ciclo 40 na contenção 54, que contém o conduto de saída de reator 56 o qual leva a um gerador de vapor 30 mostrado na Figura 1.

O circuito de refrigeração 46 do reator que possui tal sistema de proteção passiva, incluindo um sistema de despressurização em estágios, é em geral acoplado a um sistema de remoção de calor residual 90, enquanto que água de composição pode ser fornecida ao circuito de refrigeração 46 antes da despressurização alcançar o estágio final. O sistema de remoção de calor residual 90 normalmente é ativado apenas durante o desligamento, para remover o calor de decaimento normal a partir do núcleo de reator. Enquanto que o sistema de remoção de calor residual é ativado manualmente, ele não é intencionado como um aparelho de grau de segurança para resfriar no evento de um acidente. No entanto, através do arranjo de um acoplamento entre o sistema de remoção de calor residual 90 e o circuito de refrigeração de reator 46, é possível utilizar as bombas de remoção de calor residual para mover refrigerante a partir do fornecimento de água de reabastecimento 50 para o circuito de refrigeração 46 antes da despressurização alcançar o último estágio ou para resfriar a água no fornecimento de água de reabastecimento 50.

Com referência a Figura 2, um reator nuclear que possui um vaso de reator 60 disposto em um invólucro de contenção 54, possui um circuito de refrigeração normalmente pressurizado 46 incluindo o vaso de reator 60. Um tanque de armazenamento de água de reabastecimento 50 a pressão atmosférica é acoplado a um sistema de adição de refrigerante 92 operável para despressurizar o circuito de refrigeração 46 para adicionar refrigerante a partir do tanque de armazenamento de água de reabastecimento 50 para o circuito de refrigeração 46 em pressão reduzida. Um ciclo de remoção de calor residual 94 que possui pelo menos uma bomba 96 e pelo menos um trocador de calor 98, com o ciclo de remoção de calor residual 94 tendo uma entrada 102 e uma saída 104, é acoplado ao circuito de refrigeração 46 por válvulas operáveis manualmente 106, 108 mostradas nas Figuras 2 e 3. Válvulas de retenção adequadas 109 são providas em série na saída 104 do ciclo de remoção de calor residual 94.

Um sistema proposto para o sistema de remoção de calor residual é mostrado na Figura 3 e inclui duas pernas de remoção de calor residual 94 tendo respectivas bombas 96 e trocadores de calor 98. Quando as bombas de remoção de calor residual 96 são acopladas pelas válvulas 106, 108 entre o fornecimento de água de reabastecimento 50 e o circuito de refrigeração 46, isto é, durante a despressurização do circuito de refrigeração antes de alcançar o estágio final de despressurização, as bombas 96 injetam água a partir do fornecimento de água de reabastecimento 50 na linha de injeção de vaso direta 112 de forma que a injeção pode ocorrer quando a pressurização do circuito de refrigeração de reator cai até abaixo da cabeça de corte das bombas 96.

A válvula de isolamento de entrada 110, e as válvulas de isolamento de parada - retenção de saída 111 separam as duas pernas de remoção de calor residuais acopladas paralelamente 94. A bomba 96 pode ser protegida de problemas de sobrepressão incluindo caminhos de desvio 113, tendo orifícios restritos 114 para aliviar a pressão no evento de das bombas serem ativadas quando a válvula de saída 108 é fechada ou quando as bombas 96 não podem exceder a cabeça de pressão da linha que leva a entrada de injeção do reator 44.

Com referência a Figura 2, os estágios de despressurização podem ser disparados com base no nível de refrigerante no tanque de composição de refrigerante 33. Por exemplo, o nível de refrigerante pode ser determinado usando sensores 122 dispostos em diferentes níveis no tanque 33, acoplados ao sistema de controle de reator (não mostrado) para abrir as válvulas de depressão em estágios 92 alcançando um nível de refrigeração correspondente.

As bombas 96 descarregam no circuito de refrigeração 46 em um ponto a jusante do tanque de composição de refrigerante 33. Portanto, a operação das bombas 96 podem efetivamente desligar o fluxo a partir do tanque de composição de refrigerante 33. A perda de cabeça de pressão de fluido HF devido à fricção entre a porta de injeção de vaso direto 132 e a conexão 134 da linha de descarga do sistema de remoção de calor residual 104 é ajustada, através do ajuste apropriado das dimensões do orifício 133, para ser igual à diferença da cabeça de elevação (HELEV) a partir da conexão 134 para o nível de água 136 no tanque de composição núcleo 33. Portanto, se a perda cabeça HF do ponto 132 para o ponto 134 corresponde à cabeça de pressão de fluido devido a uma elevação da refrigeração no tanque de composição núcleo 33 acima da elevação de refrigeração na qual a válvula de despressurização de estágio final 84 abre, então as válvulas de despressurização de estágio final 82 não abrirão durante a injeção de refrigerante a partir do fornecimento de água residual 50 através das bombas de remoção de calor residual 96. A ativação do sistema de remoção de calor residual 90 durante a despressurização assim evita que o sistema de despressurização automática avance até o estágio no qual a contenção é inundada por meio do conduto 84.

Na medida em que o circuito de refrigeração 46 é pressurizado durante a operação do reator, os estágios de despressurização envolvem uma perda de refrigerante a partir do circuito de refrigeração de reator 46 em taxas variáveis. A ventilação de corrente e água remove refrigerante do circuito 46 e move o refrigerante para o tanque de fornecimento de água de reabastecimento 50 através dos aeradores 74, ou para a estrutura de contenção 54 diretamente através do conduto de estágio final 84. De maneira apropriada, o nível de refrigerante no tanque de composição núcleo 33 cai durante a operação do sistema de despressurização. O nível de queda do fornecimento de composição dispara o próximo estágio de despressurização, que prossegue através de cada um dos estágios que seguem a iniciação da despressurização automática. O sistema de remoção de calor residual 90 preclude a inundação desnecessária da contenção 54, por exemplo, quando o sistema de despressurização automática é ativado inadvertidamente, ou quando a perda de refrigerante que dispara o estágio inicial de despressurização não é de natureza crítica.

Se uma perda crítica de acidente de refrigeração ocorre, o sistema de remoção de calor residual 90 ainda pode ser ativado manualmente, se efeitos adversos. Caso os operadores ativem ou não as bombas de remoção de calor residual 96, se o nível no tanque de composição núcleo 33 cai para o nível no qual a despressurização de estágio final é disparada (por exemplo, a 25% do volume do tanque de composição núcleo), o circuito de refrigeração 46 é ventilado para a contenção 54, e refrigerante escoa por gravidade a partir do fornecimento de água de reabastecimento 50 para o circuito de refrigeração 46 e/ou para o fundo da contenção 54, efetuando refrigeração passiva.

O arranjo de válvula preferido como mostrado na Figura 3 inclui pelo menos uma válvula de entrada 142 acoplada a uma entrada 102 do sistema de remoção de calor residual 90, que acopla seletivamente o sistema de remoção de calor residual para um do circuito de refrigeração 46 e o tanque de armazenamento de água de reabastecimento 50 e pelo menos uma válvula de saída 144 acoplada a uma saída 104 do sistema de remoção de calor residual 90, que acopla seletivamente o sistema de remoção de calor residual 90 para qualquer um do circuito de refrigeração 46 ou do tanque de armazenamento de água de reabastecimento 50. Isto provê a capacidade adicional de utilizar o sistema de remoção de calor residual 90 para resfriar o tanque de armazenamento de água de reabastecimento 50. Para este propósito, tanto a entrada 102 quanto a saída 104 do sistema de remoção de calor residual 90 são acopladas ao tanque de fornecimento de água de reabastecimento 50, em um ciclo de refrigeração afastado do circuito de refrigeração de reator 46. O resfriamento do fornecimento de água de reabastecimento 50 é útil no evento de um trocador de calor suplementar 152 ser arranjado no tanque de fornecimento de água de reabastecimento 50, ou se o fornecimento de água de reabastecimento 50 se tomou aquecido através da operação do sistema de despressurização para ventilar vapor e água quente para o fornecimento de água de reabastecimento.

A discussão anterior em relação às Figuras 2 e 3 inclui apenas um único tanque de composição núcleo e uma única linha de injeção de vaso de reator direta. No evento de o sistema de refrigeração passiva emprega mais do que um tanque de composição de alta pressão e/ou porta de injeção de vaso de reator direta, como mostrado na Figura 1, então é necessário acoplar uma ou mais pernas do sistema de remoção de calor residual para cada um dos tanque de alta pressão e/ou portas de injeção diretas, substancialmente como mostrado na Figura 2. Por exemplo, na Figura 3, duas portas de injeção de vaso de reator diretas 44 são mostradas acopladas ao sistema de remoção de calor residual.

A partir do anterior, deve ser percebido que a ativação do sistema de despressurização automática é um evento de reator principal que, enquanto necessário lidar com segurança com um acidente postulado, pode ser extremamente custoso se definido inadvertidamente. Uma preocupação tem sido aumentada sobre o potencial para a atuação espúria do sistema de despressurização automática devido a CCF (Falha de Causa Comum, isto é, múltiplas falhas devido a uma única causa ou evento) do software de sistema de segurança. O dispositivo desta invenção bloqueia a atuação espúria das válvulas do sistema de despressurização automática. O dispositivo desta invenção é projetado para ser altamente confiável e a prova de falhas de forma que o impacto na segurança da planta devido à probabilidade aumentada de falha na demanda do sistema de despressurização automática ser minimizada. O que evita uma atuação espúria do sistema de despressurização automática sob condições de operação de planta normais irá evitar a preocupação de que tal evento improvável possa levar a um acidente que é mais severo do que foi analisado para a planta. O dispositivo desta invenção bloqueia a atuação da válvula de sistema de despressurização automática sob condições de planta normais, quando os tanques de composição núcleo estão cheios, para reduzir a frequência de evento de iniciação da atuação de sistema de despressurização automática espúria. Em cenários de acidente verdadeiros, os tanques de composição núcleo são drenados nos estágios iniciais da mitigação. O baixo nível em qualquer um destes tanques é usado por esta invenção para remover o sinal de bloqueio e permitir que o sistema de segurança atue as válvulas do sistema de despressurização automática como projetado.

A aplicação do dispositivo de bloqueio de sistema de despressurização automática desta invenção é mostrada na Figura 4. Um dispositivo de bloqueio está localizado em cada uma das divisões do sistema de segurança (com quatro divisões providas para redundância) para bloquear a atuação das válvulas do sistema de despressurização automática naquela divisão. O dispositivo aceita duas entradas de voltagem que representam as medições de nível nos tanques de composição núcleo (CMTlLvl e CMT2Lvl). Estas voltagens são derivadas caindo um sinal de ciclo de corrente 202 d 4 a 20 mA, o qual é dividido com as entradas análogas do computador de sistema de segurança, em um resistor 200 de precisão de 50 ohm. Este resistor é externo ao dispositivo, localizados nos blocos terminais, de forma que o dispositivo pode ser removido sem interromper o ciclo de corrente 202.

O dispositivo desta invenção provê quatro saídas de fototransistor (MOSFETs) 204 que são conectadas à entrada de fechar de porta Z apropriada 206 do Módulo de interface de componente ("CIM" - descrito na Patente dos EUA 6.842.669) que prioriza comandos que vão para as válvulas do sistema de despressurização automática. A porta Z possui uma maior prioridade do que o comando de sistema de segurança normal, de forma que o comando de uma válvula para FECHAR através da porta Z irá bloquear qualquer comando de ABRIR do sistema de segurança. Os fototransistores 204 proveem isolamento galvânico entre o dispositivo de bloqueio 210 e os CIMs, que podem estar localizados em diferentes cabines. Os fototransistores são descritos e mostrados como MOSFETs, apesar de que deve ser percebido que outras alternativas tais como fototransistores bipolares também podem ser usadas.

O requisito chave do dispositivo de bloqueio 210 é que para o grau prático máximo ele seja "à prova de falhas." Isto significa que as falhas de componente devem fazer com que os fototransistores de saída 204 DESLIGUEM, removendo assim o bloco das válvulas do sistema de despressurização automática. Ainda, um comando manual 208 é provido que permite que o operador remova o bloco de forma que o operador possa operar manualmente as válvulas do sistema de despressurização automática para mitigar um acidente ou para realizar testes de vigilância das válvulas.

Uma modalidade preferida do circuito do dispositivo de bloqueio desta invenção é mostrada na Figura 5. O circuito opera como um oscilador que corre junto com a voltagem de ambas as entradas 212 e 214 está acima de um valor limite. Os portais UI e U2 são conectados de forma cruzada para formar um flip-flop R - S. A saída de um destes portais será alta enquanto que a outra será baixa. Partindo de uma hipótese inicial de que U1 é baixa e U2 é alta, fototransistores Ql, Q4 e Q6 estarão DESLIGADOS enquanto os fototransistores Q2, Q3 e Q5 estarão LIGADOS. Q2 estando LIGADO irá encurtar o capacitor de resposta C2 que mantém a saída do amplificador A2 em zero. Já que a saída de A2 é menor do que a voltagem do diodo zener Dl, a saída do comparador A4 estará no valor máximo. Ql está DESLIGADO o que permite que Al integre a saída 212. Estes circuito amplificador operacional é uma fiinção de atraso com uma constante de tempo de RlxCl e um ganho de R1/R3. Os outros resistores deste circuito R2 e R4 são de valores iguais a R3 e Rl, respectivamente, para prover uma impedância equilibrada para a saída.

Quando a voltagem de saída de Al aumenta até um valor maior do que a voltagem do diodo zener Dl, a saída do comparador A3 irá para zero tomando assim a saída do portal U1 alta. Este sinal alto combinado com uma saída alta de A4 faz com que a saída do portal U2 seja baixa. A saída do portal U2 está conectada como uma entrada para U1 a qual mantém a saída de UI alta. Com os estados dos dois portais reversos agora, os fototransistores Ql, Q4 e Q6 estarão LIGADOS enquanto Q2, Q3 e Q5 estarão DESLIGADOS. Ql estando LIGADO irá encurtar o capacitor de resposta Cl fazendo com que a saída do amplificador de Al retome para zero. Q2 agora está DESLIGADO o que permite que o amplificador A2 integre sua voltagem de entrada 214. A polaridade em tomo do enrolamento primário do transformador TI é revertida. Este processo alterna entre as duas entradas, provendo uma forma de onda de corrente alternada no transformador primário, fazendo assim com que a conversão de energia ocorra por segundo do transformador Tl. Também deve ser percebido que os transistores QI a Q6 não precisam estar fotoacoplados, mas podem altemativamente ser dispositivos conectados de base direta.

No evento que tanto a entrada é menor do que o limite definido para a voltagem do diodo zener Dl quanto o ganho R1/R3 (R5/R7), o comparador associado não irá comutar, a oscilação para assim como a conversão de energia através do transformador Tl. A frequência de oscilação nas condições completas de tanque de composição núcleo normais é determinada pela constante de tempo RI Cl (R5xC2). O limite de comutação é fixado ao invés de ser ajustável para reduzir a chance de deriva ou a necessidade por um procedimento de calibração. O ponto de ajuste para remover o bloco não precisa ser preciso desde que ele esteja bem longe do sinal de tanque de composição núcleo completo e um ponto de atuação onde o sistema de segurança irá desejar de maneira legitima abrir as válvulas do sistema de despressurização automática.

Os resistores RIO e Rll limitam as correntes de emissor através de duas cadeias de fototransistores Ql, Q4, Q6 e Q2, Q3, Q5. Através ad conexão destes LEDs emissores em série, uma energia de acionamento de saída a partir dos portais lógicos UI e U2 é minimizada.

Durante a comutação de polaridade do transformador primário, haverá um breve período de um encurtamento direto da fonte de energia para terra, por exemplo, através de Q3 e Q6 quando eles estão simultaneamente LIGADOS. A corrente através deste encurtamento é limitada por RI2 para evitar danos aos transistores. A energia para esta corrente curta irá ser fornecida temporariamente a partir da fonte de energia através do capacitor C5.

Os resistores RI3 e RI4, e o capacitor C3 proveem um filtro passa baixa em tomo do enrolamento de transformador primário para tomar a forma de onda de entrada mais senoidal para melhorar a conversão de energia.

Os diodos D2, D3, D4 e D5 formam um retificador de onda completo no circuito de transformador secundário para converter a corrente alternada de volta para uma voltagem de corrente direta. O requisito de energia através do transformador não é alto. Ele precisa apenas acionar os LEDs emissores dos fototransistores de saída 204. RI 6 e C4 a partir de um filtro de ondulação para remover o componente de corrente alternada restante da saída de transformador que segue a retificação de onda completa. O requisito de resposta de tempo do dispositivo de bloqueio não é particularmente rápido, então este filtro pode ter uma constante de tempo relativamente grande.

Outra alternativa é obter a resposta da voltagem do transformador TI secundário, através de um resistor dimensionado de maneira apropriada e após a retificação e filtração (isto é a voltagem no capacitor C4), para a junção de soma dos comparadores A3 e A4. Esta resposta irá fazer com que uma pequena deriva ocorra no limite de comutação do comparador quando a oscilação para, adicionando desta forma histerese ao ponto de ação de nível pré-selecionado do dispositivo de bloqueio. Esta histerese evita "vibração" que pode ocorrer se a entrada de processo (nível CMT) oscila próximo do valor limite.

A corrente nos LEDs emissores da cadeia de fototransistor de saída 204, isto é, Q7 até Q10 está limitada por RI 5. Em adição, um diodo zener D6 está incluído no circuito emissor de forma que a voltagem de saída do transformador deve exceder um valor predeterminado para tomar o transistor de saída LIGADO. O valor do diodo zener é selecionado de forma que sob condições de operação normais, com ambas as entradas 212 e 214 acima do limite e voltagem completa sendo enviada através do transformador, as saídas estarão LIGADAS. No entanto, no evento em que um falha dos comutadores do transistor de transformador primário faz com que a voltagem primária caia até metade do valor normal, a voltagem secundária irá cair abaixo da voltagem do diodo zener e as saídas irão DESLIGAR.

O LED D7 provê uma indicação local do estado de bloqueador. Este pode ser usado em uma verificação de operabilidade manual. Cada uma das entradas é provida com ligações de injeção de teste de desconexão 216. Uma verificação rápida pode ser realizada simplesmente através da abertura de uma ligação e observando que as saídas irão DESLIGAR. Um teste mais prolongado pode injetar uma entrada de voltagem nos terminais para determinar o limite no qual a oscilação para.

Energia é provida ao dispositivo de bloqueio a partir de fornecimentos 218 de corrente direta dupla de 24 volts através de diodos equipados de quadro eletrônico D8 e D9. Esta fonte de energia é fundida, Fl, de forma que uma falha no dispositivo, tal como um curto dos transistores primários de transformador, irá queimar o fusível para evitar a propagação para outros dispositivos de cabine. Esta fonte de energia é comutada por um contato externo normalmente fechado. Esta comutação de energia implementa a necessidade de comando manual. A comutação pode na verdade ser uma conexão em série de comutadores no ambiente de controle primário (x2) e na estação de transferência de controle remoto (x2), prover tolerância de falha única e múltiplos pontos de controle para o comando de operador do bloco. Um nível de voltagem a partir da fonte 218 de voltagem dupla 24 não é crítico. Altemativamente, fontes de corrente direta de 48 volts podem ser usadas para melhorar as características de comutação da coluna em série dos comutadores de comando manual. Em adição ao comando manual, outros sinais de intertravamento podem estar incluídos na conexão em série dos comutadores. Por exemplo, o contato de uma transmissão de voltagem inferior conectada à fonte de energia de corrente alternada do sistema de segurança pode ser usado para remover o bloco quando a energia do sistema está sendo provida a partir das baterias de reserva que seguem uma perda de fontes de energia fora do local.

Um regulador de voltagem de corrente direta de 15 volts 220 provê o Vcc para os portais de dispositivo e os amplificadores. A indicação de energia local é provida pelo LED D8 com sua corrente sendo limitada por RI 7.

Proteção contra sobretensão é provida nas duas entradas de sensor e na comutação de comando manual por MOVs RV1-RV9. A proteção contra sobretensão não é necessária nas saídas já que estas estarão conectadas aos CIMs na mesma cabine ou em uma cabine próxima.

Como mencionado anteriormente, alta confiabilidade é um requisito chave do dispositivo de bloqueio de sistema de despressurização automática pois possui o potencial de derrotar a atuação válida das válvulas do sistema de despressurização automática. Estes meios usados para alcançar esta alta confiabilidade é o princípio de projeto "à prova de falhas". Sob este princípio, a maioria das falhas de componente deve fazer tanto com que o bloco seja removido, quanto que não evite a remoção do bloco sob a condição onde uma das duas entradas é menor do que o valor limite.

A Tabela 1 é uma FMECA ("Análise de Modo de Falha, Efeitos, e Crítica") da esquemática mostrada na Figura 5. Para cada componente no circuito, os modos de falha possíveis são identificados, e os efeitos (consequências) dos modos de falha são declarados. Os efeitos são designados para uma das quatro categorias definidas como seguem:• Falha - Sl; o efeito de falha remove o bloco ADS por desenergização dos transistores de saída;• Segurança de falha - S2; o efeito de falha não evita a desenergização dos transistores de saída por uma das entradas estando abaixo do limite;• Segurança de falha - S3; o efeito de falha evita o desligamento de saída por uma entrada mas não evita a outra entrada de ser efetiva; e• Falha perigosa - D; um ou mais dos transistores de saída não desligarão quando a entrada abaixo do valor limite.

Em adição a categorização dos efeitos de falha, a "capacidade de detecção" da falha é identificada com um D ou U (para Detectável ou Não detectável, respectivamente). Este dispositivo não precisa de uma capacidade de diagnóstico contínua. Ao invés disso, uma verificação simples pode ser feita abrindo manualmente cada uma das entradas por vez e verificando que o sinal de despressurização automática bloqueia os sinais nas portas Z CIM são removidas. As portas Z CIM são monitoradas pelo sistema de computador de planta. Se qualquer um dos blocos são removidos sob condições de operação normais sem a verificação ser feita, isto também pode indicar uma falha de dispositivo de bloqueio. A verificação também pode incluir um teste do comando manual através da operação da comutação no ambiente de controle. Quaisquer falhas não revistas por esta verificação simples são identificadas como Não detectável. Tais falhas podem ser reveladas por um teste de bancada compreensivo do dispositivo que mede formas de onda e falhas de componente específicas feitas durante o desligamento da planta.

Taxas de falha para cada componente são incluídas na Tabela 1 com base nos modelos de taxa de falha de componente encontrados na ferramenta análise e informação de confiabilidade (RIAC) 217Plus. Estas são expressas nas unidades Falhas no Tempo (FIT) que são falhas por 109 horas de tempo de calendário. A relativa propensão dos vários modos de falha é mostrada na coluna Alfa, e é tomada a partir da publicação RIAC, CRTA-F ECA. O produto das colunas FIT e Alfa produz a taxa de falha do modo de falha específico.

A Tabela 2 é um sumário dos modos à prova de falhas do dispositivo. 87,7 porcento de todo o resultado de falhas em uma das três condições de segurança identificadas. Os modos de falha perigosos são: 1) curto ou baixa resistência de desligamento de um dos FETs de saída; 2) curto do filtro de linha no comutador de comando manual; e 3) alteração na voltagem de zener da referência limite Dl. Os dois primeiros destes podem ser detectados através da verificação simples descrita anteriormente. Se esta verificação é realizada por trimestre, então a probabilidade de falha perigosa na demanda do dispositivo de bloqueio é extremamente baixa quando acoplada com a baixa frequência de atuação espúria devido à falha de software de sistema de segurança, e deve ser eficiente para colocar este cenário de acidente fora da consideração de base de projeto.Tabela 1. FMECA de Dispositivo de Bloqueio de ADS

Tabela 2. Sumário dos Modos à prova de falhas

Enquanto modalidades específicas da invenção foram descritas em detalhe, será percebido pelos peritos na técnica que várias modificações e alternativas a estes detalhes podem ser desenvolvidas em vista dos ensinamentos globais da divulgação. De maneira apropriada, as modalidades particulares divulgadas devem ser ilustrativas apenas e não limitantes como o escopo da invenção a qual deve ser dada em todo o sentido das reivindicações anexas e qualquer e todos os equivalentes da mesma.

Claims

1. Sistema de reator nuclear (22) compreendendo_um circuito de refrigeração pressurizado (46) incluindo um vaso de pressão (60), trocador de calor (30), tanque de composição núcleo (33) e tubulação de conexão (36, 56), a tubulação de conexão incluindo um ciclo de tubulação de refrigeração principal que conecta o trocador de calor ao vaso de pressão em uma configuração de ciclo fechado e uma conexão de água de composição que conecta o tanque de composição núcleo ao vaso de pressão, o sistema de reator nuclear estando alojado dentro de um invólucro de contenção (54) e compreendendo adicionalmente;um reservatório de água na contenção (50) que é mantido ventilado (52) para uma atmosfera do invólucro de contenção (54);um sistema de despressurização (76) para despressurizar automaticamente o circuito de refrigeração pressurizado (46) no evento de um acidente com base em projeto e que conecta o reservatório de água (50) ao vaso de pressão (60); eum dispositivo de bloqueio (210) está conectado ao sistema de despressurização (76) para evitar que o sistema de despressurização ative quando a refrigeração dentro do tanque de composição núcleo (33) está acima de um nível pré-selecionado;caracterizado pelo fato de que o dispositivo de bloqueio (210) falha em uma condição à prova de falhas em que uma falha de qualquer componente dentro do dispositivo de bloqueio impedirá o dispositivo de bloqueio de evitar que o sistema de despressurização (76) seja ativado.

2. Sistema de reator nuclear (22) de acordo com a reivindicação 1, caracterizado pelo fato de que o nível pré-selecionado é um nível no qual o tanque de composição núcleo (33) é considerado cheio.

3. Sistema de reator nuclear (22) de acordo com a reivindicação 1, caracterizado pelo fato de que o tanque de composição núcleo (33) compreende pelo menos dois tanques de água conectados ao vaso de pressão (60) e em que o dispositivo de bloqueio (210) evita que o sistema de despressurização (76) se ative quando a refrigeração dentro de cada um dos tanques de água está acima de o nível pré-selecionado.

4. Sistema de reator nuclear (22) de acordo com a reivindicação 3, caracterizado pelo fato de que o dispositivo de bloqueio (210) não evita que o sistema de despressurização (76) se ative quando a refrigeração dentro de qualquer um dos tanques de água (33) está abaixo do nível pré-selecionado.

5. Sistema de reator nuclear (22) de acordo com a reivindicação 3, caracterizado pelo fato de que o dispositivo de bloqueio (210) não evita que o sistema de despressurização (76) se ative quando desativado por um comutador de comando manual remoto (208) ou outra condição de intertravamento.

6. Sistema de reator nuclear (22) de acordo com a reivindicação 1, caracterizado pelo fato de que o dispositivo de bloqueio (210) é conectado a uma entrada de comando prioritária (206) de um módulo de interface de componente (CIM) que controla uma válvula (72) do sistema de despressurização (76).