核電廠優先級控制模塊的研究與設計

馮 威 羅 煒 俞 赟 葉 奇

（中國核動力研究設計院核反應堆系統設計技術重點實驗室，四川 成都 610041）

優先級控制模塊是核電廠安全級儀控平臺的一個重要組成部分，其主要功能是在對來自不同安全等級的自動或手動命令進行優先級處理后驅動專設安全設施及相關支持系統的泵、閥等設備。位于執行端的驅動裝置（如閥門，主泵電機等）需要根據系統發出的驅動信號執行相應的功能。驅動裝置的驅動信號可由多個系統給出，為了防止信號之間的沖突導致驅動裝置動作出現異常，優先級控制模塊需要對信號進行判斷，確定驅動裝置按照正確的信號執行動作。

本文針對目前核電領域主要應用的安全級儀控平臺：Triconex、TXS 的優先級控制模塊的設計與實現方案進行了研究，并探討了優先級控制模塊的國產化研發思路。

1 應用方案分析

1.1 TRICONEX

美國INVENSYS 公司的TRICONEX 平臺配置了優先級控制模塊PLM(Priority Logic Module)，它基于FPGA 技術實現優選功能。PLM 接收1E 級與非安全級設備的驅動命令，并根據優先級高低選擇輸出驅動命令，控制現場設備。該平臺在福清、方家山核電項目中已得到應用。

PLM 的硬件主體為一個FPGA 模塊，采用24V 供電，并由以下部件組成：

●FPGA 芯片。

●LED 指示燈（輸入、輸出、電源的）。

輸入：

●四對輸入信號（每對信號分為A、B 兩路輸入）。

●24V 直流電壓。

輸出：

●一對開關量輸出（每對信號分為A、B 兩路輸出）。

●一對開關量測試輸出（每對信號分為A、B 兩路輸出）。

圖1 PLM 模塊接口簡圖

圖1 為PLM 模塊的接口簡圖，它展示了PLM 模塊的輸入及輸出接口。PLM 的輸入源一共有四個（安全級自動控制命令、安全級手動控制命令、多樣化保護系統（DAS）和ATWT 系統命令、非安全級控制命令），每個輸入源都分為兩路輸入（A 組與B 組），A 組信號用于關閉（閥門）或者停止（電機），B 組信號用于打開（閥門）或者啟動（電機）。其中DAS、ATWT 系統及非安全級系統送入PLM 模塊的信號需要進行隔離，確保其不會影響安全級設備的信號。PLM 模塊共配置5 路輸出，其中OUT-A、OUT-B 為驅動輸出端口；TEST OUT-A、TEST OUT-B作為試驗反饋信號，送給安全級系統。

PLM 優先級的高低為：1A/1B>2A/2B>3A/3B>4A/4B，且在同一通道內，A 組信號的優先級大于B 組。TEST 端口則用于定期試驗時判斷輸出信號的狀態。各輸入輸出的邏輯關系見表1。

表1 PLM 優先級邏輯關系表

PLM 的輸入還包括兩個試驗使能信號，一個由就地開關控制，一個由上游安全級DCS 控制。當兩個信號均置于有效位置時則進入試驗模式。兩個信號分別為：Test Enable2、Test Enable1。當PLM 進入試驗模式后，1A/1B/2A/2B/3A/3B 信號產生的輸出命令被閉鎖，TEST 端口將試驗反饋信號送回上游系統以判斷試驗結果。4A/4B 信號則不受閉鎖的影響，可正常驅動下游設備。

1.2 TELEPERM XS

德國西門子公司的TXS 平臺由AV42 模塊執行優先級控制功能。該平臺已在田灣、嶺澳核電項目中得到應用。

如圖2 所示，AV42 模塊由兩大部分組成PLD 與processor。PLD采用硬件電路，主要完成驅動指令的優選與輸出、采集現場驅動器的反饋信息、執行定期試驗等功能。Processor 包括微處理器、PROFIBUS網絡控制器及內存等，主要負責傳輸非安全級系統控制命令、PROFIBUS 通訊控制、驅動器及優選模塊狀態反饋、自診斷等功能。

圖2 PLD與processor功能圖

AV42 模塊包括面板上的開關信號，通過硬接線連接的從安全級系統來的自動信號和手動信號，通過總線連接的非安全級系統來的自動信號和手動信號等，優先級從高到低分為以下幾類：

1）面板上的就地開關信號接口，用于開、關、診斷三種功能。其中關信號優先級最高，診斷信號優先級最低。面板上的開關信號具有最高的優先級，即使在自動控制系統失效的情況下也可以對驅動器進行就地控制。

2）安全級系統信號接口，為第二優先級。該信號又劃分為兩個優先級別，級別1 高于級別2。

3）控制室信號接口，接收來自兩個控制室的信號。

4）來自非安全級系統的信號接口，通過通訊總線連接，優先級最低。

對于每個信號源而言，其內部命令還具有優先級。

●面板開關命令：關閉＞打開＞診斷/停止；

●安全級設備命令：1# 關閉＞1# 打開＞2# 關閉＞2# 打開；

●控制室命令：關閉＞打開＞停止；

●非安全級設備：打開、關閉、停止、附加按鍵開關控制。

AV42 模塊送給驅動設備的信號為三個：CMDOFF（關閉信號）、CMDON（開信號）、CONTROL（Check command）阻塞信號，即此輸出為高時，OFF、ON 無效；為低時，OFF、ON 有效。

AV42 模塊還設置了控制室切換控制端口。根據輸入信號的狀態，優選模塊可對來自控制室的命令進行使能控制，達到控制室切換的目的。

AV42 模塊提供了以下硬件自檢能力：

●與PLD 連接的看門狗電路，可以檢測微處理器的循環操作和PLD 的基本功能。看門狗發現故障將使微處理器復位。

●低電壓監測電路。當供給模塊的電壓低于定值時，低壓監視電路將會把驅動電路輸出置為0。

●開路和短路監測，出現開路、短路、超載時，PLD 可將狀態信號反饋給微處理器。

2 國產化研發思路

優先級控制模塊作為安全級儀控平臺的重要組成部分，其性能直接影響核電廠的安全性。優先級控制模塊主要實現驅動信號優先級判斷、輸出驅動信號、采集驅動設備狀態信息等功能，同時需滿足高可靠性及響應時間要求。

通過上述國外供貨商采用的設計方案可以看出，兩大平臺都是基于FPGA 或者CPLD 技術，不采用軟件直接用“與、或”門搭建功能。FPGA 技術既提供了高效的邏輯處理能力，同時保持了“硬邏輯”的特質，使其不受軟件共模故障的影響。

優選模塊為安全級設備，但其接收的信號也包括非安全級部分，應進行不同安全級信號的隔離，以保證故障不會從低安全級系統向高安全級系統蔓延。隔離功能可考慮在優選模塊內實現，也可設置單獨的隔離機柜。

安全級優選模塊輸入信號與整個系統所需功能密切相關，一般包括就地控制命令、專設安全設施驅動系統的安全級自動控制命令、緊急控制盤（ECP）的手動控制命令、后備盤（BUP）的手動控制命令、DAS系統的非安全級自動控制命令、控制系統的非安全級自動控制信號等。

Tricon 平臺的優選模塊邏輯簡單，便于實現；而TXS 平臺則引入了更多的輸入信號，PLD 根據條件判定同類信號的優先級。TXS 平臺的優選模塊可回讀驅動設備的狀態信號，并結合信號優先級控制設備輸出，Tricon 的優選模塊只是將優選模塊執行的驅動信號反饋回上級設備，其驅動設備的狀態由其他系統進行采集。

上述兩種平臺優選模塊輸入輸出的處理方式雖然略有不同，但都能完成優先級管理和驅動現場設備的功能。優選模塊的國產化研發可以借鑒其成熟經驗，在保證基本功能的前提下進行優化設計，增加設備的可用性與擴展性。

除此之外，優選模塊還應具備故障監測能力，既要對模塊內部進行自診斷，還需對輸入輸出回路進行監測。模塊自診斷不應妨礙系統安全功能的執行。故障信息可反饋至上游系統，也能在模塊指示燈上顯示。為了配合安全級系統定期試驗，優先級控制模塊需設置閉鎖功能。當電廠運行時，部分現場驅動器受工況的限制不能真實驅動。優選模塊通過閉鎖輸出且反饋驅動信號的方式，配合系統完成定期試驗。

3 總結

優先級控制模塊是安全級儀控平臺的重要組成部分，其性能直接影響電廠運行的安全。優選模塊設計應確保系統簡單可靠，同時在不影響可靠性的情況下優化設計，為運行維護提供便利。

［1］IEEE Std 338.IEEE Standard Criteria for the Periodic Surveillance Testing of Nuclear Power Generating Station Safety Systems[S].2006.

［2］IEEE 603.IEEE Standard Criteria for Safety Systems for Nuclear Power Generating Stations [S].1998.

［3］IEEE 7-4.3.2.IEEE Standard Criteria for Digital Computers in Safety Systems of Nuclear Power Generating Stations [S].2003.