核電站DCS 首出功能的實現

程保華,王少威,曲東良,汪富強

（1.中廣核工程有限公司，廣東深圳,518124；2.北京廣利核系統工程有限公司，北京,100094）

0 引言

首出即First Out，也稱為第一原因或第一事故。是指引起事故性跳閘的第一個報警信號。因為在發生跳閘后，系統內會出現很多的報警內容，并且很多報警是因為跳閘動作后而導致的，所以第一事故原因的檢測對事故原因的分析有很重要的意義。核電站為實現跳堆和安全動作的首出檢測，在DCS 系統內也設計了一套首出識別、記錄、分析的功能。

1 核島首出的范圍

核電站DCS 對包括跳堆等共16 種核安全相關重要安全動作指令給出了觸發原因監測功能，供操作員分析各安全動作被觸發的原因。這16 種安全動作（Safety Action）包括：

這里需要說明的是跳機（T.TRIP）的首出功能僅能判斷由于核島內原因造成的跳機，如跳堆、蒸汽發生器液位高高等信號，而由常規島事件如汽機超速、震動高等原因造成的跳機是由汽機及輔機控制系統TCS 配合非安全級NC-DCS 實現的。如上每個安全動作指令的觸發都可能是由多個原因（Trigger Cause）引起的。DCS 系統可檢測出觸發這些安全動作的首出原因，在DCS 畫面上顯示，并指示出安全動作發生后對應設備動作完成情況

2 MELTAC/HOLLiAS 方案

2.1 方案實現

CPR1000 項目DCS 的1E 和SR 功能由三菱MELTAC-N 平臺實現，非安全級NC-DCS 功能由和利時HOLLiAS-N 平臺實現。安全級RPS 功能由上層四個保護組RPC 機柜和下層A/B 兩列專設安全設施驅動柜ESFAC 構成。每個RPC 保護組通道將各自采集的信號進行閾值處理后，輸出局部跳閘“Partial Trip”信號給其他三個RPC 保護組進行RPS 邏輯處理，每個保護組都最終輸出跳堆輸出信號給停堆斷路器。而對于跳堆以外的安全動作信號（如主蒸汽隔離、主給水隔離）的產生，是由四個保護組分別采集和進行閾值處理后，分配到RPC 四個通道進行相同的邏輯計算再送給A/B 兩列的ESFAC，或直接由RPC 送給A/B 列ESFAC，通過ESFAC 四取二邏輯輸出安全動作指令。

表1 核島內16 種安全動作

在安全動作的觸發上，以S.I.安注動作為例，（如表2）共有8 種原因可導致安注。對于第一種原因，在MELTAC 平臺中，三個蒸汽發生器的共六個蒸汽流量信號由RPC 的第III 和第IV 通道采集（如圖1），經過閾值判斷模塊XU 后在第III 通道和第IV通道各產生3 個流量高信號。這6 個信號通過RPC 機柜之間的Data-Link 點對點通訊送到另兩個RPC 保護組，每個保護組內部進行如圖1（*）號所示部分相同的邏輯運算，產生每個通道的局部安注信號。四個通道產生的局部安注信號都分別送往A/B 列ESFAC 進行四取二運算，運算結果觸發安注動作。從上述安全動作觸發過程來看，每個RPC 保護組通道內產生的安注信號都是最終觸發安注指令的一個觸發原因。

表2 可能引發安注動作的8 種原因

圖1 第一種原因導致安注的邏輯

在首出判斷的實現上，在安全級網關GWP(1E)中，存在與圖1（*）部分相同的安注計算公式。網關可通過安全級系統總線Safety System Bus（圖2）從RPC 獲取所需點進行公式計算，當針對RPC 某通道的計算結果1 時，說明此原因是觸發了安注動作的原因。這個計算結果點也稱首故障點。

為了保證核電廠基于計算機的反應堆控制系統能可靠執行其保護功能，相關標準（GBT 13629/IEEE7-4.3.2）明確規定保護系統與外部系統需要滿足電氣隔離、通信隔離，功能隔離，滿足保護功能的前提下盡量簡單化，以及快速響應等要求，因此保護系統不接受外部時鐘信號，內部子系統間通信數據交換也不攜帶時間信息。CPR1000 項目安全級MELTEC 平臺內的點均不帶時間標簽。且MELTAC 平臺僅有S-VDU 觸摸屏進行SR 設備操作，無法實現首出顯示。因此安全動作首出檢測和指示功能實際上是由非安全級NC-DCS 配合安全級DCS 共同實現的。安全級網關GWP(1E)會將邏輯計算得到的首故障點送給非安全級網關GWP(NC)打時標，之后由非安全級NC-DCS 部分負責在首出畫面上顯示首出相關信息。

首故障點計算公式中所需的信號分為三類：

1) RPC 保護組機柜（Ⅰ～Ⅳ四列）產生的信號。RPC 機柜會周期性地將相關信號通過Safety System BUS 送給GWP(1E)，GWP(1E)將計算出邏輯值為1 的首故障點打上時間標簽周期性地送給GWP(NC)，然后再通過NC-DCS 部分的I/O Server 送到二層網MNET，在計算服務器Calculation Server 處理后送二層畫面顯示安全動作原因。

圖2 M/H 平臺信號傳輸路徑

2) 來自安全級RPC 機柜以外的ESFAC 等機柜的信號。一般是手動安全動作信號和失電信號（如表2 中的手動安注信號）。這些信號以硬接線點進入A/B 列ESFAC 機柜，由ESF-COM 機柜將ESF 來的數據通過Safety Bus 送給Safety System Bus，然后通過安全級網關GWP 送給NC-DCS 顯示。因這類信號是必然觸發安全動作的，所以GWP(1E)不需進行判斷計算，所有這類點都會作為首故障點送給GWP(NC)。

3) 在NC-DCS 產生的信號。如由NC-DCS I/O 模塊采集的ATWT 信號、失電信號或常規島部分信號，這類點被采集后將在NC-DCS 的計算服務器中進行首故障點邏輯計算，計算結果直接在二層首出畫面上顯示為安全動作原因。

在DCS 系統首出顯示畫面上，能夠顯示安全動作、首出原因（可以有多個）、首出時間，以及安全動作完成的情況。對于安全動作完成情況，DCS 將安全動作相關設備的動作反饋點送到NCDCS 的計算服務器，在計算服務器中綜合各相關設備的動作情況判斷相應安全動作是否完成，再將完成情況顯示在OPS 首出畫面上。對于安全級部分SLC 機柜采集的核島設備動作信號，通過SLC →Safety Bus →COM →Safety System Bus →GWP(1E) →GWP(NC) →SNET →I/O Server →Calculation Server 這條路徑傳輸，而通過NC-DCS 的FCS 現場控制站I/O 模塊采集的常規島設備動作反饋信號，通過FCS I/O →SNET →I/O Server →Calculation Server 這條路徑傳輸給計算服務器。

2.2 性能分析

Safety System Bus 采用的基于彈性分組環（RPR）協議的互逆雙環網，RPC 機柜、ESF-COM A/B 列機柜、RPCC 機柜、PAMS 柜、GWP(1E)共17 個節點串聯在此網上。網絡上各個節點在網絡中地位平等且異步運行，每個節點可以通過兩個方向的環網向下游節點傳輸數據。當某個可預計的初始事件(PIE)在RPC 發生時，這個信號將通過Safety System Bus 傳給GWP(1E)。

圖3 MELTAC 平臺首出檢測時序

如圖3 所示，TC為RPC 機柜CPU 處理周期時間（25ms），TC’為RPC 機柜網絡接口卡NIC 將RPC 數據發送到環網上所需的處理時間（CPU 和NIC 各自異步獨立處理是基于安全功能和非安全功能隔離的要求），TGWP是GWP(1E)內部處理周期時間（100ms）。Tnwmin和Tnwmax是RPC 信號通過環網發送到GWP(1E)的最小時間和最大時間，在數據量一定的情況下，這兩個時間取決于環網上某個RPC 到GWP(1E)之間最近路徑上的節點數目。我們假定一個PIE 事件在RPC 的兩個通道內同時觸發，T1 和T2 分別表示從PIE 事件發生到GWP(1E)記錄到這一事件所需的可能最小時間和最大時間。T1=TC/2+TC’+Tnwmin+TGWP/2，T2=TC+TC/2+TC’+TC’/2+Tnwmax+TGWP+TGWP/2。經過估算可知T2-T1=TC+TC’ +TGWP+(Tnwmax-Tnwmin)得到的結果約是168ms。因GWP(1E)向GWP(NC)的通訊是以200ms 為周期循環發送共22 個報文，發送周期時間200ms>168ms，因首故障點是在GWP(NC)中打上時標的，因此DCS只能區分間隔大于200ms 的兩個首故障點時間。200ms 周期內的多個首出原因(Trigger Cause)無法區分先后，都會被認為是首出原因，且顯示的觸發時間相同。

3 AVERA TXS+SIEMENS TXP 方案

3.1 方案實現

CPR1000 項目嶺澳二期核電站安全級DCS 采用AVERA TXS實現1E 部分功能，SR 和NC 功能由SIEMENS TXP 平臺實現。RPS 系統包括上層四組APUs（信號采集處理單元）和下層A/B 兩列ALUs（驅動邏輯單元）兩部分組成。

A/S 方案與M/H 方案不同的是，M/H 方案的每個RPC 通道將其產生的“Partial Trip”信號發給其他三個通道，每個通道都進行停堆邏輯運算；而A/S 方案中APUs 將采集信號進行閾值判斷后產生的“Partial Trip”信號送給ALUs，在ALUs 進行邏輯運算產生最終跳堆信號和安全動作信號。因而計算首故障點所需的信號都會由APUs 傳遞到下層的ALUs。傳輸單元TU1 從ALUs 中獲所需1E 部分信號，進行首故障點邏輯計算。所以首故障點計算公式所需的點只有兩類：從ALUs 獲取的1E 部分點，以及TXP 系統直接獲取的NC 和SR 部分點。另外，因ALUs 只分為A、B 兩列，安全動作的每個觸發原因的首故障點只有A、B 兩列各一個點，而不是A/S 方案的四個保護組共4 個點。

圖4 A/S 方案的信號傳輸路徑

而與M/H 方案類似的是，在A/S 平臺上，TXS 系統內部點無時標，且TXS 平臺也沒有KIC 畫面顯示功能，KIC 功能是通過TXP 系統的OM690 實現。因此，類似地，為了實現首出畫面顯示，TU1 計算出首故障點的布爾值后經過TXS GW 網關送出，TXP 側CM104 網關接收并為首故障點打時標，然后再經過PU 送OM690顯示首出原因、各事件順序、安全動作完成情況等信息，與M/H 方案類似。

3.2 性能分析

由于受首出信號流程上的APUs、ALUs、TU1、GW、CM104各環節的系統內部CPU 運算周期異步、不同信號傳輸路徑不同、以及網絡通訊周期時間的共同影響，必然會造成首出信號從產生到由CM104 打時標這期間的時間滯后。如圖5，APU 和ALU 的CPU 任務處理周期都是TC，APU、ALU、TU1 之間是點對點的通訊，通訊時間均為Tnw。則T1=TC/2+Tnw+TC/2+Tnw，T2=TC+TC/2+Tnw+TC+TC/2+Tnw+TC，計 算 可 得T2-T1=3TC。在TC=50ms 時，這一時間為150ms，也就是說當兩個首故障點PIE 事件發生時間大于150ms 時DCS 才能正確區分這兩個事件的正確先后順序。操作員在首出畫面上獲取的首出時間也有較大誤差。

4 ACPR1000+項目對核島首出功能的改進

上面分析可知，因安全級RPS 系統不能給內部信號打時間標簽，以至都不能以高精度分辨出首出事件和顯示首出時間。ACPR1000+項目的安全級DCS 采用廣利核自主開發的Firmsys安全級DCS 平臺，為更準確實現安全動作的首出檢測功能，ACPR1000+在的DCS 首出設計上進行了改進。

改進方案對于RPC、ESF、KDS 機柜內部邏輯計算產生的首故障信號(F.F.)將通過相應機柜的DO 模塊送給非安全級NCDCS 部分專門用于處理首出邏輯的FFC（First Fault Cabinet）機柜的SOE DI 卡件。因SOE 卡件的時間分辨率可達1ms，因而可實現高準確度的首出判斷以及SOE 功能。而對于1E 側安全動作執行反饋信號仍通過網關送給NC-DCS，以完整實現首出顯示功能。

然而，雖然SOE 卡件的時間分辨率為1ms，但FFC 機柜接收的是RPC 或ESFAC 輸出的DO 信號。在同一安全級機柜CPU 運算周期內觸發的多個信號將會幾乎同時由安全級機柜的DO 卡件輸出，而且產生于不同機柜的信號由于CPU 之間運算周期不同步也會造成在FFC 不同時接收。利用圖3 來說明，因為通過硬接線傳遞信號到FFC，故TGWP=TC’=Tnw=0，可得T2-T1=TC。因TC=25ms，故首出的時間分辨精度為25ms。雖然這一精度達不到SOE 的1ms要求，但對于目前國內外核電DCS 首出的實現而言，已經是一個較高的水平。

圖5 TXS 平臺首出檢測時序

圖6 APR1000+改進的首出方案

5 結束語

本文研究的三種核電站DCS 核島首出功能實現方案中，由于安全級部分DCS 不支持畫面顯示以及內部點打時標，因而都是將安全級內部首故障相關點通過網關送到非安全級部分DCS 實現首出功能。這就造成了在真實的安全動作原因觸發時間獲取上存在誤差，不能實現高精度SOE 記錄。而ACPR1000+項目DCS 方案通過實施技術改進，實現了較高精度首出檢測，值得國內后續核電項目借鑒。

[1]王華金,劉立新,李謝晉,許東方,周繼翔.核電站數字化反應堆保護系統研究[J].核動力工程, 2002(S1)

[2] 劉宏春,王濤濤,王華金,周繼翔,劉光明,許東方. 嶺澳二期核電站數字化反應堆保護系統[J]. 核動力工程, 2008(01)

[3] 劉繼春,王曄,汪富強.集散控制系統在嶺澳核電站中應用[J]. 電力自動化設備. 2010(06)

[4] 于帥帥. 基于RPR 的核電數字化保護系統安全通信網絡的研究 [D]. 上海交通大學. 2011

[5] 周海翔. 田灣核電廠TXP/TXS 系統的數據通信[J]. 核動力工程 ,Nuclear Power Engineering , 編輯部郵箱 ,2006 年03 期

[6] GBT 13629(2008)《核電廠安全系統中數字計算機的適用準則》

[7] IEEE 7-4.3.2(2010)《Standard Criteria for Digital Computers In Safety Systems Of Nuclear Power Generating Stations》