基于FirmSys平臺的反應堆保護系統改造應用

王 平，趙遠洋，范欣欣，孟慶軍，張 弋

（北京廣利核系統工程有限公司，北京 100094）

0 引言

研究型重水反應堆（MHWRR）是一座多用途重水研究堆，可實現中子物理實驗、放射性同位素輻照、材料輻照試驗、材料的輻照改性、中子活化分析等用途，該反應堆是遵照IAEA 頒布的安全叢書35 號《Safe Operation of Research Reactors and Critical Assemblies》 以 及80、90 年代中國關于研究堆建造的法規和標準，并汲取了參照堆HWRR 的30 年運行經驗建成。

原反應堆采用的模擬量儀表控制系統，其中保護系統由安全邏輯裝置構成，存在設備陳舊、系統響應慢、歷史信息提取難、維護困難、系統可靠性低等諸多問題。而反應堆中的保護系統是保障反應堆安全的重要系統，該反應堆亟需完成對保護系統的升級改造。

自20 世紀70 年代以來，DCS 以其高性能、高可靠性、結構合理、應用方便等優點而被廣大的工業用戶接受。然而，在實際應用中DCS 卻受到各種因素的制約，使其安全性和可靠性大大降低[1,2]。雖然DCS 廠家眾多，但基于國產平臺應用到國外安全級DCS 改造項目的業績仍屈指可數。本文采用的北京廣利核系統工程有限公司自主研發的FrimSys 平臺是中國首個擁有自主知識產權的核級DCS 產品，實現了國內自主知識產權DCS 系統的海外首次應用[3]；同時本文使用故障樹對改造后保護系統的可靠性進行了定量分析，確保了系統的可靠性，并給出了提高可靠性的建議措施。

1 改造要求

原保護系統采用的模擬儀表控制系統存在以下主要問題：

◇ 原保護系統采用的行業標準和規則已不符合當前行業最新標準、規則要求。

◇ 原保護系統設備陳舊，部件檢驗時間長，對反應堆運行要求間隔時間也較長。

◇ 原保護系統安全邏輯裝置的動作時間為200ms，系統響應慢。

◇ 原保護系統不容許在反應堆運行期間進行定期功能實驗，不便于確定可能發生的故障及多樣性喪失的診斷。

◇ 原保護系統提取歷史信息困難。

◇ 原保護系統的操作和維護復雜。

原保護系統由于以上問題，導致該系統的可靠性極低，已無法保證反應堆安全運行要求。本次升級改造旨在實現保護系統的數字化，將原有保護系統拆除，針對性地設計全數字化的保護系統，改造后的系統能夠與升級改造后的其他相關系統和設備（如核測量系統、事故后監測系統、棒控系統、監控系統、主控室等）密切配合，確保反應堆的安全；本次改造遵循現有核電相關法規和標準，升級改造后的系統其重要性能指標不低于原有系統，并滿足以下要求：

◇ 確定性：對于確定的輸入，應有確定的、唯一的處理過程，并產生確定的、唯一的輸出。

◇ 獨立性：同一安全級別的冗余設備之間的獨立，不同安全級別設備之間的獨立，同一安全級別之間以及不同安全級別之間的通信，均不能阻礙安全功能的執行。

◇ 完整性：在輸入信號異常、輸入電源異常的情況下，以及系統內部設備發生異常時，系統能夠完成其安全功能；系統應具有試驗或/和校準功能；系統具有適當的故障探測和自診斷功能。

2 系統設計和工程實施

升級改造后的保護系統仍保持原系統的12 個保護變量不變，12 個保護變量分別來自核測量系統、熱工檢測系統、重水泵電路和棒控系統電路以及試驗回路（高溫高壓試驗回路、低溫低壓試驗回路），系統設計遵循HAF102 規定的相關設計原則：

◇ 多樣性

由于設置了12 個自動緊急停堆參數，較好地加強了對共因故障的設防能力，當一個假設初始事件發生時，均可同時使兩個或兩個以上的參數達到停堆越限值使反應堆停閉。

◇ 獨立性

加強保護系統與監控系統、事故后監測系統以及其他系統的獨立性，是保證系統冗余度的重要措施。保護系統的獨立性設計主要體現在下述幾點：

1）保護系統三通道在電氣上和結構上都是獨立的，三通道之間信號通過安全級協議進行光電轉換后進行傳輸[4]。

2）對保護系統與其他系統之間在電氣上和結構上的獨立性也作了充分考慮，保護系統同棒控、核測以及監控系統間信號進行了電氣隔離，不會對保護系統產生有害的影響。

3）為防止由地線引入干擾，信號地同屏蔽地分開接地，提高了抗干擾能力。

◇ 冗余與符合

保護系統設立3 個保護通道，每個通道均為熱備冗余結構，12 個保護變量通過三取二（2/3）符合邏輯實現自動停堆。

◇ 在役檢驗

保護系統采用局部—總體符合結構，具有可試驗性，應對每個設備設置旁通自檢功能，當設備進行自檢時，不應影響保護系統的安全功能。

◇ 故障安全準則

MHWRR 保護系統故障安全技術遵循故障安全準則設計，當繼電器斷開或失去電源時給出停堆信號。

與此同時，高質量的設備是獲得系統高可靠性的基礎，基于FirmSys 平臺搭建的保護系統設備具有如下特點：

a）FirmSys 平臺保護系統設備在研制全過程中均按1E級的質保大綱實施各階段的質量見證和生產過程的質量控制。

b）根據需要合理使用了冗余CPU 技術，選用柜式結構。

c）硬件具備自診斷功能，提供本地和遠程報警指示功能。

d）硬件板卡具備熱插拔功能，可在線進行維護或者更換，不影響系統運行。

實現的保護系統結構圖如圖1 所示。

保護系統DCS 部分采用FirmSys 平臺如下硬件類型構成（設備等級1E）：

信號調理單元：將現場電阻、電流信號調理成標準4mA ～20mA 信號后送入保護系統采集單元，并對開關量輸入信號進行隔離。

信號輸入/輸出單元：信號輸入功能由AI、DI 板卡完成，信號輸出功能由AO、DO 板卡完成。AI/DI/AO/DO 板卡（簡稱IO 板卡）由硬件和軟件組成，IO 板卡通過通信單元和數據處理單元交換數據。

圖1 保護系統結構圖Fig.1 Protection system structure

數據處理單元：數據處理功能由MPU（Main Processing Unit）板卡完成，MPU 板卡包含硬件和軟件。MPU 板卡通過通信單元獲得數據，對數據進行運算，并把運算后的結果通過通信單元發送給其他單元。

通信單元：通信功能由通信單元完成，通信單元由硬件和軟件組成。通信單元是MPU 單元、信號IO 單元相互交換信息的橋梁，也是系統與外部交換信息的接口。

3 可靠性分析

本文中根據GB/T 9225 等相關標準要求，對使用FirmSys 平臺改造后的反應堆保護系統可靠性指標進行了定量分析和評估，從系統拒動率、誤動率和不可用性3 個方面來分析系統的可靠性，并給出提高穩定性的措施[5]。

通過對反應堆保護功能進行分析，反應堆保護系統觸發停堆的功能按邏輯類型主要分為兩類：2oo3 邏輯（Type1）、3oo4 邏輯（Type2），對RPS 可靠性指標計算采取故障樹分析（FTA）[6]，計算步驟如下（可靠性分析計算所需的基礎數據由設備生產商提供）：

1）針對某一類型變量，確定導致系統拒動、誤動、不可用的故障模式，建立系統拒動、誤動、不可用性模型。以Type1（2oo3）邏輯類型為例，其不可用頂層故障樹模型如圖2 所示。

2）進一步細化建立各單元的可靠性模型并代入基礎數據，得出該類型變量拒動、誤動、不可用性概率值。以輸入部分不可診拒動模型為例，模型如圖3 所示。

3）重復步驟1）～步驟2），計算所有類型變量下系統的可靠性概率。

圖2 Type1頂層故障樹模型Fig.2 Type1 Top fault tree model

圖3 Type1輸入部分不可診拒動故障樹模型Fig.3 Type1 Input part undiagnosable failed fault tree model

通過以上分析計算，該系統采用FrimSys 平臺改造后保護系統的可用性＞ 99.99%、拒動率＜10-6/次、誤動率＞0.1/年，并從構建故障樹模型的基本事件分析中可以得出提高系統可靠性的途徑，除采用可靠性高的設備元器件外，需要系統維護人員從兩方面來提高設備的平均修復時間MTTR。一方面提高檢修人員對系統的熟悉程度，經常檢查并維持設備的工作環境，并在設備故障時盡快恢復故障設備；另一方面需要定期替換主要設備，要求現場及時采購相應的備品、備件。

4 改造前后保護系統性能對比

采用FirmSys 平臺改造完成數字化改造的保護系統同原系統相比，主要有以下改進點：

◇ 改善了保護系統的獨立性，保護系統3 通道以及其它系統間均實現完全獨立。

◇ 保護變量符合邏輯由原來的1/1 或1/2 擴展為2/3，較好滿足了單一故障準則。

◇ 提高了保護系統的響應時間，由原來的200ms 提升到80ms。

◇ 系統具備故障探測和自診斷功能。

◇ 改造后系統具備可試驗性，同時也增強了故障預測能力。

◇ 保護系統數據傳輸到監控系統和事故后系統，便于獲取。

◇ FirmSys 平臺提供了維護網絡，便于維護。

◇ 采用了高可靠性的FirmSys 平臺設備，整體提高了系統可靠性。

5 結束語

采用自主的國產安全級DCS 平臺完成了對該實驗堆型保護系統的改造，改造系統完全滿足項目對保護系統確定性、獨立性、完整性要求。本次升級改造實現了保護系統的數字化，新設計的系統能夠與升級改造后的其他相關系統和設備（如核測量系統、事故后監測系統、棒控系統、監控系統、主控室等）密切配合，保障反應堆的安全。

通過故障樹對升級改造后的系統進行了定性、定量分析，其主要性能指標遠優于原有系統，并對后續項目可靠性保證提出了建議措施，DCS 設備廠家應不斷提高設備自身的可靠性，而系統的維護人員需及時地對系統和設備進行維護，并及時采購相應的備品備件數量來保證系統可靠穩定運行；該系統的成功改造為后續改造項目使用國產化安全級DCS 平臺的應用提供了示范。