核電廠數字儀控系統動態可靠性分析方法綜述

黃曉津,朱云龍,周樹橋，郭 超

(清華大學核能與新能源技術研究院,先進反應堆工程與安全教育部重點實驗室,北京 100084)

0 引言

核電廠具有結構復雜、放射性強的特點，其典型結構具有兩個回路，運行著許多關鍵設備(如堆芯、蒸汽發生器、冷卻泵等)，一旦設備發生事故，將會對公共安全、周邊環境以及核能產業發展造成巨大的負面影響[1]。對核電廠關鍵設備進行狀態監測和控制，是確保核電廠安全運行的有效方式。儀表與控制(instrument and control，I&C)系統(簡稱儀控系統)是核電廠的神經中樞，對確保核電廠的安全、穩定、經濟運行起著至關重要的作用。在早期核電廠設計中，狀態監測和控制常使用基于模擬技術的儀控系統。其缺點是不夠靈活、交互性差、功能升級困難、維護成本高、部件易老化等。因此，自20世紀末以來，核電廠逐漸使用數字化儀表與控制系統(digital I&C systems，DCS)取代模擬儀控系統。因其具有諸多技術優勢，目前新建核電廠均采用數字化儀控系統[2]。中國核電廠儀控系統的數字化進程起步較晚，但發展較為迅速。中國最早在田灣核電站和嶺澳二期核電站中使用儀控系統數字化技術[3-4]。10 MW高溫氣冷堆(high temperature gas-cooled reactor，HTR-10)全數字安全儀控系統應用高可靠性工業計算機、智能I/O模塊，成為中國首個配備全數字化安全儀控系統的反應堆[5]。隨著核電廠自動化和信息化水平的不斷提高，數字化儀控系統在其中起著越來越重要的作用。因此，如何優化和完善其功能，已成為核電廠運行與控制的重要研究方向。

數字化儀控系統是一個包括硬件、軟件、固件的復雜系統，其功能實現和邏輯運算均通過軟件編程實現。通過在標準化的可編程硬件上執行代碼，數字化儀控系統能夠實現各種控制邏輯，并不斷迭代升級算法，從而靈活地實現核電廠運行控制。數字化儀控系統的運行通過收集核電廠的各種模擬和數字信號，并在進行邏輯運算和處理之后，將控制指令發送到現場執行器，同時通過主控制室實現人機交互。典型的數字化儀控系統從下到上可以分為四個層次[6]。

①層次0：工藝系統接口層。該層由傳感器、執行器及供電和功率放大部件等現場設備組成。

②層次1：自動控制和保護層。該層由反應堆保護機柜、核島過程控制機柜、常規島過程控制機柜、專用系統控制機柜等組成。

③層次2：操作和管理信息層。該層由后備盤、緊急控制盤、操縱員站、工程師站等組成。

④層次3：廠級管理層。該層負責信息收集和傳輸，對整個核電廠進行非實時功能和信息的綜合處理。

相較于模擬儀控系統，數字化儀控系統的交互性、復雜性、非線性等特點，使得傳統的可靠性分析方法并不完全適用。模擬儀控系統相當于一個硬編碼系統，通過硬接線的方式將繼電器、電阻、電容、電感等物理元器件連接成控制電路，從而實現各種控制功能。這種傳統的硬編碼系統在設計確定其功能和結構后難以更改和升級，并且會隨著時間不斷老化，造成控制失效，甚至嚴重事故[7]。對于傳統的模擬儀控系統，核電廠常用的靜態分析方法包括失效模式與影響分析、故障樹/事件樹、馬爾科夫方法。失效模式與影響分析是一種依靠經驗的分析方法，通過列出所需分析的部件及其功能、可能的故障原因、故障影響等信息，識別系統中的潛在失效隱患。但它無法詳細描述失效機制和故障結構[8]。故障樹/事件樹分析是過去15年中廣泛用于核電廠概率安全分析的技術手段[9]。但由于事件序列需要人為設定，當系統是動態不確定時，不同的分析可能導致不同的結果。馬爾科夫方法的困難在于：當數字化儀控系統很復雜時，不能保證轉移矩陣的準確性，并且復雜系統的轉移矩陣建立也較為困難。靜態分析方法的局限性主要體現在無法較好地描述系統的動態交互特性。這也就意味著，在數字化儀控系統可靠性分析中，需要應用動態分析方法來克服靜態分析的局限性。

動態可靠性分析方法用于分析、描述系統的動態交互特性。目前，國內外學者針對動態可靠性分析方法開展了大量的研究工作。本文將根據典型動態可靠性分析方法、基于仿真以及其他動態分析方法，梳理、總結近年來國內外相關研究，為數字化儀控系統應用動態可靠性分析方法提供參考。

1 典型動態可靠性分析方法

典型動態可靠性分析方法是典型靜態分析方法的動態應用，起到改善其動態交互特性的作用。本節將說明動態失效模式與影響分析、動態故障/事件樹、動態流圖方法、馬爾科夫區間映射方法的原理及應用。

1.1 動態失效模式與影響分析

失效模式與影響分析是一種自下向上的、用于識別系統故障模式及其對系統的影響或后果的方法。通過這種方法，可以根據故障后果的嚴重程度、發生的頻率以及檢測的難易程度對故障模式進行分類[10]。傳統的失效模式與影響分析以靜態分析為主，對分析人員的經驗依賴較大。而在面對具有復雜控制邏輯和系統結構的數字化儀控系統時，需要使用動態失效模式與影響分析考慮其固件、軟件、硬件之間的交互作用，以及控制系統與被控對象之間的動態交互。

靜態失效模式與影響分析通過分析員將系統分為多個分析層次。第一級粗略地分析整個系統，在后續的每個級別上都進行更精細的劃分，以提高分析分辨率。上一級的分析可以用于執行下一級分析。分解將持續進行，直到可用信息無法支持更詳細的分析或不需要再進行更詳細的分析時停止。分析越詳細，就能了解更多系統可能發生的故障信息。但這同時也會增加分析成本。動態失效模式與影響分析的優勢在于：能夠利用仿真技術，對數字化儀控系統的功能進行仿真，并由分析員動態插入、觀察、分析不同故障帶來的影響和后果，從而降低對分析員經驗和核電廠運行數據的依賴[11]。目前，動態失效模式與影響分析已經應用于XDC800系列數字化儀控系統的實例分析研究。上海交通大學的李延凱已經研究了帶硬件的分析工具包和不帶硬件的分析工具包，允許分析員在XDC800機柜上進行故障分析。

1.2 動態故障/事件樹

動態故障樹由Dugan J B于1991年提出，并應用于計算機冗余系統的可靠性評估[12]。如今，動態故障樹已廣泛用于評估系統可靠性和核電廠安全。隨著計算機技術的發展以及性能的顯著提高，經典故障樹方法得到長足發展。特別是當動態故障樹獨立或與事件樹集成時[13]，可以提高核電廠的安全性[14]。與靜態故障樹相比，動態故障樹的優點在于增加了動態邏輯門，例如優先級與門、順序強制門、功能相關門、冷備份門、熱備份門等。這使得它能夠對系統的順序故障行為進行建模，從而體現時間依賴特性。

在文獻[15]中，動態故障樹能夠以兩種方式對基于時間的模型進行建模。第一種方法是針對組件故障的概率(表示基本事件不可用)，引入時間相關模型。第二種方法是引入內部事件矩陣。該矩陣定義打開或關閉故障樹的各個部分(代表系統的各個部分)。與Petri網或馬爾科夫鏈相比，動態故障樹的主要優點在于：對正在進行概率安全分析的人員而言，它更容易理解并且不需要補充其他更多的知識儲備。動態故障樹的應用可以評估與時間相關的風險狀況，并在概率模型中優化參數，從而最大程度地降低總體風險。目前，動態故障樹已經被應用于核電廠設備冷卻水系統動態可靠性分析[16]。

動態事件樹在概率安全評估方法中受到廣泛關注。從原則上來看，動態事件樹與傳統的事件樹相似。其不同之處在于：傳統事件樹初始事件發生之后的系統響應序列是由分析員預先定義的。在動態事件樹中，系統響應的時間和序列是由系統演化的時間依賴模型，以及分析員確定的條件分支所確定的[17]。穩壓器動態事件樹(部分)[18]如圖1所示。

圖1 穩壓器動態事件樹(部分)

隨著主壓力的增加，當到達26 s的第一個壓力設定點時，噴霧應有助于降低壓力，因此有了三個事件分支。它反映了系統的三個可能路徑：①噴霧器正常工作(閥門完全打開)；②噴霧器不正常工作(部分閥門打開)；③噴霧器不起作用(閥門卡住關閉)。假設噴霧閥門完全打開，則壓力繼續緩慢降低，直到157 s時的第二個壓力設定點。此時，蒸汽排放閥應打開以釋放壓力。在這一點上，蒸汽排放閥的操作又有三種可能的結果：①正常操作(完全打開)；②卡住關閉；③部分打開。其分別構成圖1中的場景1、場景2和場景3。每個分支的可能結果顯示在所附標簽中，并且分支概率在括號中給出。

1.3 動態流圖法

動態流圖法是一種基于狀態和離散時間的有向圖。它表示系統的邏輯和動態行為，是根據系統和軟件參數之間的因果關系和時變關系的多狀態細節建立的動態網絡。動態流圖建模的主要元素是過程變量節點、條件節點、傳遞框、過渡框、因果關系邊和條件邊。目前，動態流圖法在核電廠中的應用包括先進反應堆、人員績效和團隊影響建模[19]、運行中的壓水堆數字化給水控制系統相類似的概率安全評估建模[20]。

對于一個儲氣系統及其相關的壓力控制系統，對應的簡單數字化控制系統及其動態流圖模型如圖2所示[21]。

圖2 簡單數字化控制系統及其動態流圖模型

動態流圖法的分析執行主要包括三個步驟：①建立安全分析的數字化控制系統模型，使其包含控制軟件和被控系統；②使用步驟①中構建的模型，識別系統和過程中可能發生的故障模式；③根據動態流圖法分析的結果，通過集成測試驗證數字化儀控系統是否表現出動態流圖法所預測的行為，并對其進行校正。動態流圖法的主要優勢之一是它依賴于時間的邏輯建模能力，為故障樹和失效模式與影響分析提供了多個狀態和時間相關的等效信息。

1.4 馬爾科夫區間映射方法

馬爾科夫區間映射方法是分析數字化儀控系統可靠性的有效方法。它考慮了系統各組件之間的相互作用以及與運行過程之間的影響，是一種時間依賴的方法。它結合了傳統離散狀態馬爾科夫方法和區間映射方法，表示失效事件之間可能出現的耦合情況。這些失效事件可能來源于兩種類型的交互：一種是數字化儀控系統與受控過程之間的相互作用，另一種是數字化儀控系統不同組成部分的相互作用[22]。對于儀控系統，馬爾科夫區間映射方法應用流程如圖3所示[23]。

圖3 馬爾科夫區間映射方法應用流程圖

區間映射方法能夠描述離散系統在離散時間和狀態空間下的線性和非線性系統動態特性。動態行為由一組微分或代數方程式描述。馬爾科夫方法通過系統狀態之間的轉移概率來描述系統的隨機演化。其中，狀態轉移可以用馬爾科夫有向圖表示。

旁路給水調節閥控制器的馬爾科夫有向圖如圖4所示[22]。馬爾科夫區間映射方法的輸入分為5個部分，分別是：①系統動力學模型(仿真器)；②在正常運行和故障條件下系統的控制律和控制邏輯；③通過失效模式與影響分析得到的離散系統狀態，以及系統動態特性和控制律；④每種需求的硬件/軟件/固件狀態轉換概率或故障概率；⑤模型時間序列。

圖4 旁路給水調節閥控制器的馬爾科夫有向圖

2 基于仿真的方法

基于仿真方法進行的動態可靠性分析可以分為兩種類型，即時間離散方法和時間連續方法。時間離散方法通常使用核電廠仿真技術建立數學和物理模型，并描述系統的響應，以跟蹤系統在各個狀態分支下的動態演化結果；但是，系統僅在離散時間點分支。時間連續方法主要為連續事件樹方法。

2.1 時間離散方法

基于核電廠仿真技術的時間離散方法主要包括動態決策事件樹以及由此派生的方法，例如動態邏輯分析方法[24]、事故動態模擬器[25]、動態事件樹分析方法[26]。動態決策事件樹是事件樹的擴展。事件樹是水平構建的樹狀結構，以啟動事件建模為根，從根出發到端節點的每條路徑代表一個序列或場景，并產生相應的結果。動態決策事件樹擴展了概率風險評估的觀點，創新引入決策節點概念。在決策節點中，能夠采取行動以有效避免或減輕事件后果；同時，它根據一組分支規則進行增長，因此是動態的。樹結構、分支概率、結果值和決策也都會被更新，它們能夠反映出物理網絡中的變化[27]。

動態決策事件樹主要由預測器、事件選擇器、漏洞評估、操作空間生成器、操作選擇器、樹存儲和樹更新構成。動態決策事件樹的動態特性體現在三個方面：①系統的樹對于不同系統配置而言是不同的，并會隨著時間進行更新；②事件發生時的系統狀態由微分方程和代數方程描述，使用時域仿真構造樹；③樹結構的增長和更新過程根據算力大小持續進行。

2.2 時間連續方法

連續事件樹方法是最早提出的時間連續方法[28-29]。它能夠將過程、硬件、軟件、固件、人為交互導致的故障之間的可能依賴性通過一個積分方程統一表示。

(1)

(2)

(3)

(4)

上述公式所得的較為復雜的積分方程，可以通過蒙特卡洛方法進行求解。

3 其他動態分析方法

除上述方法外，研究人員還提出了一些其他動態分析方法，例如GO-FLOW[30]、擴展事件序列圖(event sequence diagram,ESD)[31]、Petri網[32]等。

3.1 GO-FLOW方法

GO-FLOW方法采用一組標準化的運算符來描述GO-FLOW過程中物理設備的邏輯操作、交互和組合，以此評估系統的可靠性/可用性。通過將輸入數據提供給操作員，由操作員給出組件操作的特定概率。為了對給定系統進行建模，操作員需要選擇輸入輸出的相互作用，以生成GO-FLOW圖表。該圖表表示組件/子系統/系統的工程功能。GO-FLOW方法適用于具有復雜系統操作序列或系統狀態隨時間變化的系統。因此，GO-FLOW可以處理定期任務問題或與時間相關的不可用性分析。它具備以下特點。①GO-FLOW圖表對應于系統的物理分布，易于構建和驗證。；②GO-FLOW圖表的修改和更新較易完成；③GO-FLOW包含所有可能的系統運行狀態。

在文獻[33]中，采用GO-FLOW對AP1000自動降壓系統進行可靠性分析。AP1000自動降壓系統由四階段減壓閥構成。四階段自動降壓系統的示意圖模型如圖5所示。其中，每一級自動降壓系統是互鎖的，由第一級先啟動，直到前一階段被激活才能啟動下一級。自動降壓系統的1～3級分為兩組，每組都有一個連接至穩壓器頂端的公共入口和一個通向冷卻水儲存箱的噴頭公共排放管。由于有兩個冗余的并行路徑，因此在啟動自動降壓系統時不會發生單一故障。

以在結冰條件下飛行的飛機為例，該動態情況下構建的事件序列圖如圖6所示[31]。

圖6 結冰條件下飛行的飛機事件序列圖

通過定義的14種不同類型的GO-FLOW運算符，AP1000自動減壓系統的GO-FLOW圖表能實現如下功能：①對各階段執行的任務問題進行分析；②老化和維護的影響；③識別最小割集，模型參數學習；④通過參數模型分析共因故障；⑤不確定性分析；⑥敏感度分析。

3.2 擴展事件序列圖

事件序列圖能夠幫助操作員在事故演變過程中監測事件進程。在核工業領域中,該方法也被用作事件樹構建的定性輔助工具來識別可能的事故場景。擴展的事件序列圖框架可以促進動態方案的建模和動態方法的利用，有助于識別和構建按時間順序排列的事件序列，并能夠以有限的方式處理過程變量的影響。其與流程圖相似，較為容易被理解。擴展的事件序列圖由六元組{E，C，G，P，CB，DR}構成，表示事件、條件、門、過程參數集、約束/邊界、依賴規則。

事件序列圖框架提供了一種在概率風險建模分析中的獲取大多數復雜動態現象的簡單方法。尤其是對于擴展事件序列圖的框架，能夠捕獲更多動態現象，例如時間條件、物理條件、競爭事件、同步及并發獨立過程、互斥過程、循環場景等。因此，事件序列圖框架促進了動態方法的實際使用。這使得它們在工業應用中更為普遍適用。

3.3 Petri網

Petri網由Carl Adam Petri于20世紀60年代提出。該模型是基于系統各部分異步和并發操作，各部分之間的關系可以用圖形或網絡表示[34]。Petri網由兩個部件組成，庫所P和變遷T。定義庫所與變遷之間的關系是由輸入函數I和輸出函數O來實現。這四個部分構成了Petri網的結構，C=(P,T,I,O)。但上述表示并不直觀，因此用空心圓表示庫所、長條表示變遷、有向弧表示輸入輸出關系、托肯表示信息或資源，以構成Petri網。Petri網組成元素如圖7所示。它是一種圖形與數學相結合的建模工具，能夠描述系統的事件、條件以及二者的關系。在系統中，某些條件的成立會導致某些事件的發生。這些事件的發生又會更改系統的狀態，從而導致某些以前的條件停止。因此，Petri網是動態的。

圖7 Petri網組成元素

目前，清華大學的曹梟虓已經將Petri網應用于反應堆保護系統(reactor protection system,RPS)動態可靠性的建模與分析。反應堆保護系統Petri網模型如圖8所示。

圖8 反應堆保護系統Petri網模型示意圖

反應堆保護系統Petri網模型的優勢體現在三個方面：①能夠描述系統狀態的轉移過程，評估檢測和維修等活動的系統可靠性影響；②適用于各種類型的分布；③能夠準確描述定期試驗是在確定周期開展的、確定的檢測活動[35]。

4 結論

通過核電廠可靠性分析可以發現設計中的薄弱環節，確保核電廠的安全運行。目前，由于數字化儀控系統在核電廠中的廣泛應用，其動態可靠性已成為核電廠可靠性研究的關鍵領域。本文首先介紹了核電廠儀控系統從模擬到數字的發展過程，并比較了兩者之間的異同。根據數字化儀控系統和模擬儀控系統的動態特性之間的差異，現在通常使用動態分析方法代替靜態分析方法進行可靠性分析。

本文總結的動態可靠性分析方法包括典型動態可靠性分析方法、基于仿真的方法、其他動態分析方法。典型動態可靠性分析方法包含對靜態分析方法的動態改進。其中：動態失效模式與影響分析能夠降低對分析員經驗的依賴；動態故障/事件樹能夠顯示出對時間的依賴性，動態流圖法能夠表示系統的邏輯和動態行為；馬爾科夫區間映射方法可以表示出儀控系統與受控對象以及內部各組件之間的耦合情況。基于仿真的方法分為時間離散和時間連續兩種。其中：動態決策事件樹可以按分支規則進行增長；連續事件樹使用蒙特卡羅方法求解積分方程。其他動態分析方法(包括GO-FLOW)可以描述物理設備的邏輯操作、交互和組合，擴展事件序列圖能幫助操作員監測事件全進程，Petri網可以對系統狀態轉移進行建模計算分析。

這些方法構成了當前動態可靠性分析方法的主要技術框架。本文所綜述的技術能夠為核電廠數字化儀控系統動態可靠性分析的進一步研究提供理論基礎和參考。