核電廠數字化儀控系統I/O卡件備件數量優化

張 磊，夏林路，周世梁，陳浠毓

核電廠數字化儀控系統I/O卡件備件數量優化

張 磊1，夏林路1，周世梁1，陳浠毓2

（1. 華北電力大學 核科學與工程學院，北京 102206；2. 中國核電工程有限公司，北京 100840）

數字化儀控系統（DCS）是核電廠的神經中樞，是一種以微處理器為基礎，采用控制功能分散顯示、操作集中、兼顧分而自治和綜合協調的設計原則的儀表控制系統，它對機組的安全、經濟運行起著至關重要的作用。I/O卡件是DCS與現場儀表交互的關鍵部件，當I/O卡件出現故障時，需要及時更換，所以I/O卡件需要一定數量的備件。如果備件過少，系統可用率達不到要求，反之會導致總費用過高。基于馬爾可夫模型，提出了一種可用率約束條件下，考慮共因失效的I/O卡件備件數量優化方法。并采用概率檢測器PRSIM實現了對馬爾可夫模型的定量分析，得出了滿足可用率的約束條件的最少備件數，達到降低核電廠DCS運行維護費用的同時，保證其安全可靠運行的優化效果。

I/O卡件；馬爾可夫模型；共因失效；備件數量；PRISM

核電廠DCS是核電廠的“神經系統”，它是以計算機、網絡通訊為基礎的分布式控制系統，它對于核電廠的安全運行至關重要[1]。在核電廠儀控系統中I/O卡件幾乎包含了所有常規卡件，如模擬量輸入（包括差分輸入、熱電偶和電阻溫度傳感器）、模擬量輸出、數字量輸入、轉速、速度傳感器的輸入和脈沖計數等[2]。整個儀控系統中，一般I/O卡件故障率相對較高，常見的失效模式有電極開路或時通時斷、點擊短路、可焊接性差、無法工作等。I/O卡件一旦失效，核電廠運行的信息無法得到正常的傳輸，會直接影響到整個核電廠安全穩定的運行。

因此為了保證核電廠的安全穩定運行，都會準備一定數量的備件。備件數會影響故障設備的修復時間和系統的可用率，同時備件配置在整個維修保障經費中占有很大的一部分，如果不能合理的配置備件的數量，將會直接影響核電廠運行的可靠性和經濟性。I/O卡件備件的數量優化目標是盡可能提高系統可用性，降低系統的運行成本和維修費用。

I/O模塊控制卡件失效時，可以系統帶電更換，因此為了保證故障及時修復，卡件備件更是至關重要的。傳統的備件計算方法大多采用公式法，沒有考慮備件維修更換、冗余卡件的共因失效等因素，計算得到的備件數量過于保守。本文應用連續時間的馬爾可夫鏈來解決核電廠儀控系統I/O卡件備件數量優化問題，考慮備件維修更換和冗余結構的共因失效帶來的影響，在保證系統可靠性的同時使保障費用最小，確定最優的備件庫存量。

1　傳統備件計算模型

控制卡件的壽命分布一般服從指數分布或威布爾分布，傳統方法所需備件的數量可按公式（1）進行計算[3]：

公式（1）中：——需要備件時能得到概率，等價于系統的可用率；——所需的備件數量；——系統的總卡件數量；——卡件失效概率；——累計工作時間，—失效卡件的數量。

通過上面的公式可以計算系統工作一定時間內，系統的可用度與備件數量的關系。這種方法的局限是沒有考慮到系統的修復率和同類卡件的共因失效。所以在備件配置的過程中，可能得到過于樂觀的結果，雖然經濟性得到了提高，但會影響系統整體運行的可靠性。因此這種方法具有一定的局限性。不能夠完全應用于高安全級別的核電廠儀控系統I/O卡件備件數量優化。

2　基于馬爾可夫模型的備件數量優化方法

2.1　連續時間馬爾可夫鏈

設隨機過程{（），≥0}，狀態空間={i，≥0}，若對任意0≤1＜2＜…＜t+1及1，2，…，i+1∈，有

則稱｛（）≥0｝為連續馬爾可夫鏈。

式（2）的意義在于，過程（或系統）在時刻所處的狀態（t）=i為已知的條件下，過程在時刻（n+1）所處狀態（t+1）=i+1的條件分布只與時刻t的狀態（t）=i有關，而與過程在時刻t之前所處的狀態無關，即所謂的“馬爾可夫性（無后效性）”[4]。

2.2　建立模型

馬爾可夫鏈是指對于任意一個隨機過程，當在某一時刻所處的狀態為已知時，此后的狀態只與該時刻的狀態有關，而與該時刻以前的狀態無關[5]。馬爾可夫模型采用狀態轉移圖建模方法，考慮系統的維修和共因失效對整個系統可靠性帶來的影響，計算系統的時變可用率。在確保系統連續運行的時間滿足要求的前提下，使備件總費用盡可能的少。

備件的備用量為，正常運行的同類卡件數量為，每個卡件的平均費用為。設卡件單一隨機失效率為N，共因失效率為C，模塊修復率為。模型如圖1所示。

圖1　備件系統馬爾可夫模型

表示狀態的圓中當前備件數量，正常運行卡件數量，為狀態編號。編號有兩種形式。第一種是整數0，1，…，2，2+1，其中偶數表示系統中所有卡件正常，奇數表示系統中有一個卡件失效；第二種為12形式，表示系統從編號為1的狀態，兩個卡件發生共因失效，轉移到12狀態，然后一起修復，進入編號為2的狀態。單圓圈的狀態表示系統中卡件均正常運行；雙圓圈的狀態表示系統中有一個卡件發生了單一隨機失效。雙斜杠圓圈的狀態表示系統中有兩個卡件發生了共因失效；灰色圓圈的狀態表示因為系統中失效的卡件數量大于備件數量，導致系統不可完全修復，系統功能失效。

通過備件數量與正常運行卡件數量的比值來定義系統所處的狀態，它們的比值按來表示，關系如公式（3）所示。

在公式3中，分子代表備件剩余數量，分母代表I/O正常運行卡件數量。分子加分母大于等于，系統不會觸發危險失效。I代表系統所處的狀態編號。1系統處于單一隨機失效狀態，-2系統處于共因失效狀態。0_4表示從0狀態到4狀態系統發生了共因失效。

在上述描述的過程中，系統狀態有系統正常、可維修的單一隨機失效、可維修的共因失效、不可維修系統失效。這里的可維修指的是系統更換備件，不考慮系統重啟后性能恢復的故障形式，只考慮需要更換備件的故障形式。當系統故障時無備件可更換時，系統處于吸收狀態，即不可維修系統失效狀態。更換備件后不影響系統的卡件非共因失效概率和共因失效概率。一塊I/O卡件失效短時間內不會導致核電廠停運，通過短時間的維修即可恢復正常運行。

系統正常：系統的正常工作的I/O卡件數目為，且備件數量大于等于零。

可維修單一隨機失效：系統正常工作的I/O卡件數目為-1，失效類型為單一隨機失效，備件數量大于零。

可維修的共因失效：系統正常工作的I/O卡件數目為-2，失效類型為共因失效備件數量大于等于2。

不可維修系統失效：系統正常工作的I/O卡件數目為卡件數目為-1或-2，備件數量為零。

2.3　建立模型共因失效因數的估計

在核電廠的儀控系統中大部分I/O模塊采用了冗余分配原則。根據IEEE379中單一故障準則的要求，對冗余的設備，不能由于其中一個設備出現故障而影響整個核電廠的運行[6]，所以要考慮同類控制卡件的共因失效對整個核電廠儀控系統運行的影響。

表1　β因數估計表

核電廠儀控系統中冗余的I/O模塊安裝同一種卡件，它們之間設置了物理隔離，在設計上是相同的，因子的估計值是0.032。

3　概率模型檢測器PRISM

PRISM是一個概率模型檢測器，一個驗證存在隨機行為的系統的形式化驗證工具。概率模型檢驗是一種基于數值分析的驗證技術。PRISM通過生成支持概率特性的系統模型來計算模型的狀態空間，然后分析需求規約，通過合適的模型檢測算法來驗證模型是否滿足規約。

PRISM支持四種概率模型：離散時間馬爾可夫鏈（DTMC）、連續時間馬爾可夫鏈（CTMC）、馬爾可夫決策過程（MDP）、概率時間自動機（PTA）。PRISM模型由模塊和變量組成，模塊的定義格式如下：

模塊的行為由衛式描述，衛式的表達方式如下：

其中，guard衛式用來描述概率行為發生的條件；采用的是連續時間馬爾可夫模型，rate用來描述概率遷移速率；update用來描述變量所產生的變化。

PRISM工具已被用于從無線通信協議到量子密碼到系統生物學的廣泛領域中的定量驗證：確定最差性能情況下藍牙缺陷或異常行為，以及用于生物信號傳導途徑的行為預測[9]。

文章使用PRISM工具，采用連續時間的馬爾可夫模型，定義I/O卡件的各個狀態，描述I/O卡件的失效與修復過程，分別計算不同備件數量下，I/O卡件的失效率。

4　數值驗證

對于核電廠儀控系統I/O模塊的控制卡件而言，一旦出現重啟后無法消除的故障，一般都要做卡件更換處理。更換時間限制針對核電廠而言，主要基于所涉及的信號在核電站運行技術規范或限制運行條件里面的要求。規定時間內不能更換備件的，需要做機組降功率或停機停堆處理。因此在核電廠儀控系統中，輸入輸出卡件需要進行備份，備份量一般在5%～10%左右，但對于具體備件數目并沒有統一的標準。某核電廠的一臺機組某種I/O卡件總數達183個之多，一個8通道隔離型電流輸入模塊單價要在3萬元左右，配置備件的數量約為9～18，所需費用高。所以備件數量的優化對于核電廠經濟可靠的運行有著至關重要的作用。

某核電廠某類型卡件的總數為60個，卡件單價4萬元，備件數量為3～6個，卡件壽命服從指數分布，故障率為一常數[10]。普通失效率=1/4 000，共因失效率C=8×10-6，單一隨機失效率N=24.2×10-5。修復實際上就是直接采用備件更換，假設人手充足更換一組卡件與更換兩組時間是一樣的，一般更換作業時間不會拖延，工作準備風險措施到實施取4 h，修復率=1/4。針對本文具體實例，針對不同卡件數量設置了4種情況，使用PRISM編寫相應馬爾可夫模型的可靠性計算程序，備件程序關鍵語句介紹圖如圖2所示，六備件系統PRSIM模型如圖3所示。

圖2　備件程序關鍵語句介紹

圖3　六備件配置下系統的PRISM模型

程序中以備件數量和正常卡件總數為研究對象，分別求出各種情況在18個月內的可用率和總費用，所得結果如表2所示。

表2　不同情況的備件需求量

考慮到當備件數量低于某個庫存時會觸發采購，假設當18個月的可用率達到0.88以上時就能滿足核電廠運行可靠性，此時選擇卡件的備份數量為5。不同備件數量下系統的失效概率和可用率如圖4、圖5所示。圖4、5表明，備件數量一定的情況下，系統的失效率會隨時間的增加而增大，系統的可用率隨時間的增加而減小。相同系統運行時間下，備件數量越充足系統失效率降低，可用率越高。所以，核電廠在采購滿足系統可用率數量的備件的基礎上，及時補充維修更換后的系統的所需備件數量，才能保證核電廠DCS安全穩定運行。

圖4　不同備件數量下系統的失效概率

圖5　不同備件數量下系統的可用率

5　結論

核電廠DCS各類卡件的備件數量是影響其可靠性和經濟性的關鍵參數之一，根據DCS任務時間內可用率的要求，確定最少備件數量需求，可在保障DCS安全性前提下，合理減少備件費用支出。針對傳統備件數量確定方法不能考慮共因失效的局限性，本文提出了一種基于馬爾可夫模型的備件數量優化方法。本文通過I/O卡件備件數量與儀控系統中配備的I/O卡件總數的比值判斷系統所處的狀態，建立連續時間狀態離散的馬爾科夫鏈。所建立的馬爾可夫模型考慮了系統的可修復性和冗余卡件的共因失效，采用PRISM對模型進行定量分析，得到了滿足換料周期內系統可用度要求的備件策略，使得核電廠更加安全、穩定、經濟的運行。

［1］ 劉朋波，周韋，張淑慧．核電廠數字化儀控系統測試綜述［J］．自動化儀表，2012，33（02）：51-54+57.

［2］ 王強．核電廠DCS控制系統I/O分配的原則和方法［J］．自動化儀表，2014，35（02）：50-52+57.

［3］ 李金國，丁紅兵．備件需求量計算模型分析［J］．電子產品可靠性與環境試，2000（03）：11-14，.

［4］ 依溥治，王健，徐人恒．基于馬爾可夫修正的負荷預測模型在電力能效監測終端中的應用［J］．電測與儀表，2015，52（009）：11-18.

［5］ 李燕斌，張久菊，肖俊明．灰色-馬爾可夫鏈統計組合模型在光伏發電功率短期預測中的應用［J］．電測與儀表，2015，52（23）：111-116.

［6］ 劉沖，陽小華，趙立宏．核電廠數字化儀表與控制系統［M］．中國原子能出版社，2016．

［7］ 曹山根，常玉國，吳剛．考慮共因失效的某發控系統可靠性分析［J］．四川兵工學報，2009，30（11）：78-80.

［8］ 威廉?戈布爾．控制系統的安全評估與可靠性［M］．中國電力出版社，2008.

［9］ Kwiatkowska M，Norman G，Parker D.PRISM 4.0：Verification of Probabilistic Real-Time Systems［C］// Computer Aided Verification-，International Conference，CAV 2011，Snowbird，Ut，Usa，July 14-20，2011. Proceedings. DBLP，2011：585-591.

［10］錢虹，趙先浩，張棟良．基于環境溫度在線監測的I/O卡件故障率的研究［J］．電測與儀表，2017，54（19）：113-116，1.

Optimization of the Quantity of I/O Card Spare Parts of the Digital I&C System in Nuclear Power Plant

ZHANG Lei1，XIA Linlu1，ZHOU Shiliang1，CHEN Xiyu2

（1. School of Nuclear Science and Engineering，North China Electric Power University，Beijing，102206，China；2. China Nuclear Power Engineering Co.LTD，Beijing，100840，China）

The digital I&C system (DCS) is the nerve center of nuclear power plant, which plays a vital role in the safe and economical operation of the unit. The I/O cards are key components for the DCS to interact with field instruments. When the I/O cards fail, they need to be replaced in time to ensure the safe operation of nuclear power plant. Therefore, a certain number of spare parts are required for the I/O cards. If the spare parts are rather few, the system availability cannot meet the requirements, otherwise the total cost will be too high. Based on the Markov model, an optimization method for the number of the I/O card spare parts under the condition of availability constraint and considering common cause failure is proposed. The probability detector PRSIM is used to analyze the Markov model quantitatively, and the minimum number of spare parts satisfying the availability constraints is obtained.

I/O cards; Markov model; Common cause failure; Quantity of spare parts; PRISM

TL48

A

0258-0918（2021）06-1189-06

2020-10-09

裝備預研重點實驗室基金項目資助（6142A07200311）

張 磊（1994—），河北唐山人，碩士，現從事核電廠數字化儀控系統可靠性方面研究

周世梁，E-mail：zhoushiliang@ncepu.edu.cn