基于Alstom P320平臺的汽輪機STG主/輔控制器切換邏輯優化

張建華

（中核核電運行管理有限公司 維修二處，浙江 海鹽 314300）

0 引言

方家山核電工程包括兩臺百萬千瓦機組，汽輪機采用法國Alstom公司生產的P320平臺V2+版本的控制系統。該系統采用分布式過程控制和冗余的技術理念[1]，很好地滿足了各項控制需求，具有較多的優點，例如標準模件冗余配置，根據實際汽機狀態的自動控制、自啟動和升負荷、自動速度控制、自動干擾處理等，代表了當今世界核電汽機控制的前沿水平。

該控制系統汽輪機調節相關的控制邏輯主要通過兩個STG控制器實現。這兩個STG控制器互為冗余，正常工況下機柜左側的名為“Primary”的控制器處于主用，機柜右側名為“Secondary”的控制器處于備用。當主控器出現硬件故障、網絡故障或者其他外部條件觸發控制器切換邏輯的時候，主控器會將控制權限無擾切換到輔控制器上，確保汽輪機的正常運行。

1 P320平臺

1.1 P320的結構

P320的結構如圖1所示，主要包括負責通訊的CCL控制器，用于汽機保護的STP控制器，用于信號采集的I/O控制器，用于輪機調節的STG控制器，用于閥位控制的Vickers卡、轉速采集卡，以及工程師站、操作員站和現場調節閥等[2]。圖1中，工程師站、HMI以及打印機等設備通過Office網絡連接，各個控制器間通過FIP8000網絡連接，Office網絡和FIP8000網絡之間的通訊通過S8000網絡傳輸。

圖1 P320系統結構Fig.1 P320 System structure

1.2 汽機調節系統

汽機調節系統是汽輪機控制系統的重要組成部分。它工作的基本過程為：STG控制器將來自于現場的各項運行參數通過控制邏輯完成計算，將計算后的參數送入數字電液控制系統，由數字電液控制系統調節高、中壓調節閥的開度，完成進入汽輪機蒸汽流量的調節[3]，從而完成汽輪機轉速、功率、頻率和壓力等控制。同時實現機組的超速限制、超加速限制、負荷速降限制和蒸汽流量需求限制等，使機組安全和經濟地運行于各種工況，滿足供電頻率和功率的要求[4]。

汽機調節系統結構如圖2所示。

圖2 汽機調節系統結構Fig.2 The structure of the turbine regulating system

1.3 FIP8000網絡

FIP8000網絡采用基于WorldFIP 標準的內部總線通信方式[5]，傳輸速度2.5Mbits/s，通過它實現STG控制器、STP控制器等的連接和相互間的通訊。FIP8000網絡包括A網和B網，互為冗余，確保任意一路故障時各個控制器間依舊能夠進行通訊和數據交換。

FIP8000網絡與DCS的通信通過兩臺冗余網關完成，兩者無主從之分，數據的發送和接收同時在兩個網關上進行[6]。

FIP8000網絡結構如圖3所示[7]。

圖3 FIP8000網絡結構Fig.3 FIP8000 Network structure

1.4 STG控制器及切換邏輯

STG控制器為主/輔冗余的結構。出于機組穩定性考慮，STG控制器在切換和調節過程中應確保調節的連續性和穩定性。

P320系統通過VOS125快速雙穩轉換繼電器，確保主/輔控制器的切換不會導致汽輪機監視功能和控制功能失效。

兩臺STG控制器均由兩路獨立的不間斷電源供電，一路電源的失去或重新合閘不會干擾機組的正常運行。

STG主/輔控制器切換如圖4所示。

圖4 STG主控器正常工作及主輔切換示意圖Fig.4 Schematic diagram of the normal operation of the STG main controller and the main-auxiliary switching

STG控制器切換邏輯的編寫和修改在阿爾斯通自身開發的CCAD控制軟件中進行。修改完成，編譯無誤后再將控制邏輯下裝到STG控制器內部，完成控制器的各項控制、調節功能，其中也包括控制器間的切換功能。

主/輔控制器的切換邏輯中涉及的信號及狀態見表1[8]。

表1 主/輔控制器涉及切換邏輯信號及狀態Table 1 The main/auxiliary controller involves switching logic signals and states

在設計邏輯中，會引起STG主/輔控制器切換的信號根據優先級有如下4組：

1）PRIORITY SWITCH BY CV FAULT（閥 門 控 制輸出指令故障），其觸發信號包括STG控制器模擬量輸出卡ALG392物理輸出異常，或高、中壓調閥反饋回路異常。

2）PRIORITY SWITCH BY HARD FAULT（L101C主控制器卡件故障），其觸發信號包括L101C卡I/O卡件的保險熔斷，數字量輸出卡件MDL753異常，高、中壓調閥模擬量輸出回路異常。

3）PRIORITY SWITCH BY SYNCHRD FAULT（ 時鐘故障），其觸發信號為當前主時鐘狀態異常。

4）PRIORITY SWITCH BY FIP MEDIA FAULT（FIP8000網絡內部總線故障），其觸發信號為單路或者兩路FIP8000網絡狀態異常。

主/輔控制器的切換流程如圖5所示。正常情況下，4組信號的輸出“AND”塊輸出端值均為0，送入同一個“OR”門后，輸出端為0，根據切換邏輯，控制器保持不切換。當4組信號中任意一組出現故障，使得輸出為1時，“OR”門輸出端為1，控制器根據控制邏輯完成一次主/輔控制器間的切換。

圖5 主/輔控制器切換流程Fig.5 Main/Secondary controller switching process

2 STG控制器切換邏輯存在的問題及優化

2.1 STG控制器頻繁切換原因分析

在機組運行期間，維修人員發現STG主/輔控制器間存在頻繁的切換，通過對STG切換邏輯的分析發現，在控制邏輯“1C（1L101C）”頁面 FIP8000網絡總線故障的“AND”塊（圖6第58塊）中，存在用于表征主控制器至少一路FIP8000網絡通訊故障的“1L101C_XA13”和用于表征輔控制器FIP8000網絡通訊故障的“1L101C_XA14”兩個信號。

當主控制器任意一路FIP8000網絡上某個節點出現異常后，使該控制器FIP8000網絡出現不穩定，觸發“1L101C_XA13”信號，引起主/輔控制器間的切換。根據設計，當原先主控制器的FIP8000網絡不穩定現象消失后，控制邏輯會自動將控制權限再次切回原先的主控制器。因此，當主控制器任意一路FIP8000網絡狀態頻繁出現波動時，就會出現STG主/輔控制器頻繁的切換現象。

按照要求，STG主/輔控制器均有冗余的FIP8000網絡通訊網絡來確保STG控制器和其他設備之間的通訊。當一路FIP8000網絡通訊失去時，另一路通訊仍可以進行正常的信號交換。因此，處于主控狀態的主控制器的任一路FIP8000網絡異常時，STG控制器都不需要進行主/輔間的切換，而只需要給出一個報警，通知維修人員某路FIP8000網絡信號存在缺陷進行消缺即可。只有當主控制器的兩路FIP8000網絡通訊同時失去時，才需要將控制功能切換到輔控制器上，否則就會出現上述主控制器某路FIP8000網絡信號出現不穩定導致主/輔控制器間的頻繁切換，使得汽輪機控制系統在DCS側無法實現正常控制與顯示，嚴重時發生汽輪機出現無故甩負荷、跳閘等現象，嚴重影響機組的安全穩定運行[9]，繼而對反應堆的安全造成影響。

2.2 STG控制器切換邏輯優化

2.2.1 FIP8000網絡單路故障引起的切換問題優化

根據上述分析可知，若想消除由FIP8000網絡單路故障引起的主/輔控制器間頻繁切換問題，只需將送入FIP8000網絡總線故障“AND”塊的“1L101C_XA13”和“1L101C_XA14”兩個信號刪除即可。

刪除上述這兩個信號后，“AND”塊中相應的輸入端1和輸入端2無輸入值，并且涉及到塊中其余4個變量的重新連接，會導致變量錯誤。為保證該“AND”塊輸出正確，將該塊原本連接“1L101C_XA13”和“1L101C_XA14”的輸入端1和輸入端2分別用正常工況下的常量1和0（輸入端2取非后為1）替代，等同于將兩個輸入端刪除。

修改后的切換邏輯如圖6所示[10]。

為了能及時發現FIP800網絡異常，在表征當前主STG控制器故障“CUR_CTRL_FLTS”（圖7的60塊）和表征輔STG控制器故障的“DUAL_CTRL_FLTS”（圖7的61塊）的 “RF”（單路FIP8000網絡異常）輸出端引出一個報警信號，當主/輔控制器的FIP8000網絡單路故障時觸發一個報警信號，用于提示維修人員及時干預。

同時為了避免FIP8000網絡出現短時擾動時，頻繁地觸發報警信號，在上述兩個“RF”后端分別引入“TON_W”延時開功能塊，確保任意一個STG控制器任意一路FIP8000網絡故障時能觸發報警。

修改后的切換邏輯如圖7所示。

圖7 優化后的單路FIP故障引起報警邏輯Fig.7 Alarm logic caused by optimized single-channel FIP fault

2.2.2 FIP8000兩路故障后STG控制器無法切換問題優化

在進行2.2.1節的邏輯優化，刪除“1L101C_XA13”和“1L101C_XA14”信號后，FIP8000網絡總線故障的“AND”塊（圖6第58塊）輸入端均為1，使得其輸出常置1，即使主控制器的兩路FIP8000網絡同時故障，也不能觸發STG主/輔控制器的切換，導致STG控制器正常的故障切換功能失效。因此，需進一步對STG主/輔控制器切換邏輯進行優化，使得主控制器兩路FIP8000網絡同時故障后，STG主/輔控制器可正常切換。

圖6 單路FIP800故障引起的STG控制器頻繁切換優化后邏輯Fig.6 Logic after optimization of frequent switching of STG controller caused by single-channel FIP800 fault

在主控制器“CUR_CTRL_FLTS”（控制器故障狀態）塊中，“GF”（主控制器FIP8000網絡兩路故障）的輸出信號“1L101C_CR_FIP_FLT”在FIP8000網絡正常的情況下輸出為0，在FIP8000網絡兩路故障后置1，可以利用該信號作為觸發STG主/輔控制器切換的條件。

在FIP8000網絡內部總線故障的“AND”塊中，增加一個輸入端“IN7”并將“CUR_CTRL_FLTS”塊的“GF”輸出端信號“1L101C_CR_FIP_FLT”送入“IN7”，作為判斷FIP8000網絡總線狀態的信號。當主控制器FIP8000網絡故障后置1，觸發STG主/輔控制器的切換；當FIP8000網絡任意一路或兩路恢復正常后置0，實現STG主/輔控制器的正常切換。

優化后的STG控制器切換邏輯如圖8所示。

圖8 FIP8000網絡總線故障增加觸發及復位信號后邏輯Fig.8 Logic after FIP8000 network bus fault adds trigger and reset signal

3 STG控制器切換邏輯優化后的功能測試

方家山102大修期間，完成了上述STG主/輔控制器切換邏輯的優化。通過測試，驗證了優化后STG主/輔控制器切換邏輯的可用性和控制功能的完整性。

3.1 單路FIP8000網絡故障，主/輔控制器不切換測試

在機柜中，斷開一路FIP8000通訊網絡，通過工程師站CCAD軟件在線觀察FIP8000內部總線故障的“AND”塊輸出信號依舊保持為0，在工程師站“8 ARCHI”頁面觀察到STG控制器未進行主/輔切換，并在機柜確認實際STG控制器確實保持原狀態未進行主/輔切換，查看P320系統工程師站報警日志，新增一組“FIP通訊故障”報警，滿足切換邏輯修改后的要求。

3.2 兩路FIP8000網絡故障切換測試

在機柜中斷開當前主控制器兩路FIP8000網絡信號，通過工程師站CCAD軟件在線觀察FIP8000網絡內部總線故障的“AND”塊輸出信號由0變為1，且在工程師站“8 ARCHI”頁面觀察到STG控制器完成主/輔切換，在機柜確認實際STG控制器確實已經完成主/輔切換，工作狀態正常。恢復F8000網絡信號后輸出信號恢復正常，系統工作正常。

3.3 主控制器卡件及時鐘故障切換測試

為了測試邏輯優化后STG控制器控制功能的完整性，通過拆除主控制器端接線和主時鐘信號通訊線的方式，模擬主控制器卡件故障和時鐘故障。

通過工程師站CCAD軟件在線觀察“AND”塊（圖6第56塊）輸出端信號由0變為1，并在工程師站“8 ARCHI”頁面觀察到STG控制器完成主/輔切換，同時在機柜確認實際STG控制器確實已經完成主/輔切換，工作狀態正常。分別恢復3組信號后，輸出信號恢復正常，系統工作正常。

3.4 FIP8000網絡總線故障恢復后，閥門控制輸出指令故障切換測試

閥門控制輸出指令故障的測試是確保FIP8000網絡內部總線故障的“AND”塊在STG主/輔控制器切換后能自動復位，使得“閥門控制輸出指令故障”這個重要信號出現時能正常實現STG主/輔控制器切換。

首先進行3.3的操作，后斷開主STG控制器背板卡槽的AGL392卡電源，在工程師站CCAD軟件在線觀察“閥門控制輸出指令故障”的“AND”塊輸出信號由0變為1，并確認STG控制器完成主/輔切換，恢復AGL392卡件電源后，輸出信號恢復正常，系統工作正常。

4 結論與展望

本文通過對STG控制器切換邏輯的分析研究，找出了正常運行期間STG主/輔控制器頻繁切換的原因，并通過對STG控制器切換邏輯的優化，避免了設備的過度保護導致機組狀態的不穩定。

從優化后的測試結果可知，在解決了STG主/輔控制器頻繁切換問題的同時，沒有對其他切換信號故障時的正常切換需求產生影響，確保了STG控制器其他功能完整性。

本次STG控制器切換邏輯的優化為其他同類型機組的類似問題提供了參考，具有較大的實際意義。同時在未來的工作中，隨著機組設備的不斷升級換代，將進一步研究時鐘信號、S8000以太網信號等對于STG控制器切換的影響，找出相應的優化、改進方案，避免由于大量重復的、不必要的邏輯運算降低控制器的響應速度。