核電DCS 改造風險評估與控制方法

姚力愷YAO Li-kai；馬蜀MA Shu；王志武WANG Zhi-wu；涂畫TU Hua；彭超PENG Chao；劉立華LIU Li-hua

（①蘇州熱工研究院設備管理中心，深圳 518000；②中廣核核電運營有限公司重大設備管理辦公室，深圳 518000；③大亞灣公司中長期改造項目部，深圳 518000）

0 引言

國內外第二代核電建設高潮已過去30-40 年，上世紀80-90 年代建成的核電站正逐漸面臨延壽考驗。上世紀建成的核電儀控系統普遍使用模擬控制技術，目前面臨備件停產、設備老化、難以增加冗余設備導致CCM 設備數量偏多、抗干擾能力弱且難以與當前無線化智能化的手持工具相兼容的諸多問題。因此國內外多個核電站都在考慮和實施將舊有的模擬量控制系統改造為新型的數字化DCS控制系統。

目前已經實施的模擬量系統改造為數字化DCS控制系統的成功經驗尚且不多，改造過程中面臨工期緊、任務重的諸多困難，還必須控制風險。如果繼續沿用通用的新建電廠DCS安裝調試風險控制方法可能無法完成在大修期間完成設備安裝調試工作且控制好風險。本文通過系統梳理突破過去風險控制方法產生的經驗反饋和成熟的風險控制方法。提出根據風險概率和后果評估風險，構建全范圍、全生命周期驗證測試系統，提前進行數字化施工等方法在縮短DCS改造實施工期的同時控制風險。

1 風險評估方法

控制改造風險的整體思路如圖1 所示。首先通過經驗反饋梳理已有的風險控制措施，然后梳理已有的DCS系統在運維過程的故障歷史，統計哪一類故障模式容易成為突破式的故障模式，即已有的風險控制措施對該類故障模式的風險控制不足。

圖1 風險評估與控制流程

DCS系統在運行過程中故障導致的預期總損失滿足式（1）。

其中Pi為第i 種故障模式發生的概率；Ai為該故障模式導致的直接后果損失，如故障導致跳機的損失；Bi為維修成本，如更換備件的物料和人工成本；Ni為具有該故障模式的設備總量。

由于Ai一般顯著大于Bi，因此通過風險控制措施顯著降低Pi或Ai即可降低總損失。

根據經驗反饋輸入的突破性故障模式，在設計、實施、運維各個階段選擇合適的風險控制方法，通過降低Pi或Ai，即可降低預期總損失。同時根據在實施過程中發現的新的突破性故障模式不斷迭代風險控制方案。

在選取風險控制方案時遵循以下原則，如圖2 所示，重點針對發生概率高且后果嚴重的故障模式，對后果嚴重但發生概率低或發生概率高但后果較輕的故障模式在成本允許的條件下適當關注其風險控制方法。對于發生概率低且后果輕的故障模式可忽略。

圖2 風險控制方案選取原則

1.1 已有風險控制方法

如圖3 所示，在設計過程中，通過對圖紙的設計驗證以確保各層級的設計滿足上一層級的需求。同時通過單體、系統集成、全系統聯調、在廠安裝測試和最終全電廠聯調的方式驗證實際設備滿足需求規格書的要求。這一套V型設計驗證流程已在新建DCS系統的設計建造調試過程中廣泛應用。

圖3 設計驗證流程圖

圖3中右側各項測試工作是對設計需求和目標的最終驗證，在確保設備具備設計功能的同時也可以發現大量非預期特性或缺陷并及時更正。DCS系統新建項目中通常單體測試、系統集成、全系統聯調包含的具體測試項目為：

①電源性能測試，如電源電壓、功率；②IO 通道性能測試，如通道精度等；③裕量測試，如CPU 負荷，內存裕量，網絡裕量；④冗余功能測試；⑤接線測試，檢查實際接線與圖紙一致性；⑥畫面檢查；⑦自診斷功能測試；⑧超量程測試；⑨外觀檢查；⑩尺寸測試；?控制和保護功能測試，主要驗證其與上游設計的邏輯圖和模擬圖功能一致性；?可維護性測試；?響應時間測試。

上述測試中的大部分內容用于測試設備實際構成、邏輯與設計要求的一致性。某項目工廠測試階段發現的缺陷類型分布如圖4 所示，其中軟硬件詳細設計缺陷占主要數量。其中大部分為比較簡單的“粗心”類錯誤，如錯誤的接線、錯誤的線標、軟件中變量名錯誤等。

圖4 某項目工廠測試階段缺陷原因分布

1.2 突破性故障模式

在完成已有測試驗證后，DCS系統將交付電廠進入商業化運營階段。在此過程中，在運營過程中，DCS系統中各類設備不可避免的發生隨機故障，但有3 類情況應極力避免：①單個設備故障導致停機或停堆的嚴重后果；②設計缺陷導致機組或設備工作在某種特定但必然會處于的狀態時會導致停機停堆或大幅度降功率；③某種共模因素導致大量設備同時故障。

在經過已有風險控制方法測試驗證后發生的上述3類情況在本文中定義為突破性故障。

對某集團近10 年來14 起DCS系統故障導致停機停堆或大幅度降功率的突破性故障案例進行分析，可總結成表1。

表1 DCS 系統故障導致的突破性故障案例

通過分析某核電集團歷年其他有一定后果的DCS設備故障情況，如表2 所示，卡件/繼電器等硬件類故障次數占多數。

表2 DCS 系統故障原因分類

如表3 所示，其中通信類設備和IO 模塊的故障次數占多數。

表3 DCS 系統故障卡件類型統計

考慮到通信設備通常有冗余且較少傳輸重要信號，對部分型號IO 設備和控制器失效后果的結果見表4 至表6。在實際工程中，單一設備故障可以導致停機停堆的IO設備占總IO 設備的總數不足10%。但考慮到單一設備故障如果導致停機停堆的損失非常嚴重，而增加冗余的成本較低。因此依然有必要進行專門的梳理，以盡量減少單一設備故障導致停機停堆或大幅度降功率的情況發生。

表4 模擬量輸入輸出卡件故障直接后果分布

表5 數字量輸入輸出卡件故障直接后果分布

表6 控制器故障直接后果分布

1.3 改造特有風險

DCS改造項目相對于新建DCS項目具有以下特點：

時間壓力更大：改造項目通常安排在長大修窗口進行，舊設備拆除和新設備安裝調試工期不超過60 天。而新建DCS項目安裝調試時間則在半年以上。

空間受限：改造活動在已有廠房進行，廠房內存在不在改造范圍內無法移動的設備，舊設備拆除若與新設備安裝同步進行則可能阻擋新設備安裝。

保留使用的舊設備存在缺陷隱患：為控制工期和成本，改造過程中會留用部分舊設備（如電纜）。舊設備在整個改造過程中可能受損或因老化存有缺陷，有可能導致改造后的故障。

2 風險控制方法

2.1 整體

如圖5 所示，為控制核電DCS改造風險，以風險評估方法為基礎，將經驗反饋數據整理和分析后在接口與接線、合同與供應鏈管理、人因工程、通信等12 個領域以全范圍全生命周期驗證測試系統、電纜端接管理系統、3D 虛擬化設備拆裝仿真系統、電纜老化檢測與評估工具作為軟硬件基礎設備，開展專項的風險評估與控制、測試流程來整體控制DCS改造風險。各個專項的風險評估與控制、測試流程貫穿整個設計、制造、測試、調試、運維過程。

圖5 風險控制方法整體結構

2.2 設計階段

對已經發現的突破性故障模式，在設計審查階段最容易降低風險的措施是適當提高冗余設計的合理性，減少單一故障導致嚴重后果的設備數量。在設計階段容易出現的問題包括：多個冗余的信號自身或其質量位信號通過單一設備傳遞或計算；供電回路中存在單一失效使冗余徹底喪失的設備；冗余的回路中部分設備故障后沒有報警。

通過分析每個設備的故障后果，即危害分析，可以發現此類問題。基于DCS設計實際情況，對所有DCS設備進行危害分析難度大、工作量大。可通過從誤動或據動會導致直接嚴重后果的下游輸出設備（如IO 卡）開始，向上游梳理其相關設備，對其相關設備逐個進行危害分析。在梳理過程中，已經設計有冗余的部分不可直接忽略，宜仔細評估冗余設計中是否存在下列情況：①冗余部分失效后無報警；②冗余設備間同步信息或狀態的設備失效可能導致冗余整體失去。同時在設計階段宜充分考慮熱設計、降額、電磁干擾和設備老化的影響，避免由于共模因素導致的設備故障率高，使冗余設備同時故障。

2.3 調試測試階段

DCS改造工作安排在大修窗口進行，此時若執行調試試驗時發現設計錯誤，重新修改設計導致的時間延誤將帶來極大的經濟損失。因此需通過構建全范圍、全生命周期驗證測試系統，使得絕大部分調試試驗可以在該系統上提前開展。通過在該系統提前執行核島控制輸入輸出檢查、閉環動態驗證和報警邏輯功能驗證、常規島/電氣控制邏輯功能驗證、基準設計瞬態等試驗，可有效節約改造工期15 天，創造大量經濟效應。同時在該系統對各項潛在風險進行充分的測試，可以避免商運后各項突破性故障。

一種典型的驗證測試系統結構如圖6 中所示。通過拓展半實物仿真技術（圖中ATE 系統），連接實體DCS（圖中LFV系統）與工藝仿真模型（圖中FSE），在工廠內實現涵蓋全廠DCS及工藝系統、覆蓋整個項目的周期的全范圍閉環驗證技術。系統通過硬接線將重要信號與真實DCS相連，通過系統采集分析后與模擬機（圖中FSE）系統相連實現工藝系統的全范圍模擬，同時通過網絡實現第三方控制系統的模擬和一些非重要信號的模擬。

圖6 某典型全范圍、全生命周期驗證測試系統結構

在全范圍驗證測試系統上，可進行下列測試：①設備故障測試：模擬典型設備故障，確保故障后不導致非預期、突破性后果且有充足的故障診斷信息以方便維修人員修復故障。②機組控制試驗：包括對正常可能出現工況的模擬，以驗證功能設計的完備性。此時應注意盡量使用現場真實數據作為系統輸入，并涵蓋機組啟停機過程中的各種預期出現的工況。③運行操作測試：由操作員進行實際操作，發現潛在的人因陷阱，驗證運行程序。④維修操作測試：由維修人員進行維修操作，確保維修過程不導致故障影響擴大至不可接受程度。通過上述測試可部分替代大修改造期間的測試，預計可節約15 天左右工期。

2.4 施工階段

由于DCS改造的施工窗口較正常新建機組短，因此應提前對DCS改造施工過程進行推演并對其中工作量大、出錯幾率高的環節進行針對性優化。某核電站的DCS改造過程中，使用3D 技術對電氣廠房和DCS機柜設備進行數字虛擬化，在3D 虛擬場景中進行設備的拆裝和運輸操作，尋找出最優的拆裝順序、運輸路徑。針對改造過程中大量的電纜拆裝和部分電纜修改敷設需求，某核電站的DCS改造項目建立了電纜信息管理系統并開發了電纜缺陷診斷裝置。使用數字化的施工過程管理方法，可以最大限度的實現施工過程的并行化，實現最優關鍵路徑排列，并有效的降低人因錯誤帶來的風險，避免電纜在施工過程中未能發現的損傷帶入到商運后的風險。

2.5 運維階段

DCS系統在運維階段面臨的主要困難和風險包括設備老化、通信系統故障、改造驗證困難等。通過全范圍驗證測試系統可在運維期間持續進行人員訓練、改造驗證測試、通信故障測試。同時通過易老化元件識別，提前制定合適的老化緩解措施，可有效的降低設備老化帶來的共因風險。針對DCS系統相對模擬系統新增加的大量數字化通信設備的老化管理，可通過在系統中預留的數據管理軟件，對數據流量、異常數據包等進行實時分析。利用網絡流量、負荷、丟包率、延時、光功率等指標監測通信設備的老化狀態。

3 結束語

在全范圍梳理核電模擬系統向DCS系統改造升級的各項風險的基礎上，重點研究在各個階段可以采取的風險控制措施。目前各項風險控制措施涉及的設備已完成設計和部分制造，正在大亞灣核電廠30 年大修DCS改造項目中測試。通過本文總結的一整套風險控制方法，可在有效縮短改造工期的同時有效降低改造風險。