一起主泵變頻控制器故障導致的反應堆停堆事故分析

王豐軍，張盧翼

(三門核電有限公司，浙江 臺州 317112)

0 引 言

某核電廠機組主泵電機的電源為額定電壓6.9 kV，額定頻率60 Hz，每臺主泵電機均配置1臺主泵變頻器，用以將輸入10.5 kV、50 Hz的廠用電轉換為輸出6.9 kV、60 Hz的主泵電機用電，10.5 kV 廠用中壓母線設置1臺非1E級中壓斷路器，作為變頻器的運行電源，每臺主泵配置2臺串聯的1E級中壓斷路器，執行安全相關功能。

2020年5月3日，1號機組主泵1B失電停運，反應堆冷卻劑流量低，觸發停堆信號，反應堆自動停堆，汽輪機自動停機。因此，對故障原因進行分析，查找各環節可能出現的問題，以防后患。

1 現場故障檢查過程

事故前機組運行狀態穩定，系統無異常現象。

1.1 變頻器EV41就地柜信息檢查

根據變頻器EV41就地柜人機界面故障首出信息初步判斷：主泵1B失電原因為變頻器EV41上游10.5 kV斷路器斷開，主泵1B失電惰轉。

1.2 變頻器EV41PLS工程師站信息檢查

電站控制系統(plant control system，PLS)側的事件序列如下：

1)主泵1B變頻器上游斷路器ECS-ES-EV41(52-1)分閘，變頻器EV41輸入輸出的電流、電壓、功率以及主泵轉速開始同步下降；

2)變頻器EV41停運；

3)熱段流量下降至90%，并觸發反應堆停堆；

4)PLS觸發非指令監視報警，并發出ECS-ES-EV41(52-1)分閘指令。

由事件序列可知，PLS在發出斷路器ECS-ES-EV41(52-1)分閘指令前，已收到ECS-ES-EV41(52-1)的分閘狀態反饋，因此可排除PLS跳斷路器ECS-ES-EV41(52-1)的可能。

1.3 變頻器EV41中壓斷路器信息檢查

現場檢查主泵1B變頻器斷路器1-ECS-EV-41(52)保護裝置，保護裝置正常運行，指示燈亮起，報警燈未點亮。檢查主泵1B變頻器斷路器(1-ECS-EV-41(52))保護裝置事件日志，顯示斷路器跳閘造成相關信號變位，無保護動作信息。

根據上述檢查結果，綜合信息判斷如下：

1)確認主泵1B變頻器斷路器首發跳閘；

2)檢查主泵1B變頻器故障日志，發現控制器A在無其他故障的前提下取消了合閘允許信號“OUTGOING : Permissive to Close ICB / M1”，使跳閘繼電器動作，跳開上游中壓斷路器，控制器A發出過損耗、配置文件讀取錯誤等多個對輸入至控制器A的信號進行了錯誤處理、判斷、響應的故障信息，初步判斷主泵變頻器控制器A故障。

2 故障原因分析

根據上述檢查可知，主泵1B變頻器EV41控制器A故障和主泵1B變頻器上游中壓斷路器跳閘是造成主泵1B失電停運的原因。

2.1 對主泵1B變頻器上游中壓斷路器跳閘原因分析

檢查主泵1B變頻器上游中壓斷路器(1-ECS-EV- 41(52))跳閘回路，可以確認造成主泵1B變頻器上游中壓斷路器跳閘的可能原因包括：斷路器本體故障或保護動作導致斷路器跳閘[1]、PLS傳遞跳閘指令至斷路器控制回路、多樣化驅動系統跳閘繼電器動作、主泵變頻器傳遞跳閘指令至斷路器控制回路。針對上述可能原因進行逐項排查。

1)對斷路器手動跳閘開關進行檢查，其輔助接點正常；對斷路器進行外觀檢查和分合閘試驗，確認斷路器功能正常；對跳閘回路紅燈進行檢查無異常。對跳閘回路進行絕緣檢查，無異常。說明斷路器本體無故障，沒有出現偷跳情況[2]。

2)核查主泵1B變頻器斷路器繼電保護裝置無保護動作信息。

3)對PLS跳閘回路進行檢查，發現該接點處于閉合狀態，跳閘信號一直持續，解開接線后進行絕緣檢查正常；根據對PLS趨勢的分析可確認，PLS跳閘回路接點處于閉合狀態是斷路器非預期跳閘后PLS產生非指令監視報警的正常響應。

4)對DAS跳閘回路進行檢查，發現該接點處于打開狀態，解開接線后進行絕緣檢查無異常，可確認斷路器跳閘非DAS觸發。

5)對主泵變頻器跳閘回路進行檢查，發現該接點處于閉合狀態，跳閘信號一直持續，解開接線后進行絕緣檢查無異常。

通過上述排查、分析，同時對各跳閘回路接線進行檢查，所有接線都緊固可靠，無異常情況，主泵1B變頻器上游斷路器跳閘，繼電器處于動作狀態。由此可確認主泵1B變頻器向上游中壓斷路器發出跳閘信號、觸發變頻器上游中壓斷路器跳閘。

2.2 對主泵1B變頻器觸發上游中壓斷路器跳閘原因分析

現場分析主泵1B變頻器事件日志得到如下信息：主泵1B變頻器控制器A在無其他故障的前提下取消了合閘信號：“OUTGOING : Permissive to Close ICB / M1”，該信號的取消意味著主泵1B變頻器跳閘線圈TIMV-A與TIMV-B已經失電。

主泵1B變頻器內部跳閘線圈TIMV-A與TIMV-B在變頻器正常運行期間處于得電狀態，電源分別來自RACK-LV-A、RACK-LV-B上SLOT5模塊DO通道CHO，其串入上游中壓斷路器的輔助觸點始終保持為開點。當主泵變頻器控制器取消合閘允許信號“Permissive to Close ICB / M1”時，TIMV-A與TIMV-B線圈由得電狀態進入失電狀態，其串入上游中壓斷路器的對應輔助觸點由開點變為閉點，觸發斷路器跳閘線圈得電，斷路器跳閘。

主泵1B變頻器數據傳輸回路圖如圖1所示，主泵1B變頻器低電壓信號傳輸模塊LVA與LVB與可編程邏輯控制器(programmable logic controller，PLC)、控制器共處兩個通信環網中，PLC只執行控制器傳輸至LV的數據監測；因此，當主控制器發出跳閘命令時，將通過兩路通信環網傳輸至LVA與LVB，并觸發DO通道CHO失電。

圖1 主泵1B變頻器數據傳輸回路

通過對主泵變頻器本體的檢查可以確認：主泵1B變頻器跳閘回路接線良好，變頻器無跳閘(E-STOP)信號觸發，RACK-LV-A與RACK-LV-B上SLOT5模塊狀態監測無異常，由于事件發生前后主泵1B一直處于控制器A的控制狀態，事件過程中無控制器切換，可排除跳閘回路硬件故障導致主泵1B變頻器斷路器非預期跳閘的情況。

2.3 對主泵1B變頻器控制器A觸發上游中壓斷路器跳閘原因分析

主泵變頻器正常運行時由預先設定的主控制器(控制器A)控制，當變頻器內檢測到主控制器直流電源丟失、輸出瞬時過電流等故障時，會觸發控制器切換[3]。但當變頻器檢測到輸出接地、過損耗、輸入保護等故障時，變頻器則不會進行控制器切換，直接觸發上游非1E級中壓斷路器跳閘，確保設備可靠停電。因此當主泵1B變頻器控制器A出現錯誤的保護判斷觸發跳閘指令時，不會出現控制器切換。

控制器A在取消合閘允許指令后，報出多個報警、故障以及跳閘事件序列，通過對主泵1B變頻器輸入、輸出電氣量的趨勢分析，確認電機熱過載、過損耗、電機過電壓等故障均未真實發生，初步懷疑控制器A對自身監測的各項參數進行了錯誤的處理、判斷及響應或者狀態監測信號的傳輸受到了干擾或中斷[4]。

為進一步確定控制器A是否存在故障，利用預充電過程中設備對控制器逐個自檢的原理，對主泵1B變頻器進行預充電驗證。依據預充電結果確認：控制器A不能執行設計功能，出現功率單元數量配置偏差、功率單元配置錯誤等報警。控制器B響應正常，最終設備保持在控制器B運行。

綜上，可以確認由于主泵1B變頻器控制器A存在硬件故障對輸入控制器的正常數據進行了錯誤的處理、判斷和響應或者狀態監測信號的傳輸受到了干擾或中斷，觸發跳閘保護動作向上游中壓斷路器發出跳閘信號、觸發變頻器上游中壓斷路器跳閘。

2.4 對主泵1B變頻器控制器A硬件故障點分析

1號機組主泵變頻器為美國西門子公司生產的WCⅢ-HA型水冷變頻器，在其控制系統中配置有雙重控制器，其中控制器A為主控制器，控制器B為備用控制器。兩個控制器中都分別包含ISA總線背板、鍵盤適配器板、CPU板、調制器板、光纖板、系統接口板、通信板等功能卡件，如圖2所示。

圖2 主泵1B變頻控制器A各板卡布置

運行期間，控制器結合變頻器的參數配置、系統運行程序、控制系統軟件對監測的各項數據進行判斷，按照預定的邏輯觸發主泵變頻器執行電力電子調節、報警、跳閘等響應，使得主泵變頻器的各項運行功能、保護配置、用戶指令得到實現[5]。

基于此次主泵1B 變頻器控制器A硬件故障狀態下，對輸入控制器的正常數據進行了錯誤的處理、判斷和響應或者狀態監測信號的傳輸受到了干擾或中斷，對主泵變頻器控制器各板卡的功能及在此次事件中硬件故障的可能情況分析如下。

1)鍵盤適配器板。用于主泵變頻器控制器與控制柜內機械鍵盤的接口，該板卡故障只會導致對應的機械鍵盤Keypad-A無法訪問控制器，因此可排除該板卡故障造成控制器A異常響應的可能。

2)光纖板。只作為調制器板與功率單元進行光纖通信的拓展連接板卡，該板卡故障將不會導致變頻器相關電氣保護的觸發，故可排除該板卡故障造成控制器A異常響應的可能。

3)ISA總線背板。作為控制器的系統總線背板工業標準體系結構(industry standard architecture，ISA)，背板在為控制器內各功能板卡提供工作電源的同時，還擔負起著各功能板卡之間的數據傳輸。如果ISA總線背板故障將可能導致板卡失電或數據傳輸異常，影響CPU板卡對數據的處理，不排除造成CPU板卡發出錯誤響應的可能。

4)通信板與系統接口板。來自主泵變頻器PL-CI/O子系統的輸入信息經過通信板傳遞至控制器內，這些采集到的變頻器輸入、輸出電氣量、E-STOP信號等模擬量和數字量信息會在系統接口板上進行縮放、過濾及必要的模/數轉換，以便CPU板卡處理。當通信板與系統接口板存在異常時，將可能導致CPU板卡處理了錯誤的輸入信息，進行造成CPU板卡進行錯誤的判斷和響應，因此通信板與系統接口板故障造成此次事件的發生具有一定的可能性。

5)調制器板卡。負責接收來自CPU板卡的電壓指令，并與功率單元和旁路控制板通信，在控制功率單元和旁路控制板的同時，監測瞬時過電流(instantaneous over current，IOC)、E-STOP、和直流電源等硬件故障。結合主泵1B變頻器非預期跳閘時的事件日志中包含有未知的調制器板故障(trip-unknown modulator fault)信息，該信息是真實的調制器板卡故障觸發還是CPU板故障觸發未知。同時，由于控制器A在預充電期間自檢所報出的故障記錄為功率單元配置故障，故該板卡故障具有較大的可能性。

6)CPU板卡。負責運行設備預設的系統運行程序，執行設備控制的邏輯，實現設備輸出控制與調節，產生三相電壓指令傳至調制器板，監測輸入電壓、電流并執行功率因數、輸入功率、諧波率、過損耗等輸入保護、輸入電壓幅值和頻率的計量。根據過損耗保護、輸入保護的計量和執行邏輯，結合調制器板卡狀態監測均位于CPU板上，判斷控制器A CPU板卡故障的可能性較大。

綜合上述排查分析，主泵1B變頻器控制器A通信板、系統接口板、調制器板、ISA總線背板、CPU板卡都有可能故障，導致此次事件發生，故對控制器A進行返廠檢測。

2.5 主泵1B變頻器控制器A返廠檢測分析

主泵1B變頻器故障控制器返廠后，美國西門子公司在主泵變頻器模擬器上開發并執行了不同的測試方案以重現非預期跳閘事件，測試結果顯示，通過手動打開主泵變頻器輸入中壓繼電器，主泵變頻器會因喪失中壓而跳閘，但是由此產生的系統事件日志不包括現場系統事件日志中記錄的32個故障/報警。隨后，西門子公司對主泵變頻器PLC邏輯和故障控制器所用控制軟件進行了詳細的審查，未找到控制器或PLC軟件導致上游中壓跳閘的證據。對系統事件日志繼續分析，事件發生時現場系統事件日志中記錄的32個故障/報警狀態指示器由主泵變頻器故障控制器的16位故障字節寄存器中的6號位或14號位觸發，這些故障字節通過程序總線網絡(Profibus)發送給PLC使用。當Profibus傳遞的用于控制器中壓輸入斷路器的Net Dig Output 14(故障字節寄存器的第14位)信號標識受到影響時，PLC接收到錯誤的上游中壓跳閘命令，直接觸發上游中壓斷路器跳閘。同時，6號位的信號標識受到影響時，將觸發32個故障/報警狀態指示中的其他報警指示。故障控制器連接Profibus的通信板在金手指處使用8位數據總線，其中6號位用于傳輸16位故障字節寄存器中的6號位和14號位信號標識，當故障控制器連接Profibus的通信板金手指處6號位數據傳輸通道存在硬件故障時，將造成數據狀態傳輸錯誤，導致主泵1B變頻器上游中壓斷路器跳閘，同時觸發現場系統事件日志中記錄的32個故障/報警狀態指示。

通過對故障控制器連接Profibus的通信板數據總線連接、傳輸部位的20倍顯微檢查，發現在金手指處存在微動磨損點和可能的位置污染物，如圖3所示。檢查其他板卡均未觀察到類似的微動磨損或污染物。

圖3 金手指處微動斑和腐蝕鏡像圖

造成此次故障的根本原因為主泵1B變頻器控制器A通信板卡金手指存在微動磨損或臟污，導致故障控制器通信板卡與背板間數據6位置存在間歇性的連接終端，主泵1B變頻器用于控制中壓輸入斷路器的NetDigOutput 14(寄存器3的14號位)和6號位信號受到干擾，PLC在Profibus通信中對該信號異常狀況的判斷觸發了上游中壓跳閘指令，同時觸發了32個故障/報警狀態指示。

3 結 語

通過對主泵變頻器控制器故障導致的反應堆自動停堆事件進行分析，確定故障原因為主泵變頻器控制器通信板卡金手指存在微動磨損。建議在后續運行過程中變頻器控制柜增加定期清洗濾網和保持室內環境清潔措施，在變頻器維護項目中增加變頻器控制器各板卡金手指清潔檢查項目和信號傳動試驗項目，避免同類故障再次發生。