核電廠ATWT數(shù)字化改造方案及可靠性評價(jià)

李明鋼

（北京廣利核系統(tǒng)工程有限公司，北京 100094）

0 引言

ATWT（Anticipated Transients Without Trip，未停堆的預(yù)期瞬態(tài)緩解系統(tǒng)）系統(tǒng)在二代壓水堆核電站中，是作為應(yīng)對因給水泵故障或給水調(diào)節(jié)閥故障引起的正常給水喪失，且保護(hù)系統(tǒng)未能執(zhí)行保護(hù)動作的工況。該工況由于二回路吸收一回路熱量的能力下降而引起一回路溫度和壓力上升，進(jìn)而可能導(dǎo)致蒸汽發(fā)生器燒干。為了限制這些后果，在當(dāng)核功率大于30%且主給水流量小于6%時(shí)，ATWT 系統(tǒng)便會觸發(fā)跳堆、汽機(jī)脫扣、啟動輔助給水、閉鎖汽機(jī)旁路系統(tǒng)（GCT）第三組排放閥等保護(hù)動作[1]。大亞灣核電廠1、2 號機(jī)組ATWT 系統(tǒng)應(yīng)用模擬系統(tǒng)（Bailey9020）設(shè)計(jì)，目前已運(yùn)行近30 年，各類模塊陸續(xù)超過老化處理期限，因此需要對ATWT 系統(tǒng)進(jìn)行改造以確保系統(tǒng)可用。

因ATWT 應(yīng)對的是保護(hù)系統(tǒng)失效的情況，根據(jù)核安全法規(guī)HAF102 要求，應(yīng)考慮ATWT 和保護(hù)系統(tǒng)的多樣性以避免發(fā)生共因故障[2]。為此大亞灣ATWT 改造采用廣利核公司研制的基于FPGA 技術(shù)的數(shù)字化平臺FitRel 實(shí)現(xiàn)，既可保證與當(dāng)前保護(hù)系統(tǒng)采用的基于模擬技術(shù)的Bailey9020系統(tǒng)在設(shè)計(jì)、設(shè)備、人員等多維度具有充分多樣性[3,4]，也可保證后續(xù)保護(hù)系統(tǒng)應(yīng)用DCS 改造后具有充分的多樣性。數(shù)字化改造后的系統(tǒng)需要進(jìn)行可靠性分析評價(jià)，以驗(yàn)證滿足既定的可靠性指標(biāo)要求。本文基于FitRel 平臺完成ATWT 系統(tǒng)改造設(shè)計(jì)方案并通過對改造后ATWT 系統(tǒng)進(jìn)行故障樹建模，對系統(tǒng)可用性、誤動率、拒動率分別進(jìn)行分析評價(jià)，以確認(rèn)是否可滿足核電廠提出的設(shè)計(jì)指標(biāo)要求。

1 ATWT整體改造設(shè)計(jì)方案

1.1 整體架構(gòu)設(shè)計(jì)

ATWT 整體設(shè)計(jì)方案如圖1 所示。ATWT 系統(tǒng)基于FitRel 平臺設(shè)計(jì)了兩系完全相同的控制站，并分別布置在兩個(gè)不同的機(jī)柜（700AR/720AR）中。反應(yīng)堆保護(hù)系統(tǒng)的第4 保護(hù)通道（SIP-IV）安全級機(jī)柜KRG043AR 將3 個(gè)環(huán)路對應(yīng)的主給水流量信號ARE049MD/050MD/051MD 首先通過隔離分配（IS）傳遞給ATWT 系統(tǒng)，3 個(gè)信號再通過ATWT 系統(tǒng)隔離分配模塊將信號分配到兩系控制站，兩系控制站分別通過模擬量輸入模塊進(jìn)行信號采集，然后通過處理器進(jìn)行濾波FI（一階滯后）和閾值（XU）處理。當(dāng)主給水流量小于6%時(shí)，觸發(fā)生成3 個(gè)開關(guān)量信號并執(zhí)行2/3 表決邏輯運(yùn)算，然后對表決邏輯結(jié)果與RPN 系統(tǒng)處理的核功率信號RPN013MA/014MA（核功率大于30%）執(zhí)行“&”邏輯后，輸出驅(qū)動現(xiàn)場相關(guān)安全功能設(shè)備的控制指令?？紤]ATWT 雖然也執(zhí)行了安全功能，但應(yīng)對的是概率極低的超設(shè)計(jì)基準(zhǔn)事件，因此不需要像反應(yīng)堆保護(hù)系統(tǒng)那樣滿足單一故障準(zhǔn)則。但考慮ATWT 如果因故障誤觸發(fā)便會造成反應(yīng)堆緊急停堆，從而會對電站帶來極大的經(jīng)濟(jì)損失，因此應(yīng)盡量防止ATWT 誤觸發(fā)，為了防止系統(tǒng)故障造成ATWT 誤動作，設(shè)計(jì)的兩系控制站并分別布置在兩個(gè)機(jī)柜（RPA700ARRPA720AR）中，充分實(shí)現(xiàn)實(shí)體的分隔，而且對兩系控制站的控制輸出進(jìn)行“&”邏輯后，再觸發(fā)現(xiàn)場執(zhí)行機(jī)構(gòu)動作，即只有當(dāng)兩系控制站均輸出驅(qū)動指令后，才會真正觸發(fā)現(xiàn)場執(zhí)行機(jī)構(gòu)動作。另外，考慮報(bào)警信號誤觸發(fā)不會對電站安全性和經(jīng)濟(jì)性產(chǎn)生影響，反而更應(yīng)防止不觸發(fā)，因此對兩系控制站的報(bào)警指令進(jìn)行“OR”邏輯后輸出，以確保報(bào)警監(jiān)視功能具有更高的可靠性。

具體ATWT 系統(tǒng)方案配置為：ATWT 每系由1 個(gè)獨(dú)立的控制站組成，控制站包括獨(dú)立的模擬量輸入模塊（AI）、控制器單元（MPU）、開關(guān)量輸出模塊（DO），以及獨(dú)立的冗余電源模塊（AC/DC）供電。兩個(gè)控制站實(shí)現(xiàn)的邏輯功能完全一致，ATWT 系統(tǒng)從SIP-IV 采集的主給水流量信號，由KRG043AR 中的隔離（IS）模塊送出，通過ATWT 系統(tǒng)側(cè)的“一分四”隔離分配模塊（IM）硬接線傳送給兩系控制站。從RPN005AR 機(jī)柜采集的核功率高開關(guān)量信號分別通過多觸點(diǎn)繼電器（RLY）分配給兩系控制站。在ATWT控制站內(nèi)實(shí)現(xiàn)所有模擬量運(yùn)算及邏輯運(yùn)算功能，兩系控制站輸出通過端子繼電器實(shí)現(xiàn)“&”“OR”邏輯后驅(qū)動現(xiàn)場執(zhí)行機(jī)構(gòu)或觸發(fā)主控室報(bào)警。

1.2 定期試驗(yàn)方案

數(shù)字化改造后，為了進(jìn)一步提高可靠性，設(shè)計(jì)了如圖2 所示的定期試驗(yàn)方案，主要包括傳感器及信號輸入通道試驗(yàn)（T1）、控制功能邏輯試驗(yàn)（T2）、控制輸出及執(zhí)行機(jī)構(gòu)試驗(yàn)（T3）。因?yàn)镕itRel 平臺僅有1%的剩余故障需通過定期試驗(yàn)探測，因此除T2 試驗(yàn)外，T1、T2 定期試驗(yàn)周期通?？稍O(shè)定為一個(gè)換料周期（18 個(gè)月）一次，數(shù)字化系統(tǒng)定期試驗(yàn)可通過控制站連接FitRel 平臺專用維護(hù)工具運(yùn)行試驗(yàn)用例自動實(shí)現(xiàn)，相比模擬系統(tǒng)試驗(yàn)時(shí)間也可大大縮短。

圖2 ATWT定期試驗(yàn)方案Fig.2 ATWT Regular test plan

原設(shè)計(jì)方案T1 試驗(yàn)過程中，主給水流量的測試信號只需從KRG043AR 進(jìn)行信號注入和采集。數(shù)字化改造后，需要在SIP-IV 機(jī)柜注入信號并在ATWT 機(jī)柜讀取信號，因兩個(gè)機(jī)柜不在同一個(gè)樓層，為試驗(yàn)帶來不便，為此將機(jī)柜附近棄用的KRG899CR 改裝成T1 試驗(yàn)專用箱，新增ATWT機(jī)柜至KRG899CR 的模擬量信號輸出接口及測量電纜傳輸3 個(gè)給水流量的測試回讀信號。T1 試驗(yàn)過程中主給水流量信號由ATWT 采集后隔離分配（1 分4IM 模塊）送至KRG899CR 回讀，另外在ATWT 機(jī)柜內(nèi)通過在端子側(cè)注入4mA ～20mA 信號通過接入專用維護(hù)工具回讀，可覆蓋對輸入通道（AI）的測試。

T2 試驗(yàn)通過接入專用維護(hù)工具，并通過其中預(yù)置的測試用例自動進(jìn)行信號注入和結(jié)果回讀校驗(yàn)完成ATWT 功能邏輯試驗(yàn)。

T3 試驗(yàn)仍保持原ATWT 系統(tǒng)的試驗(yàn)方法，在ATWT 機(jī)柜內(nèi)設(shè)計(jì)T3 試驗(yàn)專用面板，包括硬接線開關(guān)以及信號反饋指示燈，接入ATWT 系統(tǒng)，通過手動操作實(shí)現(xiàn)跳堆等執(zhí)行機(jī)構(gòu)的回路試驗(yàn)。

1.3 表決邏輯降級設(shè)計(jì)

原設(shè)計(jì)為了保證ATWT 控制的可靠性，通過對3 個(gè)ARE 流量信號執(zhí)行“三取二表決邏輯”后執(zhí)行ATWT 驅(qū)動。進(jìn)行數(shù)字化改造后，依然保持該表決邏輯，并且結(jié)合數(shù)字化系統(tǒng)的特性，通過基于主給水流量信號的質(zhì)量位執(zhí)行“三取二表決邏輯”的邏輯退化，同時(shí)考慮安全性和經(jīng)濟(jì)性2/3表決邏輯退化規(guī)則，見表1。另外，對RPN013MA/014MA（核功率大于30%）執(zhí)行“&”邏輯也考慮相應(yīng)的邏輯退化，當(dāng)一個(gè)RPN 信號失效，“&”邏輯退化為1/1，兩個(gè)信號失效，“&”邏輯退化為觸發(fā)。

表1 ARE流量2/3表決邏輯降級規(guī)則Table 1 ARE Traffic 2/3 voting logic degradation rules

2 可靠性分析

2.1 故障樹建模分析

2.1.1 故障樹建模

因?qū)τ贏TWT 系統(tǒng)需分析誤動率、拒動率以及可用性，基于ATWT 系統(tǒng)架構(gòu)并依據(jù)IEEE-352 相關(guān)要求[5]，構(gòu)建了如圖3 所示的故障樹基本模型，可將誤動故障、拒動故障以及可用性進(jìn)行關(guān)聯(lián)。

圖3 ATWT故障樹基本模型Fig.3 ATWT Fault tree basic model

模型基本事件源于各部件失效率，包括輸入單元：調(diào)理板卡、AI、板卡、DI 板卡；處理單元：IO 通信板卡、MPU 板卡；輸出單元：DO 板卡、繼電器；供電單元：電源模塊、空開、浪涌吸收器、濾波器?；诠收鲜欠窨勺栽\斷，故障率可分為：λDD為導(dǎo)向拒動的可診斷失效率，λSD為導(dǎo)向誤動的可診斷失效率（因ATWT 可診斷故障均設(shè)定為導(dǎo)向不驅(qū)動，因此該部分為0），λDU為導(dǎo)向拒動的不可診斷失效率，λSU為導(dǎo)向誤動的不可診斷失效率。

2.1.2 誤動率的計(jì)算

可診斷故障會將故障輸出設(shè)定為不驅(qū)動，而不可診斷發(fā)生誤動故障，則可通過設(shè)備動作信息結(jié)合分析判別，所以誤動故障均可馬上進(jìn)行故障處理，因此誤動率=λSU·MTTR。

2.1.3 拒動率的計(jì)算

如果設(shè)備出現(xiàn)拒動故障，可診斷故障可即刻處理，而不可診斷故障則需通過定期試驗(yàn)探測，因此拒動率=λDD·MTTR+λDU·Ti/2。

2.1.4 可用性的計(jì)算

根據(jù)可用性定義可知：可用率=MTBF/（MTBF+MTTR），考慮到可診斷故障（λD）可及時(shí)發(fā)現(xiàn)后馬上能執(zhí)行維修活動，對于不可診斷故障（λU）只能通過定期試驗(yàn)探測故障，因此平均維修時(shí)間會拉長為Ti/2+MTTR（因MTTR 遠(yuǎn)小于Ti，可忽略[4]）。因此，可用率=MTTR·λD/(1+MTTR·λD)+Ti/2·λU/(1+ Ti/2·λU)，其中：λD=λDD+λSD，λU=λDU+λSU。

2.2 基礎(chǔ)數(shù)據(jù)來源

FitRel 板卡以及外購物項(xiàng)的可靠性指標(biāo)（MTBF）依據(jù)MIL-HDBK-217F 中提供的可靠性數(shù)據(jù)以及元器件廠家提供的可靠性數(shù)據(jù)標(biāo)確定。SIP IV 系統(tǒng)的IS 隔離模塊因?yàn)槭?E級未在改造范圍，因原始的可靠性指標(biāo)已無法找到，考慮通過運(yùn)行數(shù)據(jù)統(tǒng)計(jì)分析得出。依據(jù)大亞灣10 年的運(yùn)行統(tǒng)計(jì)數(shù)據(jù)，大亞灣項(xiàng)目共應(yīng)用了400 塊該IS 模塊，10 年期間出現(xiàn)了4 塊板卡故障，因此可得出其失效率（λ）為114FIT。

2.3 可靠性評價(jià)

FitRel 各模塊的失效率基礎(chǔ)數(shù)據(jù)包括可診斷失效率和不可診斷失效率?？稍\斷失效可通過設(shè)置故障安全值確定為導(dǎo)向動作或不動作，而不可診斷故障的最終后果是導(dǎo)向動作還是不動作具有不確定性，因此保守考慮將λSU和λDU均按不可診斷總失效率進(jìn)行計(jì)算。定期試驗(yàn)周期（Ti）按18 個(gè)月分析計(jì)算，改造后ATWT 各模塊的修復(fù)均通過備件更替方式完成，因此MTTR 小于4h。通過計(jì)算可得出可用性、拒動率和誤動率結(jié)果見表2。

表2 ATWT可靠性指標(biāo)匯總表Table 2 Summary of ATWT reliability indicators

通過上述計(jì)算指標(biāo)可以看出，改造后各項(xiàng)可靠性指標(biāo)均滿足要求，因此可將ATWT 定期試驗(yàn)周期由原2 個(gè)月延長至18 個(gè)月。

3 結(jié)論

應(yīng)用基于FPGA 技術(shù)的FitRel 平臺設(shè)計(jì)了ATWT 系統(tǒng)，考慮兼顧安全性和經(jīng)濟(jì)性，設(shè)計(jì)了兩系完全冗余的控制站，并對兩系控制站的驅(qū)動現(xiàn)場執(zhí)行機(jī)構(gòu)的控制輸出進(jìn)行“&”邏輯表決。通過對數(shù)字化改造后ATWT 系統(tǒng)進(jìn)行故障樹建模分析，改造后ATWT 系統(tǒng)可用性可達(dá)99.994%，誤動率小于1.5E-08，拒動率小于0.005，各項(xiàng)可靠性指標(biāo)均滿足設(shè)計(jì)要求。而且相比原模擬系統(tǒng)可大幅縮短定期試驗(yàn)周期，可由原2 個(gè)月延長至18 個(gè)月，從而大幅降低了運(yùn)行維護(hù)人員負(fù)擔(dān)。