李力，肖長歌

(國核電力規(guī)劃設計研究院，北京 100094)

0 引言

不論在常規(guī)火電廠還是在核電廠中，除氧器水位都是機組運行的一個重要控制參數(shù)，因此除氧器水位保護系統(tǒng)的安全性和可靠性就成為系統(tǒng)設計的重要指標。本文以非能動安全先進核電廠AP1000的除氧器水位保護系統(tǒng)［1］為依托，從整個測量控制回路的結構、診斷覆蓋率以及共因［2］影響等方面進行分析，進而對整個系統(tǒng)的平均故障前時間(MTTF)、需求失效概率(PFD)和安全故障概率(PFS)等指標進行評價，為除氧器水位保護系統(tǒng)的設計提供可靠性數(shù)據(jù)支持。

1 除氧器水位保護系統(tǒng)的構成及其特性

1.1 系統(tǒng)構成

本文以山東海陽核電廠一期工程中除氧器高－3水位保護系統(tǒng)為研究對象，建立系統(tǒng)可靠性模型并對系統(tǒng)的可靠性指標進行分析。

除氧器高－3水位保護系統(tǒng)由3個液位測量開關、3個DI模塊、1個帶冗余的控制器、2個DO模塊及2個串聯(lián)的氣動逆止閥等構成，如圖1所示。

1.2 系統(tǒng)特性

當除氧器水位達到高－3水位之上時，液位開關閉合，DI信號為高電平，控制器經(jīng)過2oo3(3取2)的邏輯輸出DO為高電平信號去關閉2個串聯(lián)的氣動逆止閥，從而切斷四抽來汽至除氧器的管路通道，防止除氧器中的水倒流入汽輪機，避免汽輪機損壞。

2 系統(tǒng)可靠性分析

2.1 系統(tǒng)的失效模式

圖1 除氧器高－3水位保護系統(tǒng)控制回路

根據(jù)除氧器高－3水位保護系統(tǒng)測量控制回路的構成，從構成系統(tǒng)的基本模件入手，對其進行失效模式和影響分析(FMEA)，見表1。

FMEA表明了2個重要的失效分類:安全失效(誤關閥門)和危險失效(不能關閉閥門)。安全失效時，除氧器應該正常運行，即抽汽逆止閥應該處于打開狀態(tài)，但由于某種故障使得抽汽逆止閥關閉，除氧器解裂，因為該狀態(tài)是一種安全狀態(tài)，所以稱這種失效為安全失效模式。危險失效時，抽汽逆止閥應該處于關閉狀態(tài)，從而隔離除氧器與汽輪機之間的管道，防止除氧器中的水倒流入汽輪機中造成汽輪機的損壞，但由于某種故障使得抽汽逆止閥不能正常關閉，由于該狀態(tài)會造成汽輪機的損壞，所以稱這種失效為危險失效模式。

總失效率可根據(jù)公式λ=λS+λD進行計算，式中:上標S代表安全失效;上標D代表危險失效。

由于系統(tǒng)中采用了大量的冗余設備，因此共因失效是系統(tǒng)失效的重要因素。共因失效可能會導致安全失效，也可能導致危險失效，因此設備的失效率可以分為2個互斥的失效:安全共因失效與危險共因失效，這里采用β模型來對共因失效進行描述。

式中:上標SC代表安全共因失效;上標SN代表安全一般應力失效。其中λSC=β×λS，λSN=(1－β)×λS，β為共因失效因子，它取決于由于共因應力導致的復合冗余單元失效的幾率。

表1 除氧器高－3水位保護系統(tǒng)的FMEA

式中:上標DC代表危險共因失效;上標DN代表危險一般應力失效。其中λDC=β×λD，λDN=(1－β)×λD，β為共因失效因子，它取決于由于共因應力導致的復合冗余單元失效的幾率。

一般來說，控制系統(tǒng)中的在線診斷功能是一個重要的功能，準確的診斷既能提高安全性又能增強可用性。為了定量描述系統(tǒng)診斷的能力，定義采用診斷覆蓋率C，它是指發(fā)生失效時被檢測到的概率，它大于0并且小于1。

當增加診斷功能時，所有可維修控制系統(tǒng)(包括冗余和非冗余的)的可用性和安全性都得到增強，減少了系統(tǒng)在危險模式及降級模式(不能完全正常運行)下的運行時間。

式中:CS為安全失效診斷覆蓋率;CD為危險失效診斷覆蓋率;上標中間字母D代表已檢測到的失效;上標中間字母U代表未檢測到的失效。

2.2 三冗余單元的結構及其降級模式

2oo3(3取2)結構容許一個單元的任何失效:危險失效或安全失效。這時系統(tǒng)發(fā)生了一次降級，若發(fā)生開路(危險失效)，系統(tǒng)降級到1oo2(2取1)結構;若發(fā)生短路(安全失效)，系統(tǒng)降級到2oo2(2取2)結構。

2oo3結構在發(fā)生了一次降級后，若又有一個單元發(fā)生了另一種失效(即一個單元發(fā)生了危險失效后又有一個單元發(fā)生了安全失效)，或一個單元發(fā)生了安全失效后又有一個單元發(fā)生了危險失效，那么2oo3結構就發(fā)生了二次降級，即系統(tǒng)降為1oo1(1取1)結構，二次降級并不影響系統(tǒng)正常工作。2oo3結構及其降級模式如圖2所示。

圖2 3取2結構及其降級模式

2.3 輸入單元的馬爾可夫模型

輸入單元為2oo3結構，其馬爾可夫模型［3］的建立起始于3個支路完全處于正常工作的狀態(tài)0。然后，輸入單元從狀態(tài)0以一定的概率轉移到4種一次降級模式(狀態(tài)1～狀態(tài)4)、安全失效模式(狀態(tài)9)、可檢測到的危險失效模式(狀態(tài)10)、未檢測到的危險失效模式(狀態(tài)11)。之后，輸入單元分別從4種一次降級模式以一定的概率轉移到4種二次降級模式(狀態(tài)5～狀態(tài)8)、狀態(tài)9、狀態(tài)10、狀態(tài)11。針對可以檢測到的失效模式或降級模式，增加了維修功能，并且假定一旦檢測到某一設備發(fā)生故障，維修人員可以一次完全修復所有的故障。輸入單元的馬爾可夫模型如圖3所示。

輸入單元馬爾可夫模型的轉移矩陣P可以表示如下(其中的1－Σ表示1減去此行中其他元素之和):

2.4 輸出單元的馬爾可夫模型

輸出單元為1oo2結構，其馬爾可夫模型的建立起始于2個支路完全處于正常工作的狀態(tài)0。然后，輸入單元從狀態(tài)0以一定的概率轉移到2種降級模式(狀態(tài)1～狀態(tài)2)、安全失效模式(狀態(tài)3)、可檢測到的危險失效模式(狀態(tài)4)、未檢測到的危險失效模式(狀態(tài)5)。之后，輸入單元分別從2種降級模式以一定的概率轉移到狀態(tài)3、狀態(tài)4、狀態(tài)5。針對可以檢測到的失效模式或降級模式，增加了維修功能，并且假定一旦檢測到某一設備發(fā)生故障，維修人員可以一次完全修復所有的故障。輸出單元的馬爾可夫模型如圖4所示。

輸出單元馬爾可夫模型的轉移矩陣P可以表示為

其中，1－Σ表示1減去此行中其他元素之和。

由于處理單元的結構與輸出單元的結構一樣，都為一個1oo2的結構，因此處理單元的馬爾可夫模型同輸出單元一樣，這里不再贅述。

3 系統(tǒng)的仿真與計算分析

在除氧器高－3水位保護系統(tǒng)控制回路中，假定其平均維修時間是8 h，因為回路誤動作造成系統(tǒng)運行停止后(即抽汽逆止閥關閉)再重新啟動的平均時間為24 h。假定液位開關、輸入信號線、DI模塊、控制器、DO模塊、輸出信號線、氣動閥的平均故障前時間(MTTF)分別為10年、60年、100年、100年、100年、60年、10年，λS分別為 20% λ，5% λ，50%λ，50%λ，50% λ，5%λ，20% λ。針對輸入單元(2oo3結構)，研究診斷覆蓋率和共因對MTTF的影響:

(1)將共因 β固定為0.05，診斷覆蓋率 C以0.01為基準單位從1到0進行仿真，研究MTTF的變化情況，如圖5所示。

(2)將診斷覆蓋率 C固定為0.95，共因 β以0.01為基準單位從1到0進行仿真，研究MTTF的變化情況，如圖5所示。

仿真數(shù)據(jù)表明，在2oo3結構中，診斷覆蓋率C在［0.9，1.0］之間MTTF 的變化非?？?，說明高診斷覆蓋率對系統(tǒng)MTTF的增加是非常有效的。為了提高診斷覆蓋率，系統(tǒng)需要增加相應的診斷系統(tǒng)，但增加診斷系統(tǒng)使得系統(tǒng)整體的失效率在增加，需要在高診斷率和高失效率之間尋找一個平衡，使得系統(tǒng)整體的MTTF符合需求。

仿真數(shù)據(jù)表明，在2oo3結構中，共因β在［0.0，0.1］之間的變化非?？?，說明低共因對系統(tǒng)的MTTF的增加是非常有效的。

采用相同的參數(shù)設置，研究診斷覆蓋率和共因對需求失效概率(PFD)和安全故障概率(PFS)的影響，如圖6所示。

仿真數(shù)據(jù)表明，在2oo3結構中，隨著診斷覆蓋率C的降低或共因β的增大，PFD在不斷增大，但PFS并沒有顯著增大，并且PFD和PFS在數(shù)量級上的差別比較大。由此可見，診斷覆蓋率C的降低或共因β的增大將主要增加系統(tǒng)危險失效的概率。

圖3 輸入單元的馬爾可夫模型

圖4 輸出單元的馬爾可夫模型

圖5 MTTF與診斷覆蓋率和共因的關系(2oo3)

針對輸出單元(1oo2結構)，研究診斷覆蓋率和共因對MTTF的影響:

(1)將共因 β固定為0.05，診斷覆蓋率 C以0.01為基準單位從1到0進行仿真，研究MTTF的變化情況，如圖7所示。

(2)將診斷覆蓋率 C固定為0.95，共因 β以0.01為基準單位從1到0進行仿真，研究MTTF的變化情況，如圖7所示。

圖6 PFD和PFS與診斷覆蓋率和共因的關系(2oo3)

圖7 MTTF與診斷覆蓋率和共因的關系(1oo2)

仿真數(shù)據(jù)表明，在1oo2結構中，隨著診斷覆蓋率C的增大或共因β的減小，MTTF都在增大，但增大的幅度有限，若要提高系統(tǒng)的MTTF，一方面可以提高元件的MTTF，另一方面可以改變系統(tǒng)的結構，例如采用2oo3結構。

采用相同的參數(shù)設置，研究診斷覆蓋率和共因對需求失效概率(PFD)和安全故障概率(PFS)的影響，如圖8所示。

圖8 PFD和PFS與診斷覆蓋率和共因的關系(1oo2)

仿真數(shù)據(jù)表明，在1oo2結構中，隨著診斷覆蓋率C的降低或共因β的增大，PFD在不斷地增大，但PFS并沒有顯著增大，并且PFD和PFS在數(shù)量級上的差別比較大。由此可見，診斷覆蓋率C的降低或共因β的增大將主要增加系統(tǒng)危險失效的概率。

處理單元與輸出單元有著同樣的結構，這里不再贅述。

有了對系統(tǒng)可靠性的分析，就可以對影響系統(tǒng)整體可靠性的環(huán)節(jié)有比較清楚的認識，這將為系統(tǒng)可靠性分配提供理論分析的基礎。在設計時，需要把規(guī)定的可靠性指標合理地分配給組成系統(tǒng)的各個單元，再將分配給各個單元的指標合理地分配到模件直至組成系統(tǒng)的基本元件，這就需要對可靠性分配的方法［4］進行研究，這屬于另一個研究范疇，這里不再贅述。

4 結束語

一般來說，影響系統(tǒng)可靠性的因素比較多，在提高系統(tǒng)可靠性方面除了增加組成系統(tǒng)基本元件的可靠性外，主要從系統(tǒng)的結構、診斷覆蓋率及共因方面進行研究，得到以下結論:

(1)系統(tǒng)結構方面。在建立一個系統(tǒng)時，有多種方法來配置控制系統(tǒng)的元件。系統(tǒng)組成結構常見的有單通道系統(tǒng)(1oo1)、雙通道系統(tǒng)(1oo2)、雙通道系統(tǒng)(2oo2)、三通道系統(tǒng)(2oo3)等。

雙通道系統(tǒng)(1oo2)能夠最有效地降低系統(tǒng)危險失效的概率，但同時也增加了系統(tǒng)安全失效的概率。

雙通道系統(tǒng)(2oo2)正好相反，它能夠最有效地降低系統(tǒng)安全失效的概率，但同時也增加了系統(tǒng)危險失效的概率。

三通道系統(tǒng)(2oo3)既能較好地降低系統(tǒng)危險失效的概率，也能較好地降低系統(tǒng)安全失效的概率。

(2)系統(tǒng)診斷覆蓋率方面。具有高診斷覆蓋率的系統(tǒng)能夠有效減少系統(tǒng)在危險失效模式下及降級模式下的運行時間，另外，診斷直接干預系統(tǒng)的運行，可以改善系統(tǒng)的安全性和可用性。

(3)系統(tǒng)共因方面。采用冗余技術可以大大提高系統(tǒng)的可靠性和可用率，但不能有效降低共因失效所引起的系統(tǒng)故障概率。所有級別控制系統(tǒng)的設計者都必須認識到共因失效會嚴重降低系統(tǒng)的安全性并減少MTTF。因此，應該采取相應的解決方法來消除共因失效，例如采用物理隔離的冗余單元、多樣性原則等。

［1］林誠格，郁祖盛，歐陽予.非能動安全先進核電廠AP1000［M］.北京:原子能出版社，2008.

［2］謝里陽，林文強.冗余系統(tǒng)共因失效的載荷－性能分析與概率估算［J］.核科學與工程，2003，23(4):289 －295.

［3］William M Goble.控制系統(tǒng)的安全評估與可靠性［M］.北京:中國電力出版社，2008.

［4］工業(yè)自動化儀表與系統(tǒng)手冊編輯委員會.工業(yè)自動化儀表與系統(tǒng)手冊［M］.北京:中國電力出版社，2008.