張 堅，陳建平

（國核自儀系統(tǒng)工程有限公司，上海 200241）

FPGA技術(shù)在核電廠保護系統(tǒng)中的應(yīng)用

張 堅，陳建平

（國核自儀系統(tǒng)工程有限公司，上海 200241）

核電廠反應(yīng)堆保護系統(tǒng)廣泛采用CPU技術(shù)進行開發(fā)，使得保護系統(tǒng)中包含操作系統(tǒng)和應(yīng)用軟件等中間環(huán)節(jié)，增加了其出現(xiàn)共模故障的概率，降低了其可靠性和安全性。通過比較FPGA（現(xiàn)場可編程邏輯門陣列）技術(shù)與CPU技術(shù)的差異，闡明采用FPGA技術(shù)開發(fā)保護系統(tǒng)的優(yōu)勢。在此基礎(chǔ)上，提出了基于FPGA的反應(yīng)堆保護系統(tǒng)的開發(fā)流程，總結(jié)了測試和驗證過程中的注意事項，對新一代保護系統(tǒng)的設(shè)計及應(yīng)用具有重要的參考價值。

反應(yīng)堆保護系統(tǒng)；FPGA技術(shù)；CPU技術(shù)；共模故障

核電廠以相對較低的成本提供大規(guī)模的電力，解決了常規(guī)化石能源污染嚴重、二氧化碳排放量大的缺點，成為取代依靠燃燒化石燃料獲取能源的傳統(tǒng)發(fā)展模式的最佳低碳能源模式。反應(yīng)堆保護系統(tǒng)作為核電廠保護功能實現(xiàn)的載體，主要用于對核反應(yīng)堆各種關(guān)鍵參數(shù)進行監(jiān)測并在事故工況下，產(chǎn)生緊急停堆信號及相關(guān)的專設(shè)安全設(shè)施觸發(fā)信號，從而緩解或限制事故的擴大。高可靠性的核電廠保護系統(tǒng)對確保核電廠的安全經(jīng)濟運行、防止放射性物質(zhì)向周圍環(huán)境釋放起著至關(guān)重要的作用。

核電廠保護系統(tǒng)體現(xiàn)了工業(yè)控制領(lǐng)域的前沿技術(shù)，其設(shè)計和設(shè)備除了要保證工程應(yīng)用時的成熟性和先進性外，還要確保整個核電廠設(shè)施壽期內(nèi)的不斷升級和改造，是一項隨控制技術(shù)、信息技術(shù)、電子技術(shù)發(fā)展而持續(xù)改進的技術(shù)，也是現(xiàn)代化核能設(shè)施領(lǐng)域的核心技術(shù)之一。按照所采用技術(shù)的不同，核電廠反應(yīng)堆保護系統(tǒng)的發(fā)展可分為三個階段。

第一階段是以模擬式組合單元儀表為主的核電廠保護系統(tǒng)。20世紀八九十年代以前建造的核電廠中均采用這種技術(shù)，如正在運行的秦山核電站300 MW機組及大亞灣核電站2×980 MW機組。這類保護系統(tǒng)一般以小規(guī)模集成電路為基礎(chǔ)構(gòu)建，控制室以各種模擬顯示表、調(diào)節(jié)儀表、指示燈、硬件控制開關(guān)為主，控制器件數(shù)量多，接線復(fù)雜，系統(tǒng)智能程度不高，操縱員工作強度大，而且容易出錯，從而使得系統(tǒng)維護困難，并降低了系統(tǒng)的可靠性。

第二階段是基于CPU和軟件的數(shù)字化核電廠反應(yīng)堆保護系統(tǒng)。20世紀末，美國等發(fā)達國家開發(fā)了基于CPU和軟件的數(shù)字化核電廠保護系統(tǒng)。這種系統(tǒng)可以方便地實現(xiàn)在線診斷、故障定位及信息顯示和處理功能。目前，美國NRC已經(jīng)批準了德國西門子公司的Teleperm XS、美國西屋公司的Common Q以及美國英維斯公司的Tricon三種核電廠保護系統(tǒng)平臺，核電廠的反應(yīng)堆保護系統(tǒng)均可在這幾種平臺上來構(gòu)建實現(xiàn)。國內(nèi)外新建的核電機組均采用了這類保護系統(tǒng)，如芬蘭EPR項目、嶺澳二期、紅沿河、三門、陽江等核電站。第二階段的核電廠反應(yīng)堆保護系統(tǒng)克服了系統(tǒng)復(fù)雜、維護困難等缺點?？刂剖也捎酶叨燃傻目刂剖遥峁┙o操縱員的人機接口也大為簡化，系統(tǒng)的智能化程度也大大提高。但是，這一階段的保護系統(tǒng)中增加了操作系統(tǒng)和應(yīng)用軟件等多個中間層次，使得出現(xiàn)軟件共因故障的可能性大大提高，也使得對系統(tǒng)進行驗證和確認變得更困難。

第三階段是基于FPGA技術(shù)的核電廠反應(yīng)堆保護系統(tǒng)。為了有效克服第二階段反應(yīng)堆保護系統(tǒng)軟件共因故障可能性高、軟件獨立性驗證和確認困難等的缺點，美國西屋公司、日本東芝公司等均考慮采用FPGA技術(shù)來開發(fā)新一代的保護系統(tǒng)。但是這種核電廠反應(yīng)堆保護系統(tǒng)沒有成功的設(shè)計經(jīng)驗可以借鑒，且開發(fā)難度大、開發(fā)周期長。迄今為止，世界上還沒有一套基于FPGA技術(shù)的核電廠保護系統(tǒng)被研制成功，并通過美國NRC的認證。

1 保護系統(tǒng)中采用FPGA技術(shù)與CPU技術(shù)的區(qū)別

在基于CPU的反應(yīng)堆保護系統(tǒng)中，為了保證系統(tǒng)功能的通用性，CPU本身及操作系統(tǒng)都被設(shè)計得相當復(fù)雜。在反應(yīng)堆保護系統(tǒng)中采用CPU技術(shù)來實現(xiàn)保護功能時，需要在應(yīng)用軟件環(huán)境中開發(fā)相應(yīng)的軟件程序，而應(yīng)用軟件又運行在操作系統(tǒng)之上，操作系統(tǒng)最終通過調(diào)用底層硬件來實現(xiàn)所定義的保護功能。由于操作系統(tǒng)及應(yīng)用軟件的復(fù)雜性，導(dǎo)致出現(xiàn)共模故障的可能性增加及系統(tǒng)可靠性的降低，從而也使得基于CPU的保護系統(tǒng)通過NRC等第三方機構(gòu)的評審時難度增加。

為了解決上述問題，在核電廠反應(yīng)堆保護系統(tǒng)的開發(fā)中，F(xiàn)PGA技術(shù)正在獲得越來越多的關(guān)注。FPGA技術(shù)是“現(xiàn)場可編程邏輯門陣列”的簡稱，它是一種包含可編程邏輯組件、可編程互聯(lián)線和可編程I/O的半導(dǎo)體設(shè)備[1]。FPGA通過配置可編程的邏輯組件及互聯(lián)線等資源來實現(xiàn)組合邏輯功能及時序邏輯功能，以全硬件方式實現(xiàn)接口協(xié)議，數(shù)據(jù)處理，控制邏輯等完整的功能模塊，從而解決了CPU技術(shù)包含操作系統(tǒng)及應(yīng)用軟件的不足。對于相同的應(yīng)用需求，采用FPGA來實功能模塊的復(fù)雜度比采用CPU來實現(xiàn)功能模塊復(fù)雜度要低得多，從而降低了出現(xiàn)軟件共模故障的概率及驗證和確認的困難程度，也簡化了通過NRC等相關(guān)權(quán)威機構(gòu)評審的程序。另外，與基于CPU技術(shù)的保護系統(tǒng)相比，F(xiàn)PGA技術(shù)也可以更好地克服技術(shù)過時所帶來的影響。

基于FPGA技術(shù)來開發(fā)保護系統(tǒng)還可簡化輸入輸出板卡的種類，從而利于保護系統(tǒng)的生產(chǎn)和維護。當采用CPU技術(shù)來開發(fā)保護系統(tǒng)時，只能通過設(shè)計多種輸入輸出板卡來處理保護系統(tǒng)中的電流信號、電壓信號、脈沖信號、開關(guān)量信號等多種不同類型的信號，使得板卡種類非常多，極大地影響了保護系統(tǒng)的可維護性及可靠性。另一方面，板卡種類繁多導(dǎo)致每種板卡所需數(shù)量較少，無法進行大規(guī)模制造生產(chǎn)，也提高了系統(tǒng)的制造成本。

基于FPGA技術(shù)的保護系統(tǒng)可以對I/O端口的輸入輸出電平標準進行配置，從而靈活地適應(yīng)信號種類變化。通過在FPGA中部署不同的協(xié)議，將I/O組件和連接器實施在夾層模塊上就可對I/ O端口進行重配置，從而可在不修改板卡設(shè)計的前提下接受不同種類信號的輸入輸出，降低了設(shè)計更改成本和工作量。2008年7月，美國國家標準學(xué)會（ANSI）批準發(fā)布了VITA 57FPGA夾層卡（FMC）標準，更進一步規(guī)范了這種設(shè)計標準和技術(shù)[2]。從而可為基礎(chǔ)板（載卡）上的FPGA提供標準的夾層卡尺寸、連接器和模塊接口。通過這種方式將I/O接口與FPGA分離，不僅簡化了I/O接口模塊設(shè)計，同時還最大化了載卡的重復(fù)利用率，并且可明顯提高I/O端口的數(shù)據(jù)傳輸效率，減小傳輸延時及簡化系統(tǒng)設(shè)計。

基于FPGA技術(shù)來開發(fā)保護系統(tǒng)也有其不足之處，開發(fā)人員需要直接面對最基本的功能電路，考慮如何用基本的加法器、減法器、比較器、解碼器和寄存器等硬件電路單元來可靠地實現(xiàn)所需要的功能，也要考慮如何設(shè)計狀態(tài)機來實現(xiàn)所需要的接口時序，開發(fā)難度較大，所需時間較長。采用CPU技術(shù)開發(fā)時通過采用操作系統(tǒng)、工具軟件等環(huán)節(jié)來屏蔽底層硬件運行的細節(jié)，只需考慮用高層語言來實現(xiàn)所需要的功能。因此，采用FPGA開發(fā)保護系統(tǒng)要充分考慮這一難題，避免給開發(fā)進度帶來不利的影響。

2 FPGA的應(yīng)用現(xiàn)狀及其在核電廠中的應(yīng)用前景

FPGA按照其實現(xiàn)工藝來分，大致可分為基于SRAM和基于Flash/反熔絲的FPGA。基于SRAM的FPGA具有良好的性能及大的系統(tǒng)規(guī)模。但這種FPGA掉電無法保存數(shù)據(jù)，需要增加一個昂貴的外部配置芯片，而且功耗也較大，在啟動的時候需要幾百毫安的啟動電流，給用戶帶來了極大的不便。基于Flash/反熔絲構(gòu)架的FPGA具有單芯片運行、高安全性、高可靠性、低功耗、穩(wěn)定性好、抗輻射、啟動電流小等特點，但是其性能及系統(tǒng)規(guī)模等方面較為遜色[3]。由于這兩種FPGA的特點有很大的不同，導(dǎo)致其應(yīng)用領(lǐng)域有很大差異?；赟RAM工藝的FPGA主要應(yīng)用于安全性要求不高的場合如通信、工業(yè)顯示及控制、消費類電子、汽車電子等領(lǐng)域，并占據(jù)了大部分的市場份額。而基于Flash/反熔絲工藝的FPGA主要應(yīng)用于航空航天、軍事等高可靠性領(lǐng)域，目前市場份額較小。

由于保護系統(tǒng)要求有很高的可靠性及安全性，所以更適合采用基于Flash/反熔絲工藝的FPGA來進行開發(fā)。采用基于Flash/反熔絲工藝的FPGA可抵抗較大劑量的輻射，從而可以使保護系統(tǒng)在發(fā)生事故的情況下還能正常運行，更適合于核電廠保護系統(tǒng)的應(yīng)用。可以預(yù)計，隨著社會對核電廠安全性要求的逐步提升，基于Flash/反熔絲工藝的FPGA在保護系統(tǒng)中將獲得越來越廣泛的應(yīng)用。

3 基于FPGA技術(shù)的核電保護系統(tǒng)的研發(fā)流程及標準

由于FPGA本身具有的優(yōu)點，因此核電行業(yè)和核電供應(yīng)商對FPGA技術(shù)越來越感興趣。但是，現(xiàn)在很少有導(dǎo)則供FPGA的應(yīng)用者、供應(yīng)商或者管理者使用，從而很難確定在什么條件下、哪些設(shè)計或鑒定需求應(yīng)該被使用以及FPGA的開發(fā)流程需要包括哪些環(huán)節(jié)等內(nèi)容。

為了更好地指導(dǎo)和規(guī)范采用FPGA技術(shù)進行反應(yīng)堆保護系統(tǒng)的設(shè)計及驗證等方面的工作，NRC已經(jīng)公布了核電廠安全系統(tǒng)中FPGA設(shè)計時的參考文件NUREG/CR-7006[4]。這份文件把FPGA設(shè)計實踐分為3個主要部分：FPGA硬件設(shè)計、FPGA設(shè)計入口方法和FPGA設(shè)計方法學(xué)。在這3個主要部分中，進一步從可靠性、魯棒性、可跟蹤性、可維護性4個方面進行了詳細的說明和規(guī)定。這份報告不僅僅闡述了采用FPGA進行設(shè)計時可能遇到的問題，而且提出了安全系統(tǒng)設(shè)計中可以接受的FPGA設(shè)計。另外，這份報告也提出了一份設(shè)計生命周期的綱要，可以被基于FPGA的安全系統(tǒng)的設(shè)計者作為參考。根據(jù)這份文件及其相關(guān)的標準和法規(guī)等資料，可以高效、可靠地設(shè)計出實現(xiàn)反應(yīng)堆保護系統(tǒng)中的超溫、超壓等保護算法以及串行通信協(xié)議等功能模塊。

1.4 統(tǒng)計學(xué)方法 采用SPSS 22.0軟件處理，計數(shù)資料以（%）表示采用 χ2檢驗，計量資料以（）表示采用獨立樣本t檢驗，P＜0.05為差異有統(tǒng)計學(xué)意義。

為了全面地考慮基于FPGA的保護系統(tǒng)的設(shè)計過程中硬件平臺、測試、驗證和確認等方面的工作，這里嘗試性地提出了基于FPGA技術(shù)的保護系統(tǒng)設(shè)計中要遵守的各種導(dǎo)則和標準及其中的邏輯關(guān)系如圖1所示，以便于有效地減少保護系統(tǒng)升級和新電廠實施的技術(shù)和管理風險以及成本。

在圖1中，處于最上層的是NRC的各種設(shè)計導(dǎo)則，用于提出反應(yīng)堆保護系統(tǒng)設(shè)計最高層次的需求。接著這些導(dǎo)則中規(guī)定了保護系統(tǒng)設(shè)計、測試、鑒定等環(huán)節(jié)中需要遵守的各種標準和文件[5-11]。對于基于FPGA保護系統(tǒng)設(shè)計來說，重點要關(guān)注和遵守NUREG/CR-7006和EPRI TR-1019181等新出現(xiàn)的與FPGA設(shè)計相關(guān)的標準和文件[4，11]。此外，也要特別注意關(guān)于FPGA設(shè)計的其他相關(guān)標準，這些標準已經(jīng)應(yīng)用于其他領(lǐng)域，對于FPGA在保護系統(tǒng)中的應(yīng)用也有很重要的指導(dǎo)作用[12-13]。在對這些標準和文件進行分析、總結(jié)的基礎(chǔ)上，結(jié)合具體的核反應(yīng)堆的特性，提出反應(yīng)堆保護系統(tǒng)的系統(tǒng)級設(shè)計需求。反應(yīng)堆保護系統(tǒng)設(shè)計需求主要包含單一失效準則、獨立性準則、可用率和可靠性等方面的通用設(shè)計需求，也包含電磁兼容性鑒定、電源與地、外部接口等方面的高層次的需求。這種需求可以作為設(shè)計反應(yīng)堆保護系統(tǒng)的高層次的指導(dǎo)性文件。在對系統(tǒng)級設(shè)計需求進行分析總結(jié)的基礎(chǔ)上，可對系統(tǒng)需求進行細化，提出保護系統(tǒng)的停堆功能規(guī)范、啟動保護功能規(guī)范及超功率保護功能規(guī)范等，從而可以指導(dǎo)保護系統(tǒng)的詳細設(shè)計。

圖1 基于EPGA的反應(yīng)堆保護系統(tǒng)設(shè)計流程（系統(tǒng)級設(shè)計）Fig.1 Design process of the reactor protection system based on FPGA

4 基于FPGA的數(shù)字化獨立驗證和確認

為了保證所開發(fā)的保護系統(tǒng)可靠地實現(xiàn)所定義的保護功能，需要對整個設(shè)計流程進行獨立驗證和確認（Independent Verif i cation and Validation，IV&V）[10]。獨立驗證和確認技術(shù)作為系統(tǒng)工程學(xué)的一個技術(shù)分支，貫穿于系統(tǒng)開發(fā)整個過程，在核電廠的開發(fā)設(shè)計中正發(fā)揮著關(guān)鍵作用。IV&V活動是有計劃的活動，計劃應(yīng)包括軟件IV&V標準體系、工作過程與管理模式、數(shù)字化儀控系統(tǒng)及設(shè)備的IV&V技術(shù)和應(yīng)用、人因IV&V與軟件IV&V技術(shù)的結(jié)合及核電廠安全級軟件供應(yīng)商質(zhì)量管理體系研究等多方面的內(nèi)容。

FPGA的開發(fā)過程需要采用復(fù)雜的軟件工具來進行，因此雖然FPGA提供的是僅包含硬件而沒有實時操作軟件的產(chǎn)品，但是對其進行驗證和確認時，可采用類似于軟件開發(fā)過程的法規(guī)評審的方式來進行。基于軟件系統(tǒng)所使用的許多相同的標準和導(dǎo)則在進行一些修改后可應(yīng)用于FPGA系統(tǒng)，這一點在世界范圍內(nèi)逐漸達成共識。對于保護系統(tǒng)進行安全相關(guān)或關(guān)鍵的分析時，也可以應(yīng)用已有的標準和導(dǎo)則來進行。

在進行保護系統(tǒng)的IV&V活動時需要滿足以下要求[14]：

2）由IV&V小組制訂符合國家規(guī)范、標準要求的IV&V計劃。

3）IV&V計劃相關(guān)人員的職責、權(quán)限及相互關(guān)系。

4）IV&V計劃應(yīng)確定需要的開發(fā)過程，每個階段的供驗證的輸出文件。

5）清晰地制定IV&V管理規(guī)程以解決開發(fā)過程中出現(xiàn)的問題。

5 結(jié)束語

FPGA技術(shù)作為一種采用全硬件方式的數(shù)字技術(shù)，可以簡潔高效地實現(xiàn)所定義的功能模塊。這種技術(shù)克服了CPU技術(shù)需要采用操作系統(tǒng)和應(yīng)用軟件等中間層次的不足，可有效地降低系統(tǒng)發(fā)生共因故障的可能性和概率?；贔PGA的反應(yīng)堆保護系統(tǒng)可滿足現(xiàn)代社會對核電機組提出的越來越高的安全性和可靠性方面的要求，從而為核電機組的安全運行保駕護航，使核能真正成為一種清潔安全的高效能源。

[1] Karstens F, Trippel S. Programmable Trigger Logic Unit Based on FPGA Technology[J]. IEEE Transactions on Nuclear Science, 2005, 52（4）:1192-1195.

[2] ANSI/VITA 57.1-2008, FPGA Mezzanine Card (FMC) Standard[S].

[3] Martin Mason. Flash FPGA、ASIC、SRAM FPGA，你選擇誰[J]. 今日電子, 2005, (5): 57-58.（Martin Mason. Flash FPGA, ASIC, SRAM FPGA, Whom Do You Choose[J] Today's Electron, 2005,（5）: 57-58.）

[4] NUREG/CR-7006, Review Guidelines for Field Programmable Gate Arrays in Nuclear Power Plant Safety Systems[S].

[5] R. G. 1.152，Regulatory Guide 1.152 Criteria for Digital Computers in Safety Systems of Nuclear Power Plants[S].

[6] R. G. 1.151, Instrument Sensing Line[S].

[7] R. G. 1.168, Verif i cation, Validation, Reviews, And Audits For Digital Computer Software Used in Safety Systems of Nuclear Power Plants[S].

[8] IEEE Std. 7-4.3.2-1993, IEEE Standard Criteria for Digital Computers in Safety Systems of Nuclear Power Generating Stations[S].

[9] IEEE Std. 603-1991, Standard Criteria for Safety Systems for Nuclear Power Generating Stations [S].

[10] IEEE Std. 1012-1998, IEEE Standard for Software Verif i cation and Validation[S].

[11] EPRI TR-1019181-2009, Guidelines on the Use of Field Programmable Gate Arrays in Nuclear Power Plant I&C Systems[S].

[12] RTCA DO-254/EUROCAE ED-80, Design Assurance Guidance for Airborne Electronic Hardware[S].

[13] IEC 61508-2, Functional safety of electrical/electronic/ programmable electronic (E/E/PE) safety-related systems[S].

[14] 龔益. 核電廠安全系統(tǒng)軟件驗證和確認方法探索[J].低壓電器, 2004, (5): 27-30, 57.（GONG Yi. Discussion on nuclear power plant safety system software V&V methods[J]. Low Voltage Electrics, 2004,（5）:27-30, 57.）

Study on FPGA Application in the Protection System of Nuclear Power Plants

ZHANG Jian, CHEN Jian-ping
（State Nuclear Power Automation System Engineering Co., Ltd., Shanghai 200241, China）

The reactor protection system in nuclear power plant is developed based on the CPU in general. It increases the likelihood of common cause failure and decreases reliability and safety of nuclear power plant since the protection system includes the operating system and the application software and so on. The different between the FPGA and the CPU is presented to illustrate the advantage of FPGA in the protection system. In addition, the critical processes are proposed to develop the reactor protection system based on FPGA. The important instructions are also summarized to test and verify the protection system based on FPGA.

reactor protection system；FPGA；CPU；common cause failure

TL36Article character：A

1674-1617(2013)03-0216-05

TL36

A

1674-1617(2013)03-0216-05

2013-04-14

張 堅（1976—），山西人，博士，高級工程師，從事基于FPGA的保護系統(tǒng)研發(fā)。