成衛(wèi)東 ，劉 云 ，，冷 杉

（1.西門子電站自動(dòng)化有限公司，江蘇 南京 211000；2.東南大學(xué) 能源與環(huán)境學(xué)院，江蘇 南京 210096）

0 引言

安全是核電廠設(shè)計(jì)、運(yùn)行和維護(hù)技術(shù)的核心問題。數(shù)字化安全儀控系統(tǒng)TXS對(duì)核電廠實(shí)施安全保護(hù)和控制，實(shí)現(xiàn)對(duì)核電廠反應(yīng)性控制、確保堆芯冷卻以及包容放射性產(chǎn)物等安全功能。TXS自身的可靠性對(duì)核電廠安全、經(jīng)濟(jì)運(yùn)行影響極大：誤動(dòng)信號(hào)導(dǎo)致核電廠的虛假保護(hù)動(dòng)作，產(chǎn)生安全隱患；拒動(dòng)信號(hào)導(dǎo)致核電廠保護(hù)在異常工況下不能正常啟動(dòng)，這是一種危險(xiǎn)性故障，嚴(yán)重影響系統(tǒng)或設(shè)備的安全[1-3]。

為了保證核電廠TXS的可靠性，其采用實(shí)體隔離的四重冗余（通道 E、F、G、H）設(shè)計(jì)，以滿足單一故障準(zhǔn)則。為了降低共因故障的可能性，TXS采用2個(gè)多樣性序列A、B，2個(gè)序列盡可能采用不同的觸發(fā)參數(shù)、處理邏輯和測(cè)量?jī)x表。

除了在硬件設(shè)備上采用多樣性原則以降低和避免共模故障影響外[4-5]，①EDF Framatome Sofinel.Probability safety assessment of China national pressurized water reactor 1000MW.1999.，TXS 通過合理規(guī)劃軟件功能提高系統(tǒng)整體可靠性[6-8]。TXS的控制功能組態(tài)軟件是加載到各分布式控制器中運(yùn)行的，控制器的加載分布策略會(huì)影響系統(tǒng)整體可靠性，需有量化的結(jié)果。

1 控制器分布規(guī)律

TXS的控制結(jié)構(gòu)見圖1，按功能分為4個(gè)部分。

a.信號(hào)采集：接收來自各自冗余通道的獨(dú)立變送器信號(hào)，并進(jìn)行預(yù)處理。

b.數(shù)據(jù)邏輯處理：將采集的模擬量信號(hào)經(jīng)限值等運(yùn)算轉(zhuǎn)換為保護(hù)指令信號(hào)。

c.數(shù)據(jù)邏輯表決：將4個(gè)通道的保護(hù)指令進(jìn)行4取2表決，然后將指令輸出到相應(yīng)的機(jī)柜/開關(guān)柜驅(qū)動(dòng)各自的執(zhí)行機(jī)構(gòu)。

d.信號(hào)監(jiān)視和服務(wù)：監(jiān)測(cè)某些中間信號(hào)。

上述4種控制邏輯被分別下載到不同的控制器中，以達(dá)到分布式控制的作用。

圖1 TXS的功能結(jié)構(gòu)圖Fig.1 Functional structure of TXS

TXS的組態(tài)被分成功能圖組FDG（Functional Diagram Group）下載到分布式控制器中。如某核電廠的TXS中反應(yīng)堆保護(hù)系統(tǒng)就包括73個(gè)FDG組態(tài)數(shù)據(jù)包，分別按1～73編號(hào)，其分布規(guī)律如下：各通道內(nèi)的2個(gè)多樣性序列中，各分布2個(gè)FDG進(jìn)行信號(hào)采集及處理邏輯、3個(gè)FDG處理表決及輸出邏輯；另外每通道還各分布5個(gè)FDG以監(jiān)測(cè)本通道相關(guān)參數(shù)并傳送至信號(hào)監(jiān)測(cè)與服務(wù)單元；剩余13個(gè)FDG完成四通道兩序列監(jiān)測(cè)信號(hào)的綜合處理功能。TXS的FDG分布如表1所示，表中A、B對(duì)應(yīng)序列A、B。

表1 TXS安全保護(hù)功能的FDG分布Tab.1 FDG distribution of TXS safety protection function

2 控制器可靠性自動(dòng)建模

為了分析TXS控制器分布的可靠性，本文采用Risk Spectrum（簡(jiǎn)稱RS）程序建立故障樹模型并進(jìn)行定量分析[9-11]，該程序采用 RSMCS算法和“下行法”運(yùn)算法則，需構(gòu)建體現(xiàn)故障樹特點(diǎn)的結(jié)構(gòu)，從而得到最小割集 MCS（Minimal Cut Set）①RELCON A B.Risk spectrum theory manual.1998.。

TXS信號(hào)采集部分的硬件包括信號(hào)采集模塊SAA1、信號(hào)分配模塊SNV1、模擬量輸入模塊S466；邏輯處理和表決部分的硬件包括處理器模塊SVE1或SVE2、通信模塊SL21、光電轉(zhuǎn)換模塊SLLM、通信接口模塊SK01、擴(kuò)展接口模塊SBU1、數(shù)字量輸出模塊S451、通信處理器模塊SCP1和子機(jī)架SBG1或SBG2，每個(gè)多樣性序列形成的驅(qū)動(dòng)信號(hào)經(jīng)過二極管后進(jìn)入AV42優(yōu)選模塊驅(qū)動(dòng)相關(guān)部件動(dòng)作。只有當(dāng)2個(gè)多樣性序列的表決器全部失效時(shí)，安全功能才會(huì)失效。

TXS控制器的功能組態(tài)和分布十分復(fù)雜，人工建立故障樹模型不僅費(fèi)時(shí)費(fèi)力，且無法使故障樹模型的風(fēng)格、編碼、假設(shè)以及其他在建模中需要考慮的因素保持一致，同時(shí)會(huì)存在相當(dāng)多的人為錯(cuò)誤。因此，為了簡(jiǎn)化故障樹建模工作，本文采用ActiveX控件開發(fā)技術(shù)和Visio二次開發(fā)技術(shù)對(duì)TXS硬件設(shè)備進(jìn)行圖形化組態(tài)和拓?fù)浣Y(jié)構(gòu)程序分析，完成故障樹自動(dòng)建模。這樣可以提高故障樹建模效率，簡(jiǎn)化故障樹建模的工作。

Visio具有良好的圖形界面和開放性，本文利用Visio二次開發(fā)機(jī)制并對(duì)其定制，實(shí)現(xiàn)組態(tài)信息自動(dòng)建模功能[12-13]。為了實(shí)現(xiàn)控制器可靠性自動(dòng)建模軟件與RS軟件平臺(tái)數(shù)據(jù)共享，需要將VSD格式的圖形文件進(jìn)行組態(tài)信息提取、簡(jiǎn)析，并生成RS接口文件，以便導(dǎo)入RS軟件中進(jìn)行故障樹的自動(dòng)生成和可靠性參數(shù)的量化分析。

RS軟件接口文件由故障樹及轉(zhuǎn)移門記錄、基本事件記錄、門記錄和可靠性參數(shù)記錄4個(gè)部分組成。每條記錄中包含了多個(gè)不同類型的數(shù)據(jù)項(xiàng)，因此為每種記錄定義了一個(gè)結(jié)構(gòu)體，并利用動(dòng)態(tài)鏈表將結(jié)構(gòu)體類型數(shù)據(jù)按照一定的原則連接起來，最后通過讀取鏈表中的節(jié)點(diǎn)數(shù)據(jù)輸出RS接口文件。相關(guān)程序流程圖如圖2所示。

3 控制器分布可靠性分析

以高壓安全注入（下文簡(jiǎn)稱安注）系統(tǒng)儀控功能BA11為例，其功能邏輯如圖3所示，控制器分布如下。

a.多樣性序列A：激發(fā)高壓安全注入功能的輸出信號(hào)被啟動(dòng)，當(dāng)操縱員發(fā)出命令，或冷卻劑熱段溫度高于150℃且一回路冷卻劑的過冷度（反應(yīng)堆內(nèi)偏離冷卻劑沸騰溫度）Δt＜10℃時(shí)，使用傳感器組A。四通道相關(guān)邏輯分別下載在控制器1、25、44、59中。

圖2 組態(tài)信息自動(dòng)建模功能程序流程圖Fig.2 Flowchart of automatic modeling for configuration information

b.多樣性序列B：激發(fā)高壓安全注入功能的輸出信號(hào)被啟動(dòng)，當(dāng)安全殼內(nèi)大氣壓力高于0.129 MPa或操縱員發(fā)出命令時(shí)，使用傳感器組B。四通道相關(guān)邏輯分別下載在功能控制器3、27、46、61中。

c.四通道產(chǎn)生的邏輯信號(hào)經(jīng)4取2表決后輸入AV42模塊并驅(qū)動(dòng)相關(guān)閥門開關(guān)及安注泵啟動(dòng)，其中序列A表決邏輯分布在控制器5、33、48、63中，序列B表決邏輯分布在控制器 6、34、49、64中。

根據(jù)TXS的硬件結(jié)構(gòu)結(jié)合BA11功能邏輯，以及本文開發(fā)的控制器可靠性自動(dòng)建模軟件，設(shè)計(jì)了通道E的儀控功能組態(tài)圖如圖4所示。

利用該軟件在RS程序中自動(dòng)建立以“高壓安注啟動(dòng)信號(hào)（BA11信號(hào)）失效”為頂事件的故障樹模型。由于篇幅限制，本文只給出部分故障樹圖如圖5所示。

圖3 高壓安注系統(tǒng)BA11功能的邏輯圖Fig.3 Logic of function module BA11 of HP-injection system

圖4 BA11功能組態(tài)邏輯圖（通道E）Fig.4 Configuration logic of BA11（channel E）

圖5 BA11功能失效故障樹Fig.5 Fault tree of BA11 failure

量化結(jié)果舉例：計(jì)算得到通道E高壓安注儀控功能的平均不可用度為8.05×10-4。同時(shí)可以得到對(duì)通道E高壓安注儀控功能失效貢獻(xiàn)最高的10個(gè)最小割集 MCS（Minimal Cut Set）如表 2所示。

表2 高壓安注儀控功能的不可用度Tab.2 Unavailability of HP-injection system

從表2可以看出，通道E高壓安注儀控功能的不可用度前10位最小割集占總不可用率的28.12%。貢獻(xiàn)最大的設(shè)備是二極管元件和AV42優(yōu)選模塊，其中共有24個(gè)AV42模塊，對(duì)系統(tǒng)失效貢獻(xiàn)達(dá)到64.32%。

a.分布策略1。從圖1可知，安注系統(tǒng)儀控功能可以分為現(xiàn)場(chǎng)數(shù)據(jù)（壓力、溫度）的采集、功能邏輯運(yùn)算及表決輸出3個(gè)部分，若將3個(gè)部分功能分別加載到不同的控制器中，將能提高系統(tǒng)的響應(yīng)時(shí)間。利用本文開發(fā)的軟件，可以得到通道E高壓安注儀控功能的平均不可用度為8.12×10-4，對(duì)比原有設(shè)計(jì)，可靠性降低了0.87%。

b.分布策略2?？刂破鳎⊿VE2）之間通過通信模塊SL21、光電轉(zhuǎn)換模塊SLLM傳輸數(shù)據(jù)，這些模塊對(duì)系統(tǒng)可靠性產(chǎn)生消極影響。將2個(gè)控制器的功能邏輯加載到同一個(gè)控制器中完成，這樣可以減少系統(tǒng)模塊的使用數(shù)量，從而減小系統(tǒng)的不可用度。設(shè)計(jì)對(duì)應(yīng)的組態(tài)邏輯圖，可以得到通道E高壓安注儀控功能的平均不可用度為7.76×10-4，比原有設(shè)計(jì)降低了3.6%。

對(duì)比原有的控制器分布策略量化結(jié)果，本文提出的2種分布策略的高壓安注系統(tǒng)儀控功能的不可用度前10位最小割集分布尚能保持一致，處在安全范圍之內(nèi)。

4 結(jié)語

TXS采用分布式控制器實(shí)現(xiàn)安全儀控功能，本文深入研究了其分布規(guī)律。為了簡(jiǎn)化分布式控制器可靠性研究的故障樹建模工作，本文運(yùn)用ActiveX控件技術(shù)和Visio二次開發(fā)技術(shù)專門開發(fā)了圖形化的控制器可靠性自動(dòng)建模軟件。

以高壓安注儀控功能為例，分析了TXS控制器不同分布策略下的可靠性，為安全儀控系統(tǒng)的可靠設(shè)計(jì)和組態(tài)提供了量化的結(jié)果。