北京廣利核系統(tǒng)工程有限公司 李靜霞

北京航空航天大學(xué) 于勁松

核電站安全級(jí)DCS缺陷危害性分級(jí)的研究與應(yīng)用

北京廣利核系統(tǒng)工程有限公司 李靜霞

北京航空航天大學(xué) 于勁松

針對(duì)目前核電站安全級(jí)DCS缺陷危害性分級(jí)方法缺失的現(xiàn)狀，利用FMEA技術(shù)對(duì)核電站安全級(jí)DCS進(jìn)行分析，從功能可靠性的角度識(shí)別出所有可能的失效模式，確定引發(fā)失效的故障原因及影響程度等信息。在傳統(tǒng)FMEA分析的基礎(chǔ)上加入危害性分析，提出一種基于系統(tǒng)最終用戶需求定量確定核電站安全級(jí)DCS缺陷等級(jí)的方法；結(jié)合人工智能技術(shù)，開(kāi)發(fā)了缺陷分級(jí)軟件。實(shí)例應(yīng)用表明此法分級(jí)準(zhǔn)確，效果良好。

FMEA；危害性等級(jí)；人工智能

福島核事故引發(fā)的嚴(yán)重后果在全球引起了劇烈的震動(dòng)，對(duì)于核電安全的關(guān)注達(dá)到了一個(gè)新的高度。反應(yīng)堆保護(hù)系統(tǒng)是探測(cè)核電站偏離可接受狀態(tài)并發(fā)出指令維持核電站安全的重要系統(tǒng)，當(dāng)控制系統(tǒng)不能維持電站變量在容許值以內(nèi)時(shí)，用來(lái)維持核電站的安全。安全級(jí)數(shù)字化儀控系統(tǒng)（DCS, Digital Control System）是反應(yīng)堆保護(hù)系統(tǒng)的控制系統(tǒng)，它對(duì)核電站反應(yīng)堆的安全狀況進(jìn)行監(jiān)控，對(duì)維持核電站安全狀態(tài)極為重要。因此，安全級(jí)DCS的可靠性成為核電站安全功能正確執(zhí)行的重要環(huán)節(jié)。

缺陷在軟件開(kāi)發(fā)過(guò)程中難以避免，基于計(jì)算機(jī)的安全級(jí)DCS大部分功能由軟件實(shí)現(xiàn)。核電站安全級(jí)DCS執(zhí)行功能特殊，其缺陷引發(fā)的失效可能導(dǎo)致核泄漏等危及公眾生命安全的嚴(yán)重事故。為保證核電站安全級(jí)DCS的可靠性，必須對(duì)缺陷進(jìn)行有效管理。危害性（Criticality）是對(duì)缺陷發(fā)生概率及其引發(fā)的后果等影響系統(tǒng)可靠性的因素[1]的綜合度量，是核電站安全級(jí)DCS缺陷極為重要的屬性。目前，行業(yè)中尚無(wú)對(duì)核電站安全級(jí)DCS缺陷危害性分級(jí)方法的指導(dǎo)。本文利用FMEA技術(shù)對(duì)安全級(jí)DCS進(jìn)行分析，在FMEA基礎(chǔ)上引入危害性分析，提出一種基于最終用戶需求確定缺陷危害性等級(jí)的方法；結(jié)合人工智能技術(shù)，開(kāi)發(fā)了安全級(jí)DCS缺陷分級(jí)的專(zhuān)家系統(tǒng)。并以某百萬(wàn)千瓦壓水堆（CPR1000型）核電站安全級(jí)DCS缺陷分級(jí)過(guò)程為例，說(shuō)明本分級(jí)方法和過(guò)程，證明其實(shí)用性。

1 FMEA技術(shù)

失效模式及影響分析（Failure Modes and Effect Analysis, FMEA），是一種前瞻性的可靠性分析和安全性評(píng)估方法，通過(guò)分析系統(tǒng)中每一個(gè)潛在的失效模式，確定其對(duì)系統(tǒng)所產(chǎn)生的影響，評(píng)估其風(fēng)險(xiǎn)，從而預(yù)先采取措施，將風(fēng)險(xiǎn)消除或減小到可接受的水平。FMEA技術(shù)始于上世紀(jì)中期，目前已廣泛應(yīng)用于航空航天、核工業(yè)、汽車(chē)、醫(yī)療等行業(yè)，充分顯示了其在安全可靠性評(píng)估方面的價(jià)值。

FMEA分為部件法和功能法兩種，核電站用戶的關(guān)注點(diǎn)在于保護(hù)功能的正確實(shí)現(xiàn)。因此，本文的FMEA采用功能法來(lái)實(shí)施，主要包含以下步驟[2]，如圖1所示。

圖1 FMEA主要步驟

2 基于FMEA的核電站安全級(jí)DCS缺陷分級(jí)

2.1系統(tǒng)定義

系統(tǒng)定義的首要任務(wù)是分析了解目標(biāo)系統(tǒng)。核電站通常在既有的成熟安全級(jí)數(shù)字化儀控平臺(tái)上搭建滿足單一故障準(zhǔn)則、獨(dú)立性、故障安全[4]等設(shè)計(jì)準(zhǔn)則的反應(yīng)堆數(shù)字化控制保護(hù)系統(tǒng)，利用平臺(tái)自帶的模塊庫(kù)，對(duì)現(xiàn)場(chǎng)傳感器采集的過(guò)程信號(hào)進(jìn)行相應(yīng)處理和符合邏輯判斷，實(shí)現(xiàn)對(duì)跳堆（Reactor Trip，RT）功能和專(zhuān)設(shè)安全設(shè)施驅(qū)動(dòng)（Engineered Safeguard Feature，ESF）功能的邏輯控制。

2.2確定分析的約定層次

根據(jù)安全級(jí)DCS的功能需求，可以將安全級(jí)DCS功能劃分為圖2所示的四個(gè)約定層次，其中，初始約定層次即安全級(jí)DCS自身，第二個(gè)約定層次為系統(tǒng)所要完成的安全動(dòng)作，第三個(gè)約定層次觸發(fā)安全動(dòng)作的“局部脫扣”條件，最低約定層次是構(gòu)成每個(gè)“局部脫扣”條件的系統(tǒng)模塊。將分析的約定層次確定為第三個(gè)層次，即分析對(duì)象是所有觸發(fā)安全動(dòng)作的“局部脫扣”條件。

圖2 安全級(jí)DCS功能層次圖

2.3確定失效模式及其原因

分析失效模式及其原因是FMEA關(guān)鍵的一步。對(duì)核電站安全級(jí)DCS而言，根據(jù)其功能需求對(duì)可能的失效的發(fā)生方式進(jìn)行歸類(lèi)，得到相應(yīng)的失效模式[3]。數(shù)字化儀控系統(tǒng)的失效多是設(shè)計(jì)缺陷造成的，與其功能和使用方式有關(guān)，故失效模式較為復(fù)雜。因此需要分析者在汲取多方面經(jīng)驗(yàn)的基礎(chǔ)上，針對(duì)具體的應(yīng)用進(jìn)行分析。為了防止單憑人員經(jīng)驗(yàn)分析而造成的人為遺漏影響失效模式的全面性和準(zhǔn)確性，在確定失效模式時(shí)，將由以下途徑獲取的數(shù)據(jù)作為重要參考。

（1）國(guó)內(nèi)外標(biāo)準(zhǔn)及其他行業(yè)失效數(shù)據(jù)庫(kù)。盡管基于計(jì)算機(jī)的大型系統(tǒng)呈現(xiàn)出功能錯(cuò)綜復(fù)雜、失效模式繁多等特點(diǎn)，國(guó)內(nèi)外的相關(guān)標(biāo)準(zhǔn)還是對(duì)其通用失效模式進(jìn)行了描述，其分類(lèi)方法可以指導(dǎo)核電站安全級(jí)DCS失效模式的分析。不同行業(yè)在使用FMEA方法進(jìn)行分析時(shí)也形成了適于本行業(yè)的相關(guān)標(biāo)準(zhǔn)、總結(jié)性文件甚至失效數(shù)據(jù)庫(kù)，其中的失效模式也可以參考[5～8]。如IEEE1044是國(guó)際上具有較高公信度的軟件異常分類(lèi)方法，可作為失效模式的參考；GJB/Z1391-2006中給出了嵌入式系統(tǒng)FMEA的分析方法，其失效模式可根據(jù)核電站安全級(jí)DCS的特點(diǎn)進(jìn)行選??；SAE和MIL系列汽車(chē)與軍事等行業(yè)標(biāo)準(zhǔn)和手冊(cè)中基于計(jì)算機(jī)的自動(dòng)化系統(tǒng)功能失效模式的定義方法以及相關(guān)的失效模式可以適當(dāng)借鑒。

（2）以往項(xiàng)目的失效數(shù)據(jù)。在工程實(shí)踐中，工程人員將以往核電站安全級(jí)DCS的分析經(jīng)驗(yàn)和積累的失效案例加以總結(jié)，歸納出失效模式，形成了基礎(chǔ)失效數(shù)據(jù)庫(kù)。失效數(shù)據(jù)的收集貫穿從最初的產(chǎn)品需求、產(chǎn)品設(shè)計(jì)等階段直至現(xiàn)場(chǎng)調(diào)試過(guò)程及運(yùn)行階段。

（3）專(zhuān)家經(jīng)驗(yàn)。組織包括系統(tǒng)、設(shè)計(jì)、工藝、質(zhì)量、V&V、現(xiàn)場(chǎng)服務(wù)等不同崗位經(jīng)驗(yàn)豐富的工程師參與自由討論，從不同的視角對(duì)核電站安全級(jí)DCS的失效模式進(jìn)行補(bǔ)充。

通過(guò)分析每個(gè)“局部脫扣”信號(hào)的產(chǎn)生過(guò)程所涉及的各個(gè)邏輯處理單元，結(jié)合上述途徑獲取的數(shù)據(jù)，對(duì)核電站安全級(jí)DCS的失效模式和原因（缺陷）進(jìn)行分類(lèi)，形成具有相對(duì)功能集中的失效模式集合，見(jiàn)表1。隨著后續(xù)項(xiàng)目的推進(jìn)和失效分析的進(jìn)一步研究，新的失效模式通過(guò)固定渠道實(shí)現(xiàn)有效的反饋，表中數(shù)據(jù)會(huì)在工程實(shí)踐中不斷更新、完善。

表1 核電站安全級(jí)DCS失效模式及原因

2.4分析失效模式影響及缺陷危害性等級(jí)

分析失效模式影響，核電站安全級(jí)DCS失效影響分為局部影響、擴(kuò)展影響和最終影響（嚴(yán)酷程度）。其中，局部影響為失效模式對(duì)本模塊所在功能的影響，擴(kuò)展影響為對(duì)其它調(diào)用此模塊的功能的影響，最終影響為對(duì)整個(gè)系統(tǒng)功能的綜合影響。局部影響和最終影響分為致命、嚴(yán)重、一般、輕微影響，擴(kuò)展影響只需填寫(xiě)無(wú)影響、影響1E功能、影響NC功能三種，最終影響在綜合考慮局部影響和擴(kuò)展影響的基礎(chǔ)上得到。

在FMEA的基礎(chǔ)上，根據(jù)缺陷的嚴(yán)酷程度、在功能執(zhí)行過(guò)程中發(fā)生的可能性和在產(chǎn)品開(kāi)發(fā)過(guò)程中的發(fā)現(xiàn)難度，計(jì)算風(fēng)險(xiǎn)優(yōu)先數(shù)（RPN)，根據(jù)RPN的大小對(duì)缺陷危害性進(jìn)行分級(jí)。RPN由失效模式的嚴(yán)酷度等級(jí)（S）、失效模式的發(fā)生概率等級(jí)（O）和失效模式的被檢測(cè)難度等級(jí)（D）的乘積計(jì)算得出，即： RPN=S×O×D。

根據(jù)缺陷分級(jí)的基本原理，總結(jié)出利用FMEA實(shí)現(xiàn)缺陷分級(jí)的基本流程，如圖3所示。

圖3 缺陷危害性分級(jí)流程

結(jié)合核電站安全級(jí)DCS特點(diǎn)，對(duì)此公式加以修正使用：

S0、O、D的取值區(qū)間均為[0，10]；m取值為1或1.2，擴(kuò)展影響為1E功能時(shí)m值取1.2，其余情況取1；不同的缺陷和失效影響對(duì)應(yīng)的S0、O、D、m分值由安全級(jí)DCS相關(guān)領(lǐng)域?qū)＜以u(píng)估得到，形成失效數(shù)據(jù)評(píng)分表。

a、b、c為各個(gè)因素的占比因子，取值范圍為[0，1]，用以調(diào)整每個(gè)因素在計(jì)算RPN時(shí)的度量程度，由核電站安全級(jí)DCS相關(guān)管理人員確定。

由RPN數(shù)值的大小，確定各個(gè)缺陷的危害性等級(jí)。根據(jù)以往工程實(shí)踐，將危害度劃分為4個(gè)等級(jí)：Ⅰ、Ⅱ、Ⅲ、Ⅳ，Ⅰ級(jí)危害性最大，Ⅳ級(jí)危害性最小。每個(gè)危害性等級(jí)有其獨(dú)立的RPN取值區(qū)間，區(qū)間劃分由RPN分值排隊(duì)決定，滿足無(wú)縫隙、無(wú)覆蓋原則。當(dāng)占比因子的取值變化時(shí)，相應(yīng)的危害性等級(jí)RPN取值區(qū)間也會(huì)相應(yīng)改變。

2.5缺陷分級(jí)專(zhuān)家系統(tǒng)設(shè)計(jì)

為了更好更有效地應(yīng)用FMEA的成果，本文提出一種方法，將知識(shí)庫(kù)和人工智能理論運(yùn)用到利用FMEA進(jìn)行缺陷分級(jí)的方法中，借助專(zhuān)家系統(tǒng)確定缺陷的風(fēng)險(xiǎn)優(yōu)先數(shù)，進(jìn)而確定缺陷的危害性等級(jí)，專(zhuān)家系統(tǒng)的結(jié)構(gòu)設(shè)計(jì)圖如圖4所示。

圖4 專(zhuān)家系統(tǒng)框架圖

系統(tǒng)采用基于B/S的三層架構(gòu)，包括接口層、應(yīng)用層和數(shù)據(jù)層。

接口層將廣為應(yīng)用的WEB瀏覽器作為媒介，提供用戶與專(zhuān)家系統(tǒng)的交互界面。支持異地操作，方便普通用戶隨時(shí)隨地登陸系統(tǒng)，通過(guò)輸入、選擇必要的缺陷輸入信息，得到系統(tǒng)輸出的缺陷危害性等級(jí)；維護(hù)人員可通過(guò)此接口完成缺陷等級(jí)查詢、新失效模式相關(guān)信息的錄入和權(quán)限管理操作。

應(yīng)用層是系統(tǒng)的“大腦”，主要實(shí)現(xiàn)權(quán)限管理、FMEA數(shù)據(jù)管理、缺陷分級(jí)推理三塊功能。權(quán)限管理為不同用戶配置其應(yīng)有的操作權(quán)限，以確保知識(shí)庫(kù)和專(zhuān)家系統(tǒng)的安全性及數(shù)據(jù)的正確性；FMEA數(shù)據(jù)管理幫助維護(hù)人員實(shí)現(xiàn)對(duì)專(zhuān)家知識(shí)庫(kù)中的數(shù)據(jù)進(jìn)行錄入更新等維護(hù)工作；缺陷分級(jí)推理完成（如圖3所示）由用戶輸入失效模式、缺陷等信息推理計(jì)算出缺陷相應(yīng)的缺陷危害性等級(jí)的功能。

數(shù)據(jù)層是系統(tǒng)的存儲(chǔ)區(qū)，分為權(quán)限庫(kù)和專(zhuān)家知識(shí)庫(kù)兩部分。權(quán)限庫(kù)用于存儲(chǔ)用戶及其權(quán)限信息；專(zhuān)家知識(shí)庫(kù)存儲(chǔ)FMEA數(shù)據(jù)、專(zhuān)家評(píng)分以及RPN缺陷等級(jí)區(qū)間等信息。

3 應(yīng)用過(guò)程

選取某百萬(wàn)千瓦壓水堆（CPR1000型）核電站 “跳堆”功能的源量程中子通量高跳堆“局部脫扣”邏輯（如圖5所示）為例，說(shuō)明安全級(jí)DCS缺陷分級(jí)過(guò)程。

圖5源量程中子通量高跳堆“局部脫扣”條件

根據(jù)前文所述的安全級(jí)DCS失效模式及原因等，分析本邏輯中可能存在的缺陷及失效模式等信息，填入表2源量程中子通量高FMEA表中。

根據(jù)傳感器特性，源量程中子通量信號(hào)輸入進(jìn)來(lái)需要經(jīng)過(guò)取對(duì)數(shù)處理，若此邏輯在開(kāi)發(fā)過(guò)程中被發(fā)現(xiàn)存在缺陷，這個(gè)缺陷屬于模塊類(lèi)型錯(cuò)誤，失效模式為邏輯錯(cuò)誤，局部影響為致命，無(wú)擴(kuò)展影響。通過(guò)查找失效數(shù)據(jù)評(píng)分表中的對(duì)應(yīng)專(zhuān)家評(píng)分，可知S=10，O=10，D=4，顧及安全級(jí)DCS對(duì)可靠性的要求以及在開(kāi)發(fā)期間對(duì)缺陷嚴(yán)重程度應(yīng)給予更多關(guān)注，RPN計(jì)算公式中取a=1，b=c=0.5，則此缺陷的RPN評(píng)分為63，處在危害性等級(jí)Ⅱ的值域區(qū)間。

若此邏輯存在兩種方法實(shí)現(xiàn)同一功能的缺陷，屬于邏輯冗余，缺陷模式為不必要的功能，嚴(yán)重程度一般，擴(kuò)展影響無(wú)，查表得到對(duì)應(yīng)的S=4，0=10，D=6,計(jì)算得到RPN=31，處在危害性等級(jí)Ⅲ的值域區(qū)間。

使用缺陷分級(jí)專(zhuān)家系統(tǒng)對(duì)缺陷進(jìn)行分級(jí)，只需工作人員輸入“目標(biāo)動(dòng)作”、“功能描述”、“失效模式”、“缺陷”、“局部影響”、“擴(kuò)展影響”等信息，系統(tǒng)即可自動(dòng)完成分析過(guò)程，輸出缺陷的危害性等級(jí)。

利用基于FMEA的危害性分級(jí)專(zhuān)家系統(tǒng)對(duì)某核電站安全級(jí)DCS軟件需求階段的缺陷進(jìn)行危害性分級(jí)，得到缺陷數(shù)據(jù)分級(jí)結(jié)果如圖6所示。經(jīng)人工驗(yàn)證，缺陷分級(jí)結(jié)果與人工執(zhí)行的分級(jí)結(jié)果一致，分級(jí)準(zhǔn)確，效率更高。

圖6 某項(xiàng)目軟件需求階段缺陷分布圖

表2 源量程中子通量高FMEA表

4 結(jié)語(yǔ)

通過(guò)對(duì)核電站安全級(jí)DCS缺陷危害性分級(jí)方法的研究，更全面深刻地認(rèn)識(shí)了缺陷，形成了安全級(jí)DCS缺陷專(zhuān)家知識(shí)庫(kù)和統(tǒng)一、明確的缺陷危害性分級(jí)標(biāo)準(zhǔn)；設(shè)計(jì)了基于上述分析成果的缺陷分級(jí)專(zhuān)家系統(tǒng)。彌補(bǔ)了國(guó)內(nèi)核電站安全級(jí)DCS缺陷危害性分級(jí)方法的缺失，專(zhuān)家系統(tǒng)的使用有助于基于FMEA的危害性分級(jí)方法更為方便、廣泛地應(yīng)用，為管理人員、設(shè)計(jì)人員鎖定重要缺陷提供了依據(jù)，有效提高了缺陷管理效率，間接促進(jìn)了核電站安全級(jí)DCS可靠性的不斷提升。

[1] 陸民燕. 軟件可靠性工程[M]. 國(guó)防工業(yè)出版社, 2011:141.

[2] GJB/Z 1391-2006故障模式、影響及危害性分析指南[S].

[3] Pentti H, Atte H. Failure mode and effects analysis of software-based automation systems[R].Laippatie4, 00880 Helsinki: STUK, 2002.

[4] GB 13284-1998, 核電廠安全系統(tǒng)準(zhǔn)則[S].

[5] IEEE Std 1044-1993, Standard to Classification for Software Anomalies[S]. IEEE Standards Board, 1993.

[6] Reifer J. Software Failure Mode And Effects Analysis[C], IEEE Transactions on reliability, vol. R-28, No.3, AUG 1979: 247 - 249.

[7] Antonio César Ferreira Guimar?es. Fuzzy FMEA applied to PWR chemical and volume control system[J], Progress in Nuclear Energy, 2004: (Volume 44, Issue 3):191 - 213.

[8] 何鑫, 劉暢, 鄭軍. 軟件安全性與可靠性分析技術(shù)研究[J]. 計(jì)算機(jī)測(cè)量與控制, 2012, 20(11):3017 -3020.

A Study on NPP Safety DCS Defect Criticality Classif i cation

In view of the current situation that deficiency in defect criticality classification to the safety-level DCS of the Nuclear Power Plant, the safetylevel DCS of the Nuclear Power Plant is analyzed by using the FMEA technology. All possible failure modes are identified in terms of functional reliability. The failure reason and influence degree is determined. The criticality analyses are added based on the traditional FMEA. A classification method from end user is proposed in the paper. Based on the artificial intelligence technology (AIT) an expert system for defect classification is developed. The application shows that technology and the system runs stably and accurately.

FMEA; Criticality classification; AIT

李靜霞（1986-），女，北京人，現(xiàn)就職于北京廣利核系統(tǒng)工程有限公司，主要從事核電廠安全級(jí)DCS驗(yàn)證與確認(rèn)方向的研究。

于勁松（1968-），男，副教授，現(xiàn)就職于北京航空航天大學(xué)，主要從事自動(dòng)化技術(shù)、航空航天科學(xué)與工程、計(jì)算機(jī)軟件及計(jì)算機(jī)應(yīng)用研究。