田 露

（中核核電運(yùn)行管理有限公司）

一、引言

隨著三代核電廠在國(guó)內(nèi)的發(fā)展，全數(shù)字化儀控系統(tǒng)（DCS）在核電的應(yīng)用已成為三代核電的一個(gè)基本特征。為保障核電機(jī)組在生命周期中各個(gè)環(huán)節(jié)和階段的安全穩(wěn)定，本文從機(jī)組的安全性和經(jīng)濟(jì)性兩個(gè)方面，分析識(shí)別DCS系統(tǒng)整體可靠性提高的關(guān)鍵因素。同時(shí)，根據(jù)核電工藝系統(tǒng)的要求和DCS的特點(diǎn)，明確提出在非安全級(jí)DCS中，對(duì)重要控制保護(hù)信號(hào)適用單一故障準(zhǔn)則，從而避免機(jī)組過(guò)度依賴提高單一部件可靠性的習(xí)慣性理念。根據(jù)機(jī)組不同工況提出對(duì)單點(diǎn)關(guān)鍵敏感（SPV）設(shè)備的動(dòng)態(tài)管理策略，為保障在非安全級(jí)DCS中單一故障準(zhǔn)則的滿足程度，提出可維修性對(duì)機(jī)組運(yùn)行的重要性。同時(shí)，為防止在維修過(guò)程中的人因失誤，提出設(shè)備設(shè)計(jì)的統(tǒng)一性和設(shè)備外觀的重要性。

二、DCS系統(tǒng)整體可靠性

由于核電站的特殊性，近年在二代+和三代核電的設(shè)計(jì)中開(kāi)始采用全數(shù)字化儀控系統(tǒng)，但對(duì)DCS系統(tǒng)的運(yùn)維管理理念較非核行業(yè)有所滯后，DCS系統(tǒng)的特點(diǎn)并未被充分發(fā)揮和利用。

隨著非安全級(jí)DCS產(chǎn)品的成熟，單方面提高部件級(jí)可靠性的成本和技術(shù)難度越來(lái)越高。

儀控系統(tǒng)以為機(jī)組的安全和穩(wěn)定運(yùn)行提供可靠保障為目標(biāo)，其實(shí)質(zhì)是追求儀控整體系統(tǒng)級(jí)的可靠性，也就是設(shè)計(jì)中固有的可靠性，儀控系統(tǒng)的設(shè)計(jì)應(yīng)通過(guò)分區(qū)、分散、獨(dú)立性、冗余和其他措施使之具有充分防故障蔓延的能力。目前核電廠DCS系統(tǒng)已基本具備電源冗余和備用空間，為非安全級(jí)儀控信號(hào)處理滿足單一故障準(zhǔn)則提供了基本條件，而單一故障準(zhǔn)則應(yīng)用將極大的提高系統(tǒng)整體可靠性。

三、單設(shè)備故障準(zhǔn)則在非安全級(jí)DCS中的應(yīng)用

基于安全考慮，HAF102將單一故障準(zhǔn)則的要求限定在安全級(jí)系統(tǒng)。出于對(duì)電廠建造投入成本的考慮，對(duì)于單一非安全級(jí)部件故障直接影響機(jī)組運(yùn)行的情況，在目前的法規(guī)標(biāo)準(zhǔn)中還沒(méi)明確要求。在美國(guó)三代輕水堆用戶需求文件（ALWR-URD）中：M-MIS（儀控系統(tǒng)）設(shè)備與電廠系統(tǒng)設(shè)計(jì)必須盡可能地滿足任何儀控設(shè)備或它的支持設(shè)備的單一隨機(jī)故障不會(huì)引起電廠停役強(qiáng)迫、或危及安全系統(tǒng)功能、或安全系統(tǒng)誤動(dòng)作、或引起電廠處于某一應(yīng)急狀態(tài)的情況。如URD中的描述，用戶在部分關(guān)鍵重要的非安全級(jí)DCS系統(tǒng)同樣有滿足單一故障準(zhǔn)則的需求。

據(jù)不完全統(tǒng)計(jì)，近3年中由儀控系統(tǒng)單一部件故障引起多次機(jī)組停機(jī)停堆或降功率運(yùn)行案例：

2015年，某核電廠2號(hào)機(jī)組（600 MWe）主給水B泵單一卡件故障導(dǎo)致汽輪機(jī)高壓加熱器解列引起停堆停機(jī)。

2015年，某核電廠1號(hào)機(jī)組（1000 MWe）因1號(hào)蒸汽發(fā)生器出現(xiàn)儀控故障，導(dǎo)致1號(hào)蒸汽發(fā)生器液位低并觸發(fā)停堆。

2016年，某核電廠1號(hào)機(jī)組（1000 MWe）滿功率運(yùn)行時(shí)因非安全級(jí)DCS模塊故障導(dǎo)致1#循環(huán)水泵停泵引起降功率至600 MWe。

在核電廠非安全級(jí)儀控系統(tǒng)中，單一故障準(zhǔn)則的應(yīng)用無(wú)強(qiáng)制和明確的要求，在設(shè)計(jì)和安裝過(guò)程中未得到嚴(yán)格考慮，尤其是在汽輪發(fā)電機(jī)、主給水系統(tǒng)、潤(rùn)滑油系統(tǒng)、循環(huán)水泵等與機(jī)組運(yùn)行直接相關(guān)的控制和保護(hù)處理過(guò)程中，已發(fā)生多起因單一儀控部件故障導(dǎo)致的停機(jī)、停堆和機(jī)組瞬態(tài)事件。

應(yīng)用實(shí)例：

以方家山核電機(jī)組為例，在機(jī)組商運(yùn)后的2個(gè)運(yùn)行循環(huán)中，對(duì)直接危及機(jī)組運(yùn)行的、不滿足單一故障準(zhǔn)則的非安全級(jí)DCS信號(hào)36項(xiàng)進(jìn)行了排查和改進(jìn)，除利用原有備用通道外，新增設(shè)備投入36萬(wàn)元。

避免2起停機(jī)事件的案例：

2017年3月17日，方家山1號(hào)機(jī)組汽輪機(jī)推力瓦工作面溫度信號(hào)（GGR340MT）和汽輪機(jī)推力瓦非工作面溫度信號(hào)（1GGR 341MT）閃發(fā)故障報(bào)警，經(jīng)查故障原因?yàn)闇囟忍幚砟KGME402CT故障，未停機(jī)。而改進(jìn)前，原溫度處理模塊GME405CT卡件中包含GGR340MT/GGR342MT二取二停機(jī)（汽輪機(jī)推力瓦工作面溫度與汽輪機(jī)推力瓦工作面溫度）；和GGR341MT/GGR343MT二取二停機(jī)（汽輪機(jī)推力瓦非工作面溫度與汽輪機(jī)推力瓦工作面溫度）兩路停機(jī)邏輯。改進(jìn)后將GGR340MT/GGR342MT和GGR341MT/GGR343MT兩路停機(jī)邏輯關(guān)系進(jìn)行分散處理，消除了單一部件故障對(duì)停機(jī)邏輯的影響。

2017年4月6日，方家山1號(hào)機(jī)組潤(rùn)滑油測(cè)量錯(cuò)誤報(bào)警（GGR010KA），經(jīng)查故障原因?yàn)闇囟忍幚砟KGME402CT故障，未停機(jī)。原GME402CT一塊卡件中包含兩路二取二停機(jī)邏輯，改進(jìn)后將兩路二取二停機(jī)邏輯關(guān)系進(jìn)行分散處理，消除了單一部件故障對(duì)停機(jī)邏輯的影響。

對(duì)于停機(jī)保護(hù)邏輯的信號(hào)共用一塊處理模塊，由于該模塊故障后將導(dǎo)致參與跳機(jī)的輸入信號(hào)都不可用，從而導(dǎo)致停機(jī)、停堆和機(jī)組瞬態(tài)，此模塊部件視為不滿足單一故障準(zhǔn)則，定義為SPV設(shè)備。

因此，在非安全級(jí)DCS中合理配置影響機(jī)組穩(wěn)定運(yùn)行的SPV設(shè)備信號(hào)的處理，理想情況下可以實(shí)現(xiàn)DCS中SPV設(shè)備儀控信號(hào)完全脫敏，使DCS系統(tǒng)容錯(cuò)能力增強(qiáng)，至少可以抵御單一部件故障或單一人因失誤對(duì)機(jī)組直接造成的影響，系統(tǒng)整體可靠性大幅提高，從縱深防御方面考慮，運(yùn)行維護(hù)策略的關(guān)注重點(diǎn)轉(zhuǎn)移至故障、試驗(yàn)狀態(tài)和人因失誤的疊加。

四、DCS中動(dòng)態(tài)SPV設(shè)備的識(shí)別條件

SPV的定義中沒(méi)有具體描述識(shí)別SPV設(shè)備的前提條件，通常是以機(jī)組正常滿功率運(yùn)行的理想狀態(tài)為假設(shè)條件，此時(shí)稱之為“靜態(tài)SPV設(shè)備”。但如果機(jī)組在存在某一個(gè)設(shè)備缺陷或試驗(yàn)狀態(tài)下，定義和識(shí)別SPV設(shè)備的初始條件已經(jīng)改變，其SPV設(shè)備也隨之改變。實(shí)際情況表明，機(jī)組很少處于無(wú)缺陷和無(wú)試驗(yàn)的理想狀態(tài)，而且絕大多數(shù)事件也是在“機(jī)組正常運(yùn)行滿功率”這一假設(shè)初始條件改變的情況下發(fā)生的。

事件案例：

2015年11月23日（1123事件），某核電廠1號(hào)機(jī)組（600MWe）處于滿功率運(yùn)行狀態(tài)，并且缺陷報(bào)警“汽輪機(jī)9號(hào)瓦X方向（VB9X）振動(dòng)值高”一直存在。此時(shí)，維修人員因處理其他工作開(kāi)關(guān)柜門(mén)，柜門(mén)觸碰延伸電纜導(dǎo)致“汽輪機(jī)9號(hào)瓦Y方向振動(dòng)值（VB9Y）信號(hào)瞬間失效，疊加已經(jīng)存在的VB9X振動(dòng)值高故障，導(dǎo)致機(jī)組停機(jī)。

2016年7月18日，某核電廠2號(hào)機(jī)組（600MWe）出于功率運(yùn)行，核功率78%Pn，電功率496MWe，按計(jì)劃執(zhí)行2號(hào)機(jī)組柴油發(fā)電機(jī)組低負(fù)荷運(yùn)行性能試驗(yàn)（PT2LHP001）。試驗(yàn)過(guò)程中，220 V交流應(yīng)急電源配電系統(tǒng)（LMA）因6.6 kV交流應(yīng)急配電系統(tǒng)（LHA ）電源倒換時(shí)出現(xiàn)失電1.5 s，同時(shí)DCS機(jī)柜電源供電的切換刀閘存在接觸不良的缺陷，二者疊加導(dǎo)致事件發(fā)生。

兩起事件表明機(jī)組在存在某一個(gè)設(shè)備缺陷或試驗(yàn)狀態(tài)下，其SPV設(shè)備范圍是動(dòng)態(tài)的，而且實(shí)際情況是部分SPV設(shè)備始終處于動(dòng)態(tài)變化中。因此，根據(jù)機(jī)組的報(bào)警、缺陷、維修、試驗(yàn)狀態(tài)動(dòng)態(tài)識(shí)別SPV設(shè)備（信號(hào)）是保障機(jī)組穩(wěn)定運(yùn)行的重要手段。

動(dòng)態(tài)識(shí)別的原則應(yīng)考慮其他在外部條件轉(zhuǎn)變后，原非SPV設(shè)備轉(zhuǎn)為SPV設(shè)備。

動(dòng)態(tài)識(shí)別方法可以通過(guò)人工即時(shí)排查；或在充分利用DCS數(shù)據(jù)基礎(chǔ)上，開(kāi)發(fā)一套SPV設(shè)備動(dòng)態(tài)識(shí)別的軟件工具，實(shí)時(shí)動(dòng)態(tài)比較分析設(shè)備缺陷和系統(tǒng)狀態(tài)信息，實(shí)現(xiàn)動(dòng)態(tài)SPV預(yù)警（提示），降低機(jī)組的運(yùn)行風(fēng)險(xiǎn)。動(dòng)態(tài)SPV設(shè)備識(shí)別可采用故障樹(shù)方法或貝葉斯理論方法進(jìn)行定量分析。

五、DCS系統(tǒng)可在線維修的必要性

核電機(jī)組一個(gè)循環(huán)周期通常按年計(jì)，在運(yùn)行循環(huán)周期中，如果一個(gè)部件或設(shè)備缺陷得不到及時(shí)消除，根據(jù)上述分析，關(guān)鍵重要系統(tǒng)可能已處于不滿足單一故障準(zhǔn)則狀態(tài)，靜態(tài)SPV設(shè)備的初始條件已經(jīng)改變，此時(shí)抵御疊加另一個(gè)設(shè)備缺陷或試驗(yàn)狀態(tài)或人因失誤的能力喪失。因此，縮短缺陷存在的生命周期變得至關(guān)重要。這就要求DCS系統(tǒng)在裝配設(shè)計(jì)階段保留足夠的在線維修空間和在線更換的能力，最大限度地維持靜態(tài)SPV設(shè)備的初始狀態(tài)。目前市場(chǎng)上絕大多數(shù)DCS產(chǎn)品具備在線更換卡件的能力，但在DCS系統(tǒng)集成階段可在線維修的需求容易被忽視。

六、結(jié)論

通過(guò)在非安全級(jí)DCS中對(duì)關(guān)鍵重要設(shè)備相關(guān)的信號(hào)應(yīng)用單一故障準(zhǔn)則，可以以較低的投入成本獲得較高的系統(tǒng)整體可靠性，使DCS系統(tǒng)抗單一部件故障的能力極大提高。通過(guò)SPV臨時(shí)設(shè)備動(dòng)態(tài)管理，可以有效防范故障疊加、試驗(yàn)疊加和人因失誤疊加的可能。通過(guò)提高DCS系統(tǒng)可在線維修能力，縮短了單一缺陷存在的生命周期，減少了各種疊加概率。通過(guò)統(tǒng)一DCS在各個(gè)環(huán)節(jié)的設(shè)計(jì)理念，優(yōu)化設(shè)備外觀、布局等，重視人因工程的設(shè)計(jì)將大大減少維修過(guò)程中人因失誤。