王碩 李享

【摘 要】本文主要描述了面向第三代核電站的新型優(yōu)先級選擇系統(tǒng)，其以硬接線的方式接收來自1E DCS、ECP系統(tǒng)、DAS系統(tǒng)的控制指令，以總線的方式接收來自于NC DCS系統(tǒng)的控制指令，在經(jīng)過優(yōu)選輸出后控制現(xiàn)場執(zhí)行器。此外優(yōu)先級選擇系統(tǒng)中的核心組成部分優(yōu)先級選擇模塊使用了純FPGA技術(shù)，完全不同于DCS系統(tǒng)的設(shè)計，可以有效地避免軟件共因故障。

【關(guān)鍵詞】核電站；優(yōu)先級選擇系統(tǒng)；FPGA

中圖分類號： TM623.4 文獻標(biāo)識碼： A 文章編號： 2095-2457（2018）13-0055-002

DOI：10.19694/j.cnki.issn2095-2457.2018.13.024

1 簡介

1.1 系統(tǒng)定位

優(yōu)先級選擇控制站是1E級DCS系統(tǒng)的重要接口設(shè)備，它也是反應(yīng)堆保護系統(tǒng)（RPS）的一部分。

1.2 系統(tǒng)功能

優(yōu)先級選擇系統(tǒng)的關(guān)鍵功能如下所示：

●優(yōu)先級選擇系統(tǒng)以硬接線的方式接收來自安全級（1E）DCS系統(tǒng)、多樣化（DAS）DCS系統(tǒng)、后備盤（BUP）的控制信號，考慮到這些系統(tǒng)與優(yōu)先級選擇系統(tǒng)的布置較近，使用硬接線可提高整個控制系統(tǒng)的可靠性；

●優(yōu)先級選擇系統(tǒng)以總線的方式接收來自非安全及（NC）DCS系統(tǒng)的控制信號，考慮到非安全級DCS系統(tǒng)的房間布置與優(yōu)先級選擇系統(tǒng)較遠，且需要向NC DCS系統(tǒng)傳送自身狀態(tài)信息，所有選擇使用了總線（使用Profisafe協(xié)議保證）的連接方式，減少了控制線纜數(shù)量且降低了系統(tǒng)搭建成本和布置難度；

●在接收到上述外系統(tǒng)的控制指令后，通過內(nèi)部既定的優(yōu)先級邏輯，向現(xiàn)場設(shè)備（風(fēng)機、閥門等）進行指令驅(qū)動；

●為了應(yīng)對所有DCS系統(tǒng)（包括1E DCS、DAS DCS、BUP、NC DCS）都失效的情況，在所有優(yōu)先級選擇系統(tǒng)中優(yōu)先級選擇模塊前面板都設(shè)計了本地指令觸發(fā)開關(guān)，使電站操作人員可在此極端情況下控制現(xiàn)場安全級設(shè)備，保證整個電站的安全運行；

●優(yōu)先級選擇系統(tǒng)設(shè)計的設(shè)備反饋接口，可以硬接線的方式接收現(xiàn)場設(shè)備的反饋信號（如開到位、關(guān)到位、故障等關(guān)鍵信息）；

●為了方便系統(tǒng)中故障模塊的更換，所有模塊都設(shè)計了熱插拔功能，可讓現(xiàn)場操作人員在不影響其它模塊的前提下迅速替換故障模塊；

●可通過安全級工程師站完成對優(yōu)先級選擇系統(tǒng)中優(yōu)先級選擇模塊的配置工作（包含輸入通道去抖時間、輸出自診斷使能與否、點燈邏輯等等）；

●控制表示現(xiàn)場設(shè)備狀態(tài)的紅燈、綠燈、故障燈；

●配合安全顯示單元（S-VDU）完成定期試驗功能。

1.3 FPGA技術(shù)的引入

所有優(yōu)先級選擇系統(tǒng)的模塊都是基于FPGA技術(shù)開發(fā)的，這就意味著與傳統(tǒng)的基于CPU技術(shù)相比，其執(zhí)行核電廠安全級功能的所有代碼都可測試，即可針對每行代碼都進行V&V;（驗證與測試工作，一般由獨立于開發(fā)團隊的專業(yè)測試團隊執(zhí)行），從提高了整個系統(tǒng)的安全性。

此外，相比于傳統(tǒng)的基于CPU技術(shù)系統(tǒng)，由于可掌握所有代碼，可只針對模塊使用的安全級功能進行代碼編程，不像CPU技術(shù)一樣系統(tǒng)運行始終帶有附加且不可剪裁的程序，從而減小了代碼復(fù)雜度，最終在應(yīng)用時提高了整個系統(tǒng)的可靠性、較少了系統(tǒng)響應(yīng)時間。

最后，F(xiàn)PGA在目前網(wǎng)絡(luò)技術(shù)水平上很難被攻破，因而整個DCS系統(tǒng)的網(wǎng)絡(luò)安全魯棒性也得到了保障。

2 控制站組成

每個PSS站最多可控制36個現(xiàn)場設(shè)備，在一個優(yōu)選機柜（優(yōu)選站）的不同優(yōu)選機箱無任何聯(lián)系（獨立的電源供給、獨立的與NC DCS系統(tǒng)profibus-DP總線。）

在PSS中的每個模塊功能如下所示：

●優(yōu)先級選擇模塊（PLM）：核心功能模塊，每個PLM控制一個現(xiàn)場設(shè)備，執(zhí)行優(yōu)先級選擇功能；

●優(yōu)先級轉(zhuǎn)接模塊（PLTM）：將信號從PLM轉(zhuǎn)接到設(shè)備；

●優(yōu)先級通信模塊：指示與NC DCS連接的Profibus-DP總線狀態(tài)；

●優(yōu)先級通信轉(zhuǎn)接模塊（PLCTM）：將來自NC DCS的Profibus-DP總線由光纖信號轉(zhuǎn)成電信號；

●電源指示模塊（PIM）：監(jiān)測整個機箱的電源狀態(tài)；

●電源轉(zhuǎn)接模塊（PITM）：將機柜內(nèi)部的24VDC電源轉(zhuǎn)接到機箱內(nèi)部。

3 優(yōu)先級選擇模塊

優(yōu)先級選擇模塊（PLM）為優(yōu)先級選擇系統(tǒng)（PSS）的和核心功能模塊。每個PLM接收四種不同優(yōu)先級的DCS指令，控制一個現(xiàn)場設(shè)備。

3.1 前面板鑰匙開關(guān)

現(xiàn)場操作人員可通過鑰匙開關(guān)將PLM至于3種模式：

●正常模式（默認）：PLM正常接收指令并按照既定的優(yōu)先級控制現(xiàn)場設(shè)備；

●本地模式：當(dāng)所有DCS系統(tǒng)失效時，本地模式可以讓模塊前面板接收的本地操作指令為最高優(yōu)先級，即電廠操作人員可以在本地直接操作設(shè)備；

●定期試驗?zāi)Ｊ剑鹤屇K進入到定期試驗狀態(tài)，即響應(yīng)從S-VDU的定期試驗信號且閉鎖正常的硬接線輸出信號（仍然響應(yīng)來自NC DCS系統(tǒng)的控制指令）；

同時鑰匙開關(guān)的設(shè)計也使得只有帶有權(quán)限的操作人員才可改變模塊的模式。

3.2 來自DCS系統(tǒng)的硬接線輸入指令

這些來自DCS系統(tǒng)的硬接線信號包括：

●來自1E DCS系統(tǒng)的指令：SFOFF11/SFON11， SFOFF12/SFON12。其中兩個“OFF”指令在內(nèi)部的CPLD做“或”邏輯產(chǎn)生SFOFF1，兩個“ON”指令在內(nèi)部的CPLD做“或”邏輯產(chǎn)生SFON1，通過這樣的設(shè)計可以減小系統(tǒng)的舉動率；

●來自ECP的指令：SFOFF2/SFON2。在一些緊急情況下（如1E DCS失效），操作人員可以通過ECP盤臺手動觸發(fā)操作信號；

●來自DAS系統(tǒng)的指令： SFOFF2/SFON2。為了避免核電站保護系統(tǒng)的共因故障（CCF），優(yōu)先級選擇系統(tǒng)也同樣可接收來自DAS系統(tǒng)（與1E DCS系統(tǒng)異構(gòu)）的控制指令。

3.3 來自NC DCS系統(tǒng)的總線指令

PLM通過Profibus-DP總線接收來自NCS DCS系統(tǒng)的冗余控制指令。為了提高從NC DCS系統(tǒng)接收指令的安全性，本文設(shè)計在標(biāo)準Profibus-DP總線協(xié)議上封裝了一層安全層，即可避免在IEC 61784-3現(xiàn)場總線功能安全要求中定義的通信故障（如亂序、延遲、重復(fù)等等）。當(dāng)從NC DCS接收的控制命令無法通過安全層的校驗，對應(yīng)的PLM會拒絕執(zhí)行錯誤指令，保證系統(tǒng)的安全導(dǎo)向。另外，與1E DCS冗余硬接線信號相似，使用冗余的Profibus-DP總線也提高了系統(tǒng)的可用性，當(dāng)一條總線故障時不會影響對于PLM的控制命令下達。

3.4 本地指令

當(dāng)所有DCS系統(tǒng)都失效時，PLM給電廠操作人員提供了本地輸入接口，以便在緊急情況下控制現(xiàn)場閥門。為了完成此功能，來自本地接口的Local_ON/Local_OFF信號相比于其他DCS系統(tǒng)擁有最高的優(yōu)先級（但是此信號只有在前面板鑰匙開關(guān)撥置“本地模式”下才可使能）。

3.5 設(shè)備狀態(tài)反饋信號

PLM提供了6個來自現(xiàn)場設(shè)備的狀態(tài)反饋信號（SM3/SM5/FC/FO/ZM/TEST POSITION）。

3.6 輸出到BUP信號

PLM提供了3個輸出通道來控制BUP盤臺的指示燈，以在BUP盤臺顯示反饋設(shè)備的狀態(tài)信息。

3.7 PLM的處理器

PLM設(shè)計了FPGA和CPLD電路。在兩種處理器使用了Verilog HDL語言來完成邏輯且在FPGA內(nèi)部沒有使用集成的IP核（即所有代碼都可被測試）。

FPGA主要內(nèi)部集成了Profibus-DP從站，以接收來自NC DCS系統(tǒng)的控制命令。

同時為了把FPGA對于CPLD的影響將至最低，PLM設(shè)計了雙口ram來完成它們之間的通信任務(wù)。

3.8 優(yōu)選邏輯

當(dāng)PLM處于正常模式下，1E DCS的指令擁有最高的優(yōu)先級（同時OFF的優(yōu)先級高于ON）。例如當(dāng)SFOFF1=1時，無論來自于其它DCS指令如何，其優(yōu)選輸出固定為OFF=1 Out ON=1（意味著現(xiàn)場設(shè)備應(yīng)該執(zhí)行關(guān)操作）。

同時在CPLD內(nèi)部使用了同步邏輯，即所有輸入輸出門電路都使用同一時鐘的觸發(fā)器，以確保所有信號同時變化。

3.9 定期試驗

由于系統(tǒng)自診斷覆蓋率無法達到100%，為了電廠運行的安全起見，需要對于無法自診斷的部分進行定期試驗操作。PLM通過將前面板鑰匙開關(guān)讓模塊可進入到定期試驗?zāi)Ｊ剑杭纯山邮丈嫌蜠CS系統(tǒng)的控制指令，產(chǎn)生優(yōu)選邏輯，但是在真正輸出到現(xiàn)場設(shè)備之前將此測試信號閉鎖，從而可在不影響現(xiàn)場設(shè)備的情況下完成對于整個控制通路最大范圍的測試。

4 結(jié)論

至此，優(yōu)先級選擇控制站可以完全滿足核電站反應(yīng)堆保護系統(tǒng)的要求，同時達到快速的響應(yīng)和較高的可靠性。且通過使用FPGA技術(shù)，不僅可讓V&V;團隊對于每行代碼開展測試（不存在無法測試的“黑盒”），也可以避免與基于處理器技術(shù)的DCS產(chǎn)生共因故障。

【參考文獻】

[1]J.Naser，“Guidelines on the Use of Field Programmable Gate Arrays（FPGAs）in Nuclear Power Plant I&C; Systems”TR-1019181 EPRI，pp41-59（2009）.

[2]Chen Yinjie，Zhang Chunlei Qi Min，“Research on the Application of FPGA in Diversity System of Nuclear Power Plants”，Process Automation Instrumentation，Vol.35（2），pp46-49（2014）.

[3]Liu Zhen，Jiang Guojin，Sun Yongbin“The V&V; activities and techniques for safety-class I&C; system in the nuclear power plant”，Chinese Journal of Nuclear Science and Engineering，Vol.31，pp45-50（2011）.