商 靜，田亞杰，李天友

(深圳中廣核工程設(shè)計有限公司，廣東 深圳 518172)

0 引言

核電M310機組以及基于M310的CPR1000機組中，都設(shè)計有超溫超功ΔT信號，用于保護燃料包殼，以防包殼損壞。超溫超功ΔT整定值信號產(chǎn)生以后，與實測值作比較。當(dāng)兩者偏差超過第一閾值時，產(chǎn)生C3/C4信號，用于控制系統(tǒng)進行控制棒的閉鎖以及汽輪機的甩負(fù)荷。當(dāng)兩者偏差超過第二閾值時，觸發(fā)保護系統(tǒng)的超溫超功ΔT緊急停堆保護功能。因此，超溫超功ΔT同時參與了電廠的控制和保護功能。鑒于保護系統(tǒng)和控制系統(tǒng)的設(shè)計要求不同，這兩個系統(tǒng)在使用該信號時的表決邏輯的處理方案也會略有不同。這種邏輯處理的差異會直接影響相關(guān)的日常運行和維修[1]。本文就超溫超功ΔT信號在保護功能和控制功能中的邏輯退化處理方案作詳細對比、計算及影響分析，為后續(xù)新堆型的設(shè)計提供參考方案。

1 超溫超功ΔT設(shè)計方案簡述

超溫超功ΔT保護是采用限制反應(yīng)堆進、出口溫差的方法來保護燃料包殼的一種保護措施。燃料包殼損壞的主要原因是超溫?zé)龤?。超溫?zé)龤У闹饕蛴袃蓚€：其一是燃料芯塊局部功率過高而使其局部熔化；其二是包殼表面產(chǎn)生沸騰危機，即偏離泡核沸騰，致使局部因傳熱不良而燒毀。根據(jù)這兩種原因，ΔT保護分為超功率ΔT和超溫ΔT[1]。

超溫ΔT計算方法為：

(1)

超功率ΔT計算方法為：

(2)

三個環(huán)路分別計算超溫超功ΔT整定值并與測量值進行比較，當(dāng)整定值與實測值偏差超過第一閾值時，作三取二表決邏輯后觸發(fā)C3/C4信號，再將其送給控制系統(tǒng)用以甩負(fù)荷閉鎖提棒。如果兩者偏差超過了第二閾值，則作三取二表決邏輯后送給保護系統(tǒng)作緊急停堆保護功能。超溫超功ΔT邏輯如圖1所示[2]。

圖1 超溫超功ΔT邏輯簡圖

2 不同儀控平臺對超溫超功ΔT邏輯的處理方案

2.1 基于模擬技術(shù)的儀控平臺處理方案

核電M310機組(如大亞灣、嶺澳1期項目)中，儀控系統(tǒng)尚未數(shù)字化，使用的是模擬板件，所有邏輯實現(xiàn)方式均采用硬邏輯搭建。

當(dāng)遇到測量通道故障或者試驗時，操作人員可以通過手動操作相應(yīng)開關(guān)的方式切除有問題的通道，以便下游表決邏輯進行退化。比如超溫超功ΔT計算中所使用的軸向功率偏差信號Δφ(詳見式(1)和(2))。該信號來自核儀表系統(tǒng)(簡稱RPN系統(tǒng))功率量程探測器，如果RPN功率量程某一通道出現(xiàn)故障或者處于試驗狀態(tài)時，操作人員可以手動改變Δφ相應(yīng)開關(guān)RCP483CC(以第一通道為例)的位置，使下游閾值繼電器RCP444XU(以第一通道為例)和RCP445XU(以第一通道為例)處于安全位置，最終實現(xiàn)正常狀態(tài)下的三取二表決邏輯向二取一的退化。其他RPN通道故障或者試驗同樣可以使用該手動方式實現(xiàn)邏輯退化。嶺澳1期RPN功率量程故障后，對超溫超功信號的影響如表1所示。

根據(jù)上文對RPN通道故障后的處理方案可以分析得出，大亞灣、嶺澳Ⅰ期這種對于某一通道故障和測試狀態(tài)的處理方式，是從信號產(chǎn)生的源頭進行強制。因此，其會使超溫超功ΔT在保護系統(tǒng)和控制系統(tǒng)中的表決邏輯同時完成從三取二到二取一的退化，即在保護系統(tǒng)和控制系統(tǒng)的邏輯同時實現(xiàn)邏輯退化。

表1 嶺澳1期RPN功率量程故障后對超溫超功信號的影響

2.2 西門子DCS儀控平臺邏輯處理方案

嶺澳Ⅱ期項目中儀控系統(tǒng)使用了數(shù)字化控制系統(tǒng)DCS，因此超溫超功信號的邏輯也在DCS內(nèi)部進行組態(tài)。該項目DCS使用的是西門子公司TXS平臺。該平臺中超溫超功邏輯使用的三取二表決邏輯模塊屬性較為豐富，通過適當(dāng)?shù)脑O(shè)置，可以實現(xiàn)自動邏輯退化的目的。因此，DCS平臺中超溫超功ΔT的表決邏輯在控制系統(tǒng)和保護系統(tǒng)中的組態(tài)方式相同，在上游源頭信號出現(xiàn)故障或者測試時，兩處邏輯均可同時實現(xiàn)邏輯退化。

2.3 三菱DCS儀控平臺邏輯處理方案

除嶺澳Ⅱ期外，其他新項目的CPR1000堆型中(紅沿河一期、寧德、陽江、防城港一期核電)使用的是日本三菱公司的DCS平臺(MELTAC)。

CPR1000堆型超溫超功信號在DCS內(nèi)的實現(xiàn)方案如圖2所示。

圖2 CPR1000堆型超溫超功信號在DCS內(nèi)的實現(xiàn)方案

超溫超功ΔT邏輯同樣在DCS中實現(xiàn)。其中，超溫超功ΔT的計算邏輯部分在保護組RPC機柜中的三個通道分別進行計算，經(jīng)過閾值比較器2后，用于保護功能的信號繼續(xù)在保護組機柜內(nèi)完成跳堆功能的表決邏輯；而用于控制功能的C3/C4信號，則經(jīng)過閾值比較器1后，送到反應(yīng)堆功率控制柜RPCC中作三取二表決邏輯，繼而完成下游的控制功能。由于保護功能和控制功能的設(shè)計原則不一致，超溫超功信號跳堆功能在RPC機柜中的組態(tài)作了邏輯退化處理，而控制功能在RPCC機柜中的組態(tài)則沒有設(shè)計邏輯退化功能[3]。

對于當(dāng)前的實現(xiàn)方案，假如RPN功率量程一個通道故障或處于故障狀態(tài)，則C3/C4信號的表決邏輯由原來的三取二變?yōu)槎《?，增加了控制系統(tǒng)拒動概率。

2.4不同方案對比分析

綜合對比上文不同儀控平臺中超溫超功ΔT邏輯的儀控實現(xiàn)方案，可以得到以下結(jié)論。

M310機組使用的模擬板件儀控系統(tǒng)是通過在測量通道源頭上進行人工操作，進而可使超溫超功ΔT在保護系統(tǒng)內(nèi)和控制系統(tǒng)內(nèi)部同時完成邏輯退化。這主要基于該堆型中沒有使用數(shù)字化儀控系統(tǒng)。這種實現(xiàn)方案是模擬板件搭建儀控系統(tǒng)的固有特性。

西門子的TXS儀控平臺可以同時實現(xiàn)超溫超功表決邏輯在保護系統(tǒng)和控制系統(tǒng)中的自動邏輯退化。這主要得益于DCS平臺內(nèi)模塊所具備的屬性。其表決邏輯模塊自帶邏輯退化的功能屬性，這是DCS平臺本身所具備的固有特征。

三菱公司的MELTAC平臺與嶺澳Ⅱ期項目使用的DCS不同，其表決邏輯模塊并不具有自動邏輯退化的功能屬性，邏輯退化需要在內(nèi)部組態(tài)設(shè)計時專門搭建一套退化邏輯。因此，針對超溫超功ΔT的跳堆保護功能，DCS內(nèi)部專門綜合考慮各種退化條件，設(shè)計了邏輯退化功能；但是針對超溫超功的控制功能并沒有設(shè)計與之相同的退化邏輯。這是綜合考慮控制系統(tǒng)設(shè)計原則和成本的影響設(shè)計的方案。

3 影響分析

針對MELTAC DCS平臺中,超溫超功ΔT用于控制功能的C3/C4表決邏輯不具備邏輯退化功能問題，進行全面、深入的分析以及計算。

3.1 縱深防御角度分析

核電廠縱深防御中，第一層次防御的目的是防止偏離正常運行和系統(tǒng)故障。在電廠正常運行期間，通過控制系統(tǒng)達到這一目的。第二層次防御的目的是檢測和糾正偏離正常運行的情況，以防止預(yù)計運行事件升級為事故工況[4]。其通過RPS的緊急停堆和部分專設(shè)功能來實現(xiàn)。第三層次防御的目的基于以下假定：盡管可能性極低，某些預(yù)計運行事件或始發(fā)事件的升級仍有可能未被前一層次的防御所制止，可能發(fā)展為更嚴(yán)重的事件。這主要通過相關(guān)的專設(shè)功能來實現(xiàn)。

超溫超功ΔT信號觸發(fā)第一定設(shè)定值后產(chǎn)生C3/C4信號，用于汽輪機甩負(fù)荷和閉鎖控制棒。該功能處于縱深防御的第一層次防御。當(dāng)超溫超功ΔT信號觸發(fā)第二設(shè)定值后會引發(fā)保護系統(tǒng)的超溫超功跳堆保護功能，這處于縱深防御的第二層次防御。CPR1000堆型超溫超功信號在縱深防御體系中的劃分如圖3所示。

圖3 CPR1000堆型超溫超功信號在縱深防御體系中的劃分

C3/C4在保護系統(tǒng)動作之前進行動作，閉鎖控制棒提棒和觸發(fā)汽輪機快速甩負(fù)荷，從而針對一些小的瞬態(tài)，可以避免緊急停堆動作，或者提前動作以限制事故后果。其動作設(shè)定值約比保護定值低1 ℃。其功能屬于縱深防御中的控制系統(tǒng)。而對于控制系統(tǒng)，是沒有單一故障準(zhǔn)則的要求的，即作為控制系統(tǒng)功能C3/C4信號表決邏輯沒有邏輯退化是符合設(shè)計原則的。

從功能的實際效果來看，C3/C4信號對安全是有貢獻的，但在事故分析以及保護系統(tǒng)的設(shè)計上不考慮該控制系統(tǒng)的運行。C3/C4信號執(zhí)行的功能是機組發(fā)生較小超溫超功擾動時，通過C3/C4閉鎖控制棒提升，同時引起汽輪機甩負(fù)荷，從而避免保護系統(tǒng)動作。該功能為非安全級功能。而對于非安全級控制系統(tǒng)，冗余信號不需要考慮邏輯退化，以降低非安全級系統(tǒng)的復(fù)雜性。

3.2 核電廠安全角度分析

根據(jù)縱深防御體系，電廠安全所依賴的RPR保護系統(tǒng)超溫超功ΔT跳堆保護邏輯完全可以保證機組運行安全，并且該保護功能已經(jīng)具備了完善的退化邏輯(2/3->1/2->觸發(fā))。因此，用于控制功能的C3/C4信號表決邏輯，無論是否具備邏輯退化功能(自動或手動)，都不影響機組安全。

3.3 核電廠運行角度分析

如果在發(fā)生可以由C3/C4功能進行控制的小瞬態(tài)時，C3/C4相關(guān)控制功能拒動，沒有發(fā)出信號。這可能會引發(fā)超溫超功ΔT緊急停堆保護功能動作，進而影響機組的可用率。也就是說，當(dāng)衡量C3/C4信號對電廠運行影響程度時，就需要評價C3/C4表決邏輯是否作邏輯退化對拒動率的影響。本文假設(shè)了兩種場景，分別對拒動率予以計算分析[5-6]。

場景1。電廠處于正常運行，所有通道都沒有進行試驗。針對該場景，分別按照表決邏輯退化(2/3->1/2->觸發(fā))和不退化(2/3->2/2->不觸發(fā))兩種方案進行建模計算，求得在有邏輯退化和沒有退化情況下C3/C4信號觸發(fā)的拒動率。由該計算結(jié)果可知，在正常運行沒有試驗情況下，C3/C4邏輯是否退化對拒動率的計算結(jié)果沒有明顯影響。C3/C4信號表決邏輯對拒動率的影響如表2所示。

表2 C3/C4信號表決邏輯對拒動率的影響

場景2。有一個通道正在進行試驗。通常，拒動率計算是根據(jù)故障的概率推斷信號/功能拒動的概率。在此假設(shè)條件下，一個通道在試驗狀態(tài)，如果設(shè)計有邏輯退化，則原來的2/3邏輯將退化為1/2；如果沒有退化邏輯，則原有的邏輯將變?yōu)?/2(當(dāng)試驗觸發(fā)信號時候變?yōu)?/2)。而超溫超功ΔT保護通道有退化邏輯，其邏輯將退化為1/2。這時候，若另外兩個通道中的一個或兩個發(fā)生故障，保護通道將會被觸發(fā)，機組直接跳堆。因此，在這種情況下考慮C3/C4的拒動率已經(jīng)沒有意義。

綜上所述，C3/C4的表決邏輯是否具有退化功能，對C3/C4避免緊急停堆動作的影響不大。

根據(jù)上文的分析結(jié)果，無論從設(shè)計準(zhǔn)則，還是對電廠的安全、以及運行角度分析，超溫超功ΔT在控制系統(tǒng)中的表決邏輯是否具備邏輯退化功能影響不大。但這暴露出一個共性問題：在保護系統(tǒng)中使用的冗余信號同時送到控制系統(tǒng)或者安全級別較低的系統(tǒng)中時，邏輯退化如何處理，直接參照C3/C4信號的表決邏輯處理是否全部適用。

為此，關(guān)于表決邏輯退化問題，本文綜合調(diào)研法規(guī)標(biāo)準(zhǔn)要求、電廠總體技術(shù)要求以及儀控設(shè)計規(guī)范類文件要求后，歸納總結(jié)出以下原則。①核電廠安全由安全系統(tǒng)保證。安全系統(tǒng)中，應(yīng)就信號故障等進行邏輯退化處理，使系統(tǒng)具有確定的故障模式。②非安全級控制系統(tǒng)中，冗余信號無需考慮退化選擇，以降低非安全級系統(tǒng)的復(fù)雜性。③在非安全級系統(tǒng)中，要考慮盡量避免單一故障造成電廠狀態(tài)波動，影響可用率。如果非安全級系統(tǒng)中單一信號故障或者試驗導(dǎo)致電廠狀態(tài)波動，在可行的情況下應(yīng)使用邏輯退化，以避免上述干擾。

4 結(jié)束語

對于保護系統(tǒng)冗余信號用于低級別系統(tǒng)相關(guān)功能時，是否需要設(shè)計邏輯退化功能，仍需要具體問題具體分析。尤其在新堆型的設(shè)計過程中，這更應(yīng)予以重視。該問題需要綜合考慮多方面因素，要在保證機組安全的前提下，盡量減少電廠狀態(tài)的波動，同時也要綜合考慮不同儀控平臺實現(xiàn)的復(fù)雜程度和成本問題，以最終決策邏輯退化的必要性。