王剛　趙鯤鵬　李輝

摘 要：目前行業(yè)內(nèi)還未形成針對數(shù)字化控制控制系統(tǒng)信號失效情況下質(zhì)量位應(yīng)用規(guī)范和標(biāo)準(zhǔn)，本文結(jié)合CPR1000核電項(xiàng)目建設(shè)中出現(xiàn)的實(shí)際問題，根據(jù)不同安全級別數(shù)字化控制系統(tǒng)平臺(tái)的設(shè)計(jì)要求，比較全面分析了數(shù)字化儀控系統(tǒng)信號質(zhì)量位產(chǎn)生、傳遞原則，詳細(xì)的論述了核電站數(shù)字化控制系統(tǒng)信號質(zhì)量位在人機(jī)界面顯示的方法，分析了信號質(zhì)量位在核電站保護(hù)、控制、調(diào)節(jié)中的作用，通過規(guī)范使用質(zhì)量位避免信號無效提示泛洪、不恰當(dāng)使用，通過上述質(zhì)量位應(yīng)用研究為提高核電站被控系統(tǒng)穩(wěn)定安全運(yùn)行提供經(jīng)驗(yàn)以及思考方向，本文的分析適用于所有數(shù)字化控制系統(tǒng)，可以進(jìn)行推廣和應(yīng)用。

關(guān)鍵詞：質(zhì)量位 數(shù)字化 失效 DCS 核電站

中圖分類號：TL362 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號：1674-098X（2019）04（a）-0016-07

Abstract：At present， there is no code and standard for application of signal quality bit in digital control system， this paper combines the practical problem in the construction of CPR1000 unclear power project and analyses the principle of signal of signal quality bit generation and transmission in digital control system according to different safety level digital system platform design requirement， in this paper， the display method of signal quality bit in man-machine interface of digital control system of nuclear power plant is discussed in detail， this paper also evaluate the role of signal quality bit in protection、control and regulation function. Avoid improper use of invalid signal information by normative use signal quality bit， the above signal quality bit application research provides experience and research direction for the safe and stable operation of nuclear power plant system， the research content of this paper is application to all digital control systems and can be popularized and applied.

Key Words：Nuclear power plant；Digital；Invalid；DCS； Nuclear power plant

目前全球在建的核電站普遍采用數(shù)字化控制系統(tǒng)（DCS），DCS具有自診斷能力強(qiáng)、可擴(kuò)展性強(qiáng)、便于修改等特點(diǎn)，自診斷功能的核心要素是要判斷信號是否有效，核電行業(yè)相關(guān)的標(biāo)準(zhǔn)和技術(shù)報(bào)告也對自診斷提出了相關(guān)要求和約束，例如NRC法規(guī)10 CFR50 附件A GDC23要求反應(yīng)堆保護(hù)系統(tǒng)需要設(shè)計(jì)為故障安全模式；IEC 61513要求應(yīng)充分地探測故障和錯(cuò)誤，且提供充分、正確的故障診斷信息；IEC60671要求所有可診斷故障必須上報(bào)并通知操縱員和維護(hù)人員。DCS信號在控制器底層通過一個(gè)固定長度的字符串來傳遞和顯示，信號有效性的判斷可以通過一個(gè)特定的字段來表征，這個(gè)用來判斷信號有效性的字段通常稱之為質(zhì)量位，利用DCS自診斷功能所獲取的質(zhì)量位信息，在工程應(yīng)用中可以有效處理傳感器、DCS采集卡件失效、網(wǎng)絡(luò)故障、控制器故障等帶來控制系統(tǒng)失控、以及顯示不真實(shí)等原來模擬系統(tǒng)無法解決的問題。質(zhì)量位伴隨在每一個(gè)信號的產(chǎn)生、傳遞、運(yùn)算、顯示等各個(gè)環(huán)節(jié)，目前各個(gè)廠家（如西門子公司TXP平臺(tái)、三菱公司MELTAC、廣利核公司和睦平臺(tái)）不同DCS平臺(tái)的質(zhì)量位產(chǎn)生、傳遞以及處理原則和機(jī)制并不統(tǒng)一，也沒有特定的法規(guī)標(biāo)準(zhǔn)對這部分內(nèi)容進(jìn)行規(guī)范，因此有必要對質(zhì)量位應(yīng)用進(jìn)行深入剖析，分析其在各產(chǎn)生、傳遞、運(yùn)算、顯示等各個(gè)環(huán)節(jié)中的原則和機(jī)制，進(jìn)一步規(guī)范質(zhì)量位在DCS中應(yīng)用，提高核電站的安全性和經(jīng)濟(jì)性。

1 質(zhì)量位產(chǎn)生分析

DCS自診斷功能是質(zhì)量位應(yīng)用和分析的基礎(chǔ)，根據(jù)可靠性分析（FMEA）技術(shù)識(shí)別設(shè)備故障模式以及影響，板級自診斷功能設(shè)計(jì)流程見圖1，在此基礎(chǔ)上進(jìn)行故障分級，根據(jù)故障級別作為故障處理的依據(jù)。

通常核電廠儀控系統(tǒng)平臺(tái)中將故障級別分為：（1）I/O異常提示（I/O Warning），此類故障發(fā)生后，控制站存在部分采集和輸出功能失效；（2）一般故障（Alarm），控制站部分通訊功能失效；（3）嚴(yán)重故障（Failure），此類故障發(fā)生后對應(yīng)控制器不可用，在核電站DCS系統(tǒng)中需要重點(diǎn)考慮的自診斷的故障類型和級別主要如表1所示。

對于表1中第2、3、4、5、6項(xiàng)屬于DCS內(nèi)部故障診斷，在DCS廠家平臺(tái)設(shè)計(jì)中通過信號周期數(shù)據(jù)更新掃描、或者發(fā)送生命監(jiān)測計(jì)時(shí)信號等手段完成故障監(jiān)測和診斷，通過識(shí)別關(guān)鍵故障等方法，DCS廠家內(nèi)部自診斷目前均較為完善，對于外部信號異常，往往DCS廠家在設(shè)計(jì)時(shí)并不特別考慮，但實(shí)際外部信號異常也會(huì)嚴(yán)重影響核電站工藝系統(tǒng)穩(wěn)定性，因此在工程實(shí)踐中也極大可能借助平臺(tái)特點(diǎn)進(jìn)行考慮，建議在DCS廠家進(jìn)行I/O卡件設(shè)計(jì)時(shí)也能進(jìn)行對外部信號異常如超量程、斷線、虛接、信號變化量大等情況進(jìn)行考慮并形成規(guī)范。

在DCS系統(tǒng)中，均采用標(biāo)準(zhǔn)的輸入模塊采集現(xiàn)場傳感器及變送器傳送的電流、電壓或者電阻信號，如4～20mA電流信號、1～5V電壓信號等，經(jīng)過輸入模塊的濾波等信號調(diào)理電路后進(jìn)行A/D轉(zhuǎn)換，將模擬量信號離散、量化處理后進(jìn)行編碼，最后通過IO總線將信號送到CPU進(jìn)行處理，如圖2所示。

下面將根據(jù)工程實(shí)踐經(jīng)驗(yàn)重點(diǎn)分析和說明外部信號異常情況下DCS應(yīng)如何診斷故障。當(dāng)現(xiàn)場傳感器、變送器故障送出的電流值超量程或者掉線、短路時(shí)送入輸入模塊（AI卡）標(biāo)準(zhǔn)的輸入信號將可能發(fā)生明顯變化，而目前DCS對模擬量輸入的診斷也正是利用了這個(gè)特點(diǎn)。如4～20mA標(biāo)準(zhǔn)電流信號在斷線的情況下輸入到AI卡件的信號將突變?yōu)?mA，在短路的情況下輸入到AI卡件的信號將超過20mA。對于3線制或者4線制熱電阻斷線或者短路的情況，根據(jù)卡件設(shè)計(jì)原理不同，采集到AI卡件中的信號有所不同，但大部分情況都是超出標(biāo)準(zhǔn)信號范圍的值。

通過模擬熱電阻接入MELTAC熱電阻卡件，如圖3所示，分別斷開1、2電流源對應(yīng)DCS端子以及3、4電壓源對應(yīng)DCS端子模擬傳感器掉線工況，實(shí)際測試結(jié)果如表2所示。

DCS判斷信號輸入的有效性的判斷，即質(zhì)量位判斷既可以通過軟件也可以通過硬件，一般有下面幾種方法。

（1）超量程硬件的判斷，智能AI卡在對模擬信號AD轉(zhuǎn)換量化編碼后，詳見圖4，可以通過設(shè)置在卡件中比較電路檢查是否編碼在預(yù)定的范圍內(nèi)，根據(jù)是否在范圍內(nèi)將代表質(zhì)量位判斷的字段的值通過IO總線送到CPU或者通過IO卡件報(bào)警進(jìn)行報(bào)警等。

（2）超量程軟件的判斷方法，在IO定義表中，設(shè)定模擬量上限和下限，當(dāng)采集到CPU中的信號范圍超過定義的上限和下限時(shí)，將質(zhì)量位設(shè)置為差。在軟件中判斷超量程的優(yōu)點(diǎn)是可以很方便根據(jù)實(shí)際工程修改超量程上限或下限。值得注意的是一般AI卡件采集的模擬量信號會(huì)有限值，如果超過這個(gè)限值，便不能采集傳感器輸入的信號，因此在軟件中設(shè)計(jì)超量程時(shí)，也要關(guān)注AI卡件采集范圍，若軟件中設(shè)置的超量程限值超過AI卡采集范圍，那么超量程則不會(huì)觸發(fā)。

（3）超速判斷，通過判斷信號突變來確認(rèn)信號是否有效。

（4）AI、DI卡件本身的故障也可以通過通訊檢測等手段判斷，從而判斷信號的質(zhì)量。

2 質(zhì)量位的傳遞機(jī)制

核電站DCS控制著大部分核電站重要設(shè)備，現(xiàn)場傳感器、變送器將工藝信號送入DCS，DCS輸入模塊采集到現(xiàn)場信號后，根據(jù)本不同的系統(tǒng)邏輯需求，大部分控制功能都需要多個(gè)信號進(jìn)行邏輯組合后最后輸出控制或者顯示，這就帶來了一個(gè)問題，一個(gè)信號的質(zhì)量位在經(jīng)過邏輯組合模塊后將如何傳遞。GB/T 15474-1995中將核電儀控系統(tǒng)按照重要性分為下面根據(jù)不同安全級別，1E級、SR級NC級，CPR1000核電中按照不同安全級別所采用DCS平臺(tái)也不同，下面根據(jù)不同安全級別系統(tǒng)分別進(jìn)行分析。

2.1 1E、SR級DCS平臺(tái)質(zhì)量位傳遞機(jī)制

對于1E、SR級功能邏輯，除了包含降級表決后驅(qū)動(dòng)專設(shè)或者停堆斷路器的邏輯外，還存在一些沒有經(jīng)過表決邏輯的控制顯示邏輯功能，對于質(zhì)量位經(jīng)過這些邏輯塊后如何傳遞，目前還沒有標(biāo)準(zhǔn)、規(guī)范要求，理論上每個(gè)邏輯塊都可以開發(fā)出經(jīng)過該邏輯塊后是否保留質(zhì)量位的功能，另外一些DCS組態(tài)平臺(tái)還可以實(shí)現(xiàn)根據(jù)該邏輯塊功能相適應(yīng)的質(zhì)量位保留與否的判斷機(jī)制，進(jìn)行自動(dòng)判斷。

但是對于1E級系統(tǒng)平臺(tái)，根據(jù)IEC 61226-2009要求，需采用簡單的邏輯設(shè)計(jì)方法減輕最終功能性的V&V過程，避免用不相關(guān)低級別的功能在1E級系統(tǒng)實(shí)現(xiàn)。如特定的顯示計(jì)算以及通訊不應(yīng)該在安全系統(tǒng)的軟件中實(shí)現(xiàn)。IAEA NS-G-1.1要求軟件設(shè)計(jì)須具備簡明性，應(yīng)當(dāng)證明無論在系統(tǒng)的功能方面還是在其實(shí)現(xiàn)方面都已避免出現(xiàn)一切不必要的復(fù)雜性。對于基于計(jì)算機(jī)的系統(tǒng)的各種應(yīng)用而言，自頂向下的分解、多層次的抽象和模塊結(jié)構(gòu)，是應(yīng)付不可避免的復(fù)雜性所帶來的問題的重要思路。在設(shè)計(jì)系統(tǒng)模塊時(shí)，應(yīng)當(dāng)在復(fù)雜的算法中選擇較簡單的算法，不應(yīng)為實(shí)現(xiàn)并不需要的性能而犧牲簡明性，本文認(rèn)為如果需要開發(fā)質(zhì)量位篩選功能則需要按照IEC60880以及IEEE Std. 1012或相關(guān)標(biāo)準(zhǔn)要求嚴(yán)格進(jìn)行軟件開發(fā)設(shè)計(jì)以及V&V驗(yàn)證，只有充分的按照安全級平臺(tái)軟件設(shè)計(jì)流程設(shè)計(jì)以及驗(yàn)證和確認(rèn)才可以得到認(rèn)可。以日本三菱MELTAC N-PLUS平臺(tái)為例，MELTAC平臺(tái)軟件組態(tài)邏輯塊并沒有對質(zhì)量位進(jìn)行判斷篩選的機(jī)制，如圖5所示，安全級保護(hù)系統(tǒng)邏輯包含了大量的邏輯塊，這些邏輯塊如果都進(jìn)行質(zhì)量位判斷，將大大增加邏輯的復(fù)雜性。

當(dāng)傳感器故障時(shí)，MELTAC平臺(tái)中和該傳感器參與的所有邏輯輸出信號均含有質(zhì)量位差信息，并向下游邏輯蔓延，如圖6藍(lán)色信號線所示，按照上面所述，如果將質(zhì)量位信息顯示到操縱員站上面，那么將有大量的信號顯示不可信，這將對操縱員判斷產(chǎn)生極大的干擾，從而影響了核電站安全穩(wěn)定運(yùn)行，下文將重點(diǎn)說明該問題的處理原則。

2.2 NC級DCS平臺(tái)質(zhì)量位傳遞機(jī)制

NC-DCS平臺(tái)質(zhì)量位產(chǎn)生和傳遞原來和安全級類似，目前各個(gè)廠家NC-DCS功能相對比較強(qiáng)大并且易于開發(fā)和修改，針對質(zhì)量位經(jīng)過不同邏輯塊的傳遞機(jī)制，各個(gè)廠家均有各自機(jī)制，在實(shí)際工程應(yīng)用中需要結(jié)合工藝系統(tǒng)控制、顯示要求進(jìn)行評價(jià)是否使用，在實(shí)際工程實(shí)踐中推薦一下方法作為質(zhì)量位傳遞設(shè)計(jì)依據(jù)：

（1）信號采集后直接做顯示和報(bào)警，帶信號質(zhì)量位；

（2）信號采集后參與表決邏輯運(yùn)算，輸出結(jié)果需帶運(yùn)算后的綜合質(zhì)量位；

（3）參與單信號的運(yùn)算（如取反，開方，指數(shù)等）且結(jié)果做顯示報(bào)警需帶信號質(zhì)量位，且信號質(zhì)量位源點(diǎn)的信號質(zhì)量；

（4）參與其他邏輯運(yùn)算，則運(yùn)算的結(jié)果不帶信號質(zhì)量（除特別要求外），由于NC平臺(tái)的質(zhì)量位判斷傳遞的機(jī)制理論上完全可以通過模塊本身進(jìn)行判斷計(jì)算和篩選。這就要求在組態(tài)模塊開發(fā)過程中對該模塊的輸入功能有詳細(xì)完整的判斷。并通過工程測試驗(yàn)證，這也是本文建議的一個(gè)重要研究目標(biāo)。當(dāng)NC平臺(tái)對于質(zhì)量位的判斷形成成熟的方法和工程應(yīng)用后，安全級平臺(tái)則可以考慮引入該方法，當(dāng)然在引入的過程中需要進(jìn)行嚴(yán)格的軟件設(shè)計(jì)質(zhì)量控制以及V&V工作方可滿足標(biāo)準(zhǔn)法規(guī)。

3 信號質(zhì)量位在系統(tǒng)保護(hù)、控制及其顯示應(yīng)用分析

3.1 保護(hù)功能應(yīng)用分析

1E級保護(hù)功能邏輯中，為了滿足系統(tǒng)可用性、降低保護(hù)系統(tǒng)誤動(dòng)率和拒動(dòng)率，對于重要工藝參數(shù)通常設(shè)計(jì)多路傳感器，并考慮了重要傳感器失效后邏輯的降級方式，如4取2、3取2表決降級。另外對于一些多個(gè)傳感器組合復(fù)雜的邏輯，如汽水失配等，保護(hù)系統(tǒng)需求規(guī)格書中也一般會(huì)說明傳感器失效后如何通過設(shè)計(jì)到的降級退化模型進(jìn)行降級。

以4取2表決邏輯為例，在實(shí)際保護(hù)系統(tǒng)實(shí)現(xiàn)中，通過判斷傳感器有效性，獲取傳感器輸入質(zhì)量位信息，如圖6中的B1，B2，B3，B4信號，參與到降級邏輯中，從而實(shí)現(xiàn)保護(hù)系統(tǒng)的降級控制，可見質(zhì)量位在系統(tǒng)保護(hù)功能中有極為重要作用。

當(dāng)用于表決邏輯的相關(guān)傳感器失效后，其最終的輸出的控制結(jié)果、保護(hù)動(dòng)作是設(shè)計(jì)時(shí)預(yù)料的結(jié)果，因此該動(dòng)作對應(yīng)的報(bào)警和顯示的質(zhì)量應(yīng)是可信的，對應(yīng)的報(bào)警顯示、畫面顯示應(yīng)該不需要特殊處理，即相關(guān)表決后的信號依然可信，其失效后質(zhì)量位不應(yīng)傳遞到表決邏輯的下游以及操縱員站，否則可能誤導(dǎo)操縱員該保護(hù)動(dòng)作的真實(shí)性，以MELTAC平臺(tái)為例，根據(jù)MELTAC平臺(tái)質(zhì)量位傳遞原則，如不經(jīng)過特殊處理，經(jīng)過表決后的信號依然帶有質(zhì)量位信號，如果這部分信息提示給操縱員，將造成操縱員的誤判。

在MELTAC平臺(tái)信號需要通過NC級網(wǎng)關(guān)才能送往操縱員站，因此在實(shí)際工程應(yīng)用中在網(wǎng)關(guān)側(cè)統(tǒng)一將除了源點(diǎn)質(zhì)量位信息保留外，其他經(jīng)過邏輯組合的質(zhì)量位進(jìn)行剔除，以避免質(zhì)量位泛洪。由于源點(diǎn)質(zhì)量位信息將送到操縱員站，實(shí)際已經(jīng)可以將故障源頭進(jìn)行定位，足以提醒操縱員、檢修人員快速定位故障以及進(jìn)行適當(dāng)干預(yù)處理。

核電站控制系統(tǒng)由于多樣化的要求以及安全分級的要求，通常含多個(gè)DCS平臺(tái)，盡管不同DCS平臺(tái)質(zhì)量位傳遞的機(jī)制不盡相同，但是質(zhì)量位信息顯示在主控室操作畫面上時(shí)，其代表的含義應(yīng)該統(tǒng)一、清楚、明了。給操縱員一個(gè)確定的提示。即當(dāng)畫面上的信號質(zhì)量位差時(shí)，在該信號上打出標(biāo)識(shí)，該標(biāo)識(shí)的含義應(yīng)該在設(shè)計(jì)文件中明確的定義，保證二層表達(dá)的信息和一層實(shí)際的狀態(tài)一致。

CPR1000核電項(xiàng)目中，當(dāng)在操作畫面上的信號質(zhì)量位差時(shí)，將會(huì)打上紅色邊框，出現(xiàn)紅色邊框的含義是該信號數(shù)值已經(jīng)不可信賴，如一個(gè)模擬量斷線后，在二層畫面上的顯示已經(jīng)不能代表現(xiàn)場的真實(shí)情況，DCS檢測出斷線后，產(chǎn)生質(zhì)量位信息通過傳遞送到2層進(jìn)行顯示提示。但是工程實(shí)際中也發(fā)現(xiàn)有些由一層采集的信號經(jīng)過信號的調(diào)理后質(zhì)量位被剔除掉，如流量信號進(jìn)行開方處理，這樣如果被剔除后，一層傳感器斷線后，將無法將有效的質(zhì)量位信息送到二層，不能起到提示操縱員的作用。這樣的情況則需要修正。另外一種情況就是質(zhì)量位經(jīng)過任何邏輯塊質(zhì)量位都向下傳遞，通過上面的論述，有些經(jīng)過表決邏輯的質(zhì)量位信息即使是在傳感器失效的情況下，也是有效的，因此如果該質(zhì)量位顯示在畫面上時(shí)，也將誤導(dǎo)操縱員的判斷。因此為了滿足質(zhì)量位信息在二層操作畫面上的完整、真實(shí)的顯示，根據(jù)不同的傳遞機(jī)制有效的進(jìn)行處理是非常必要的，必要的傳感器失效信息需要顯示在畫面上提示操縱員，由于傳遞機(jī)制造成不必要的質(zhì)量位信息需要被剔除。

3.2 控制、調(diào)節(jié)功能應(yīng)用分析

目前核電站的和機(jī)組穩(wěn)定運(yùn)行相關(guān)的控制、調(diào)節(jié)功能都在NC級DCS平臺(tái)實(shí)現(xiàn)，如果利用好DCS可探測傳感器故障，減輕由于傳感器失效等造成機(jī)組不穩(wěn)定運(yùn)行也是一個(gè)需要考慮的重要問題，核電廠大部分閥門、泵等、控制棒等關(guān)鍵設(shè)備的自動(dòng)控制都依賴于傳感器所提供數(shù)據(jù)，傳感器或者DCS內(nèi)部失效，則很可能造成控制功能喪失，甚至安全事故，從上面已經(jīng)了解了質(zhì)量位的產(chǎn)生，在CPU獲取質(zhì)量位后可以通過觸發(fā)設(shè)計(jì)好缺省值的替代傳感器的輸入而對機(jī)組進(jìn)行控制。但是在缺省值的設(shè)計(jì)過程中也需要認(rèn)真分析不同的機(jī)組工況選擇設(shè)置合適的缺省值以免造成由于采用不真實(shí)的現(xiàn)場信號造成的風(fēng)險(xiǎn)，另外還需要制定配套的規(guī)程，在機(jī)組狀態(tài)變化時(shí)，缺省值設(shè)置如何適應(yīng)，并盡快的修復(fù)故障。CPR1000項(xiàng)目工程實(shí)踐中，采用狀態(tài)導(dǎo)向的事故處理規(guī)程 （ state oriented p rocedure， SOP） 來代替事件導(dǎo)向的事故處理規(guī)程 （ event oriented procedure， EOP） ，改善了核電廠處理疊加事故的能力，在缺省值分析過程中已考慮事故工況下的電廠響應(yīng)。依據(jù)缺省值分析結(jié)果，對事故處理規(guī)程進(jìn)行了優(yōu)化，從而提高事故處理規(guī)程的運(yùn)行效率。

4 結(jié)語

DCS憑借功能強(qiáng)大、容錯(cuò)能力強(qiáng)、可診斷、易于維護(hù)等特點(diǎn)，其應(yīng)用在核電項(xiàng)目中使得核電廠的安全性和經(jīng)濟(jì)性均有所提高，充分的利用數(shù)字化技術(shù)帶來的優(yōu)勢，是核電DCS應(yīng)用中非常有價(jià)值課題，本文針對DCS自診斷特性，較為全面分析信號質(zhì)量位在核電DCS產(chǎn)生、傳遞以及在保護(hù)系統(tǒng)中應(yīng)用情況，給出了建設(shè)性的應(yīng)用方案，并在CPR1000，ACPR1000核電工程實(shí)際中得到了很好的應(yīng)用，可以推廣到任何采用數(shù)字化控制系統(tǒng)的控制領(lǐng)域，并為建立信號質(zhì)量位標(biāo)準(zhǔn)化應(yīng)用方案提供思路和研究方向。

參考文獻(xiàn)

[1] 齊敏，莫昌瑜，謝逸欽，等.基于和睦系統(tǒng)的ACPR1000核電廠反應(yīng)堆保護(hù)系統(tǒng)自診斷[J]. 核動(dòng)力工程，2018，1（39） ：112-116.

[2] 孟磊，唐麟. 國產(chǎn)DCS在1000MW機(jī)組的應(yīng)用分析及問題處理[J].廣東電力，2014，2（27）：52-55.

[3] 董偉鶴，張嵐，熊科，等.降低核級數(shù)字化控制系統(tǒng)中央處理單元負(fù)荷的解決方案與應(yīng)用[J]. 廣東電力，2015，10（28）：30-36.

[4] 劉真，胡立生，白濤. 核電安全級軟件可靠性設(shè)計(jì)標(biāo)準(zhǔn)要求及方法[J].自動(dòng)化儀表，2015，11（36）：116-119，122.

[5] 杜慧，王敬軍，孫建朝. 核電非安全級DCS系統(tǒng)信號失效處理方法[J]. 工業(yè)控制計(jì)算機(jī)，2015，8（28）：11-12，14.

[6] 魯晶，胡立生，徐濟(jì)鋆. 核電數(shù)字化保護(hù)系統(tǒng)模擬量輸入卡件的設(shè)計(jì)[J].微電腦應(yīng)用，2009，7（25）：12-14.

[7] 彭勇，胡慶楨，吳禮銀，等.可靠性設(shè)計(jì)在核電廠安全級DCS研制中的應(yīng)用[J].儀器儀表用戶，2008，4（25）：75-78.