劉建偉，楊慶彧

（中國核電工程有限公司，北京 100840）

0 引言

目前乏燃料后處理廠的設(shè)計(jì)進(jìn)度十分緊張，大家都在加班進(jìn)行專項(xiàng)攻關(guān)，在保證質(zhì)量和保證進(jìn)度的前提下，如何能發(fā)現(xiàn)系統(tǒng)設(shè)計(jì)中（包括系統(tǒng)工藝、儀控設(shè)計(jì)等）的缺陷、風(fēng)險(xiǎn)，進(jìn)而大幅降低后期調(diào)試的難度和縮短周期是一個(gè)迫在眉睫的課題。

對(duì)系統(tǒng)設(shè)計(jì)進(jìn)行設(shè)計(jì)驗(yàn)證，在工藝流程上進(jìn)行綜合測(cè)試，融合儀控系統(tǒng)的檢測(cè)、控制、系統(tǒng)監(jiān)控與工廠運(yùn)行者的綜合經(jīng)驗(yàn)數(shù)據(jù)庫，最終形成一整套的設(shè)計(jì)驗(yàn)證方式、方法，以及后續(xù)搭建平臺(tái)，可以及時(shí)發(fā)現(xiàn)設(shè)計(jì)中的潛在缺陷、風(fēng)險(xiǎn)與不足，從而大大提高乏燃料后處理廠的安全性、穩(wěn)定性，其經(jīng)濟(jì)價(jià)值與工程應(yīng)用價(jià)值不可估量。

分析研究乏燃料后處理廠儀控系統(tǒng)設(shè)計(jì)驗(yàn)證方式、方法，而后搭建設(shè)計(jì)驗(yàn)證平臺(tái)，提高設(shè)計(jì)信息化、智能化水平，可為后續(xù)的大廠設(shè)計(jì)打下堅(jiān)實(shí)基礎(chǔ)。目前，國內(nèi)的核電領(lǐng)域已經(jīng)開展了儀控系統(tǒng)設(shè)計(jì)驗(yàn)證仿真平臺(tái)的開發(fā)[1]，虛擬DCS 仿真技術(shù)也得到了具體應(yīng)用[2]。但是，由于乏燃料后處理廠的設(shè)計(jì)驗(yàn)證在國內(nèi)是首次開展工作，許多工作還在不斷摸索、不斷改進(jìn)的過程中。

在乏燃料后處理廠初步設(shè)計(jì)過程中，由于工藝系統(tǒng)的修改，設(shè)備供應(yīng)商的改變或業(yè)主特殊的需求，都會(huì)導(dǎo)致設(shè)計(jì)方案、驗(yàn)證方案發(fā)生改變，及時(shí)建立一套完善的設(shè)計(jì)規(guī)范體系與驗(yàn)證方法、標(biāo)準(zhǔn)迫在眉睫。

目前國內(nèi)同行對(duì)核工程控制系統(tǒng)的研究取得了一系列的成果，如采用IEC61508 第六部分對(duì)典型的核電廠反應(yīng)堆保護(hù)系統(tǒng)可靠性進(jìn)行計(jì)算[3]；對(duì)于控制系統(tǒng)二層畫面，有同行提出了一種基于色彩理論的核電站人機(jī)接口顏色方案的確定方法[4]；針對(duì)于核電廠專用儀控設(shè)備做了鑒定試驗(yàn)研究[5]等，借鑒已有成果，可為后續(xù)設(shè)計(jì)研發(fā)開拓思路，打下堅(jiān)實(shí)基礎(chǔ)。

表1 系統(tǒng)驗(yàn)證策略表Table 1 System verification strategy table

1 設(shè)計(jì)驗(yàn)證實(shí)施

1.1 制定驗(yàn)證策略

乏燃料后處理廠的系統(tǒng)設(shè)計(jì)驗(yàn)證工作在國內(nèi)屬于空白領(lǐng)域，因?yàn)槭鞘状伍_展工作，所以應(yīng)該更加細(xì)致地開展頂層設(shè)計(jì)，開發(fā)制定出一套較完備的驗(yàn)證策略，即按照工作內(nèi)容、實(shí)施對(duì)策、實(shí)現(xiàn)目標(biāo)、執(zhí)行任務(wù)、責(zé)任人、實(shí)施地點(diǎn)等進(jìn)行了深入細(xì)致的研究，確定相應(yīng)的對(duì)策和措施見表1。

1.2 確定驗(yàn)證方案

針對(duì)不同的驗(yàn)證對(duì)象，驗(yàn)證中心小組使用驗(yàn)證工具采用不同的驗(yàn)證方法進(jìn)行驗(yàn)證，具體如下：

方案一：開環(huán)驗(yàn)證

開環(huán)驗(yàn)證主要是針對(duì)設(shè)備驅(qū)動(dòng)模塊的邏輯驗(yàn)證，其在閉環(huán)狀態(tài)下為黑盒子狀態(tài)，只能改變輸入量，并觀察輸出量的變化，不能查看其具體邏輯動(dòng)作。如果有問題，不能明確看到問題的出處；如果進(jìn)行開環(huán)測(cè)試，可以觀測(cè)到其內(nèi)部邏輯動(dòng)作情況，能清楚地了解其內(nèi)部動(dòng)作機(jī)制，更好地進(jìn)行分析驗(yàn)證。

方案二：系統(tǒng)驗(yàn)證

系統(tǒng)驗(yàn)證主要針對(duì)單系統(tǒng)邏輯設(shè)計(jì)驗(yàn)證，相對(duì)于系統(tǒng)內(nèi)部邏輯的測(cè)試驗(yàn)證，不牽涉其他相關(guān)系統(tǒng)，可連接本系統(tǒng)的工藝模型和MMI 畫面模型。如果系統(tǒng)相對(duì)單一，沒有模擬量調(diào)節(jié)功能，也可不連接工藝模型。這樣的優(yōu)點(diǎn)是操作步驟少，調(diào)節(jié)模型工況時(shí)間短，設(shè)計(jì)驗(yàn)證反響快，便于發(fā)現(xiàn)本系統(tǒng)內(nèi)部的邏輯設(shè)計(jì)問題。

方案三：閉環(huán)集成

閉環(huán)驗(yàn)證是驗(yàn)證平臺(tái)小組運(yùn)用最多的驗(yàn)證方法，閉環(huán)驗(yàn)證包括后處理廠各系統(tǒng)工藝流程模型、邏輯儀控模型、人機(jī)交互界面、報(bào)警、運(yùn)行規(guī)程、事故規(guī)程、安全盤臺(tái)等系統(tǒng)，覆蓋了大部分后處理廠DCS 系統(tǒng)，是比較全面的驗(yàn)證方法。其主要用于多系統(tǒng)集成、重要系統(tǒng)聯(lián)合調(diào)試的功能驗(yàn)證，此項(xiàng)驗(yàn)證不光針對(duì)該系統(tǒng)內(nèi)部的邏輯設(shè)計(jì)驗(yàn)證，還結(jié)合運(yùn)行規(guī)程、事故規(guī)程對(duì)其相關(guān)系統(tǒng)，以及該系統(tǒng)對(duì)整個(gè)后處理廠運(yùn)行的影響進(jìn)行驗(yàn)證分析。實(shí)際上，閉環(huán)驗(yàn)證不光可以驗(yàn)證邏輯儀控設(shè)計(jì)，也可驗(yàn)證人機(jī)畫面的儀控設(shè)計(jì)以及人機(jī)畫面和儀控設(shè)計(jì)的連接狀況。由于閉環(huán)驗(yàn)證系統(tǒng)眾多，牽涉面積廣，導(dǎo)人模型后，需要檢查的內(nèi)容較多，還要完成各種工況的初始條件，導(dǎo)致驗(yàn)證時(shí)間較長，設(shè)計(jì)驗(yàn)證反響較慢。

關(guān)于以上3 種驗(yàn)證方法的比較分析詳見表2。

1.3 開發(fā)驗(yàn)證數(shù)據(jù)庫

依據(jù)IEEE1012-1998 IEEE Standard for Software Verification and Validation 的指導(dǎo)思想，在工廠項(xiàng)目設(shè)計(jì)之初，就要總體考慮到文件體系完整性建立，設(shè)計(jì)過程控制、后續(xù)的設(shè)計(jì)驗(yàn)證、調(diào)試等一整套工作過程。因此，對(duì)后處理廠項(xiàng)目的P&ID 圖、功能圖/SAMA 圖、人機(jī)界面畫面、IO 清單/整定值等文件，在項(xiàng)目開展之初，就充分考慮后續(xù)系統(tǒng)設(shè)計(jì)驗(yàn)證方面的需求，開展文件適應(yīng)性研究，并利用現(xiàn)有EB 軟件，對(duì)文件完整性、可追蹤性開展工作，建立設(shè)計(jì)文件RTM（Requirements Traceability Matrix）體系，為后續(xù)全面開展設(shè)計(jì)驗(yàn)證工作打下基礎(chǔ)。

表2 3種驗(yàn)證方法的比較Table 2 Comparison of three verification methods

由圖1 所示，通過EB 軟件可以很好地跟蹤各個(gè)子項(xiàng)、子項(xiàng)內(nèi)系統(tǒng)的設(shè)計(jì)文件建立、變更情況。

考慮到系統(tǒng)設(shè)計(jì)全生命周期以及后期的系統(tǒng)驗(yàn)證，在項(xiàng)目初始就要統(tǒng)籌考慮，制定出功能圖/SAMA 圖的基本設(shè)計(jì)原則：

1）體現(xiàn)數(shù)字化儀控系統(tǒng)結(jié)構(gòu)、功能分配、信號(hào)接口、數(shù)據(jù)流等方面的特點(diǎn)和限制。

圖1 RTM文件序列Fig.1 RTM File sequence

圖3 功能圖繪制流程Fig.3 Function diagram drawing process

圖2 功能圖/SAMA圖庫Fig.2 Function diagram/SAMA Gallery

2）完整體現(xiàn)從現(xiàn)場(chǎng)設(shè)備接口到人機(jī)接口的儀控功能要求。

3）以SAMA 圖符為基礎(chǔ)，結(jié)合以往設(shè)計(jì)經(jīng)驗(yàn)并兼顧后處理廠項(xiàng)目，設(shè)計(jì)功能圖基礎(chǔ)圖符，以SAMA 圖形式為基礎(chǔ)進(jìn)行功能圖（模擬量）設(shè)計(jì)。對(duì)于復(fù)雜但典型的監(jiān)控邏輯，預(yù)先定義復(fù)雜功能模塊。

4）結(jié)合被控對(duì)象特點(diǎn)，實(shí)現(xiàn)典型控制邏輯、圖形化人機(jī)接口、常規(guī)人機(jī)接口的模塊化、標(biāo)準(zhǔn)化設(shè)計(jì)。

5）功能圖參考原來邏輯圖和模擬圖的劃分原則，分為功能圖（模擬量）和功能圖（邏輯量）兩個(gè)部分。

基于以上原則，建立功能圖/SAMA 功能模塊圖庫如圖2。

在標(biāo)準(zhǔn)化、模塊化的設(shè)計(jì)體系建立以后，設(shè)計(jì)者可以按照下列基本步驟開展典型執(zhí)行器功能圖（開關(guān)量部分）的繪制，如圖3。

圖4 RTM二層圖庫Fig.4 RTM Second floor gallery

關(guān)于二層人機(jī)接口畫面的設(shè)計(jì)驗(yàn)證工作，在系統(tǒng)設(shè)計(jì)開始后也要開展制定相應(yīng)的畫面設(shè)計(jì)規(guī)范及流程，制定標(biāo)準(zhǔn)化的工作程序，并定期進(jìn)行培訓(xùn)。每個(gè)設(shè)計(jì)者都能參考此設(shè)計(jì)程序及流程，提高工作效率，使得設(shè)計(jì)出來的畫面無論從人因、運(yùn)行經(jīng)驗(yàn)以及和設(shè)計(jì)輸入的匹配度上都達(dá)到很好的吻合。同時(shí)，統(tǒng)一的規(guī)定程序，讓設(shè)計(jì)輸出接近于標(biāo)準(zhǔn)化，對(duì)新加入的成員能較快地熟悉設(shè)計(jì)流程，能夠有更多時(shí)間用于熟悉工藝系統(tǒng)，加強(qiáng)設(shè)計(jì)深度。

本次設(shè)計(jì)開始之初，考慮到后期的驗(yàn)證工作，結(jié)合現(xiàn)有項(xiàng)目特點(diǎn)、工藝系統(tǒng)的需求，并利用EB 軟件的RTM 體系，制定了設(shè)備的二層圖庫如圖4。

關(guān)于各類設(shè)備的控制和顯示的相關(guān)功能組件設(shè)計(jì)，直接關(guān)系到處理廠的運(yùn)行安全，開展設(shè)計(jì)的過程中要充分考慮到后處理廠的運(yùn)行需求，以及以往的項(xiàng)目經(jīng)驗(yàn)，制定出合理的運(yùn)行方案。

圖5 電動(dòng)閥的動(dòng)態(tài)顯示Fig.5 Dynamic display of electric valve

以電動(dòng)閥門為例，圖5 為電動(dòng)閥不同狀態(tài)和工況下（填充顏色以淺藍(lán)色為例）的顏色填充。其中，包括了正?？煽貏?dòng)態(tài)、正常不可控動(dòng)態(tài)、掛牌（以動(dòng)態(tài)可操為例）、測(cè)試及故障（以動(dòng)態(tài)可操為例）4 種工況下的開啟/運(yùn)行、關(guān)閉/停止及中間狀態(tài)。

當(dāng)設(shè)備（閥門）接到命令需要從一個(gè)狀態(tài)轉(zhuǎn)換到另一個(gè)狀態(tài)時(shí)，其圖標(biāo)會(huì)閃爍來指示閥門的執(zhí)行過程。當(dāng)執(zhí)行過程停止，圖標(biāo)將停止閃爍。

需要指出的是，圖標(biāo)旁邊的黑色短線僅僅是為了說明閥門其正在執(zhí)行動(dòng)作，在實(shí)際的畫面中是不顯示的，即在閥門處于行程中的時(shí)候，有黑色短線的部分會(huì)出現(xiàn)閃爍狀態(tài)，如圖6。

A）當(dāng)閥門從全開狀態(tài)向全關(guān)狀態(tài)轉(zhuǎn)變時(shí)，其右邊部分直接顯示為全關(guān)狀態(tài)，左邊部分在全開狀態(tài)和全關(guān)狀態(tài)之間交替閃爍，直至動(dòng)作停止。

B）當(dāng)閥門從全關(guān)狀態(tài)向全開狀態(tài)轉(zhuǎn)變時(shí)，其左邊部分直接顯示為全開狀態(tài)，右邊部分在全關(guān)狀態(tài)和全開狀態(tài)之間交替閃爍，直至動(dòng)作停止。

C）當(dāng)閥門從中間狀態(tài)向全關(guān)狀態(tài)轉(zhuǎn)變時(shí)，其右邊部分直接顯示為全關(guān)狀態(tài)，左邊部分在全開狀態(tài)和全關(guān)狀態(tài)之間交替閃爍，直至動(dòng)作停止。

D）當(dāng)閥門從中間狀態(tài)向全開狀態(tài)轉(zhuǎn)變時(shí)，其左邊部分直接顯示為全開狀態(tài)，右邊部分在全關(guān)狀態(tài)和全開狀態(tài)之間交替閃爍，直至行程停止。

關(guān)于設(shè)備的動(dòng)態(tài)顯示，設(shè)備的二層畫面調(diào)用、控制面板中設(shè)備的控制方式以及后處理廠工況顯示等一系列設(shè)計(jì)，目前正在圍繞可驗(yàn)證、可追溯性展開工作。

對(duì)于復(fù)現(xiàn)以往出現(xiàn)的系列問題融入系統(tǒng)驗(yàn)證工作，還得后續(xù)研究中結(jié)合科研項(xiàng)目人機(jī)接口數(shù)據(jù)分析、數(shù)據(jù)挖掘與經(jīng)驗(yàn)反饋數(shù)據(jù)庫來開展工作。

圖6 閥門狀態(tài)指示Fig.6 Valve status indication

2 后續(xù)項(xiàng)目上的應(yīng)用前景

1）通過建立以上的設(shè)計(jì)驗(yàn)證方式、方法，數(shù)據(jù)庫，為后續(xù)搭建平臺(tái)打下了基礎(chǔ)，建立設(shè)計(jì)驗(yàn)證平臺(tái)后，就可以及時(shí)發(fā)現(xiàn)設(shè)計(jì)中的潛在缺陷、風(fēng)險(xiǎn)與不足，從而大大提高乏燃料后處理廠的安全性、穩(wěn)定性。設(shè)計(jì)驗(yàn)證平臺(tái)及其成套技術(shù)可填補(bǔ)國內(nèi)空白，其經(jīng)濟(jì)價(jià)值與工程應(yīng)用價(jià)值不可估量。

2）通過設(shè)計(jì)驗(yàn)證方式、方法的優(yōu)化研究，后續(xù)可搭建設(shè)計(jì)驗(yàn)證平臺(tái)，提高設(shè)計(jì)信息化、智能化水平，在國內(nèi)、國外的同行中使國內(nèi)的乏燃料后處理設(shè)計(jì)處于先進(jìn)水平，為后續(xù)的大廠設(shè)計(jì)打下堅(jiān)實(shí)基礎(chǔ)。

3）此次預(yù)研，開啟了后處理廠系統(tǒng)設(shè)計(jì)驗(yàn)證研究的新篇章，后續(xù)會(huì)進(jìn)一步研究建立后處理廠工藝流程系統(tǒng)，為后續(xù)的全廠的模擬機(jī)平臺(tái)積累技術(shù)基礎(chǔ)，填補(bǔ)國內(nèi)空白，僅此一項(xiàng)的經(jīng)濟(jì)價(jià)值即可為國家節(jié)省近億元。

4）后續(xù)可結(jié)合后處理廠運(yùn)行的各類工況，進(jìn)行運(yùn)行模式的開發(fā)，對(duì)操作員進(jìn)行培訓(xùn)。