夏林路，張雪松，趙鵬飛，陳浠毓，周世梁

基于概率模型檢測器的核電廠分布式控制系統(tǒng)動(dòng)態(tài)可靠性分析

夏林路1, 2，張雪松1, 2，趙鵬飛1，陳浠毓3，周世梁1, 2, *

（1.華北電力大學(xué)核科學(xué)與工程學(xué)院，北京 102206；2.非能動(dòng)核能安全技術(shù)北京市重點(diǎn)實(shí)驗(yàn)室，北京 102206；3. 中國核電工程有限公司，北京 100840）

分布式控制系統(tǒng)（DCS）是核電廠的神經(jīng)中樞，對(duì)其進(jìn)行可靠性分析，識(shí)別薄弱環(huán)節(jié)，開展有針對(duì)性的設(shè)計(jì)優(yōu)化和運(yùn)維改進(jìn)，提高電廠安全水平。DCS部件存在備用自投、在線修復(fù)等動(dòng)態(tài)行為，傳統(tǒng)故障樹不能充分描述上述動(dòng)態(tài)行為。針對(duì)上述問題，采用馬爾科夫模型建立完整的DCS子系統(tǒng)可靠性模型，包括操作終端、PU處理單元、交換機(jī)，以及處理器、電源等各類模件，采用概率模型檢測器PRISM對(duì)馬爾科夫模型進(jìn)行定量計(jì)算，得到系統(tǒng)的不可用率，并對(duì)系統(tǒng)各失效狀態(tài)維修率進(jìn)行了敏感性分析，結(jié)果表明，操作與監(jiān)視系統(tǒng)（OM690）、電廠總線和采集卡失效對(duì)系統(tǒng)不可用率的貢獻(xiàn)高達(dá)95%，因此，通過增加OM690系統(tǒng)、總線設(shè)備、采集卡的備件數(shù)量和維護(hù)人力，可有效提高上述設(shè)備的可靠性。

DCS；馬爾科夫模型；概率模型檢測器；轉(zhuǎn)移矩陣；動(dòng)態(tài)可靠性

DCS是核電廠的神經(jīng)中樞，多個(gè)設(shè)備同時(shí)故障可導(dǎo)致其控制/保護(hù)功能喪失，進(jìn)而使核電廠關(guān)鍵設(shè)備喪失手動(dòng)/自動(dòng)控制功能[1]，造成非計(jì)劃停堆、設(shè)備損壞等嚴(yán)重后果。因此，DCS的可靠性分析是核電廠概率安全評(píng)價(jià)的關(guān)鍵工作之一。

傳統(tǒng)的故障樹分析方法是以布爾代數(shù)為基礎(chǔ)的靜態(tài)邏輯分析方法，處理與時(shí)序有關(guān)的問題或主設(shè)備失效-備用自投、修復(fù)等動(dòng)態(tài)行為，一般需對(duì)其進(jìn)行近似處理，使計(jì)算結(jié)果偏于保守。針對(duì)故障樹方法的上述局限性，國內(nèi)外學(xué)者開展了大量相關(guān)研究工作，文獻(xiàn)［1］采用動(dòng)態(tài)故障樹法分析核反應(yīng)堆穩(wěn)壓器數(shù)字壓力控制裝置可靠性，文獻(xiàn)［2，3］采用動(dòng)態(tài)流圖法（DFM）建立了反應(yīng)堆功率自動(dòng)控制系統(tǒng)的動(dòng)態(tài)可靠性模型，文獻(xiàn)［4，5］采用BDMP分別建立了核電廠蒸汽發(fā)生器水位控制系統(tǒng)和穩(wěn)壓器水位控制系統(tǒng)的動(dòng)態(tài)可靠性模型。這些方法具有各自獨(dú)特優(yōu)勢，反映了控制系統(tǒng)動(dòng)態(tài)可靠性方法的發(fā)展方向。但因建模過程復(fù)雜，缺乏成熟軟件支持，在控制工程界還沒有得到廣泛應(yīng)用。馬爾科夫模型是國際國內(nèi)工控系統(tǒng)可靠性相關(guān)標(biāo)準(zhǔn)推薦的控制系統(tǒng)可靠性評(píng)價(jià)模型，文獻(xiàn)［6］已成功將馬爾科夫模型應(yīng)用于DCS的N取K（KooN）表決系統(tǒng)的可靠性分析，文獻(xiàn)［7］采用了馬爾科夫模型對(duì)數(shù)字化安全級(jí)DCS緊急停堆系統(tǒng)進(jìn)行了共因失效分析。但尚未見采用馬爾科夫模型分析整個(gè)DCS子系統(tǒng)可靠性的論文。因此建立了DCS完整子系統(tǒng)的馬爾科夫模型，并采用在可靠性界得到認(rèn)可并廣泛應(yīng)用的概率模型檢測器RPISM進(jìn)行定量分析，根據(jù)分析結(jié)果，識(shí)別了對(duì)系統(tǒng)可靠性貢獻(xiàn)最大的關(guān)鍵設(shè)備，并進(jìn)行了部件修復(fù)率對(duì)系統(tǒng)不可用率的敏感性分析。最后，基于分析結(jié)果，給出了維護(hù)建議。

1　系統(tǒng)的結(jié)構(gòu)和硬件配置

西門子公司的TXP平臺(tái)由AS620自動(dòng)化系統(tǒng)、OM690操作與監(jiān)視系統(tǒng)、ES680工程系統(tǒng)、DS670診斷系統(tǒng)和SINETH1通訊系統(tǒng)組成[8]。核電廠正常運(yùn)行儀控系統(tǒng)多功能測試、診斷和培訓(xùn)平臺(tái)由AS620自動(dòng)控制系統(tǒng)與OM690操作監(jiān)視系統(tǒng)兩部分組成。AS620系統(tǒng)完成工業(yè)過程的自動(dòng)化任務(wù)。AS620從過程獲取測量的數(shù)值和狀態(tài)，進(jìn)行開環(huán)和閉環(huán)控制功能，傳遞產(chǎn)生的操作變量數(shù)值，校正數(shù)值及其對(duì)過程的命令。其他子系統(tǒng)利用AS620子系統(tǒng)作為過程的接口。AS620傳遞來自O(shè)M690操作員通訊和顯示系統(tǒng)的命令至過程，從過程讀出OM690、ES680或DS670系統(tǒng)所需要的信息，并傳遞這個(gè)信息到OM690。OM690系統(tǒng)則由SUN、HP等各類型的工業(yè)計(jì)算機(jī)組成[8-10]。其硬件配置如表1所示，結(jié)構(gòu)圖如圖1所示。

表1　分布式控制系統(tǒng)TXP系統(tǒng)硬件配置表

圖1　分布式控制系統(tǒng)TXP架構(gòu)與連線圖

2　系統(tǒng)故障分析

核電廠正常運(yùn)行DCS多功能測試、診斷和培訓(xùn)平臺(tái)由AS620自動(dòng)控制系統(tǒng)與OM690操作監(jiān)視系統(tǒng)兩部分組成。歷史上，由于通信中交換機(jī)的失效導(dǎo)致的系統(tǒng)故障案例不在少數(shù)，且西門子官方也給出了與本系統(tǒng)相關(guān)的交換機(jī)的失效數(shù)據(jù)，為了便于分析總線交換機(jī)對(duì)系統(tǒng)的影響，根據(jù)圖1核電廠正常運(yùn)行儀控系統(tǒng)多功能測試、診斷和培訓(xùn)平臺(tái)架構(gòu)與連線圖，劃分出Plant Bus部分，該部分由OSM ITP53和DES-1008D兩臺(tái)交換機(jī)構(gòu)成。

（1） AS620自動(dòng)控制系統(tǒng)

TXP控制機(jī)柜是AS620自動(dòng)控制系統(tǒng)的主要組成部分，機(jī)柜內(nèi)配置了一對(duì)冗余的AP處理器，通過CP1430模件連接到電廠總線，兩個(gè)AP之間通過IM304/IM324模件實(shí)現(xiàn)AP之間的冗余，此機(jī)架占兩個(gè)完全獨(dú)立的底板總線，它在機(jī)架中各FUM模塊之間提供連接。在AP中的一個(gè)IM 304接口模塊和在EU901機(jī)架中的一個(gè)IM614接口模塊提供在AP與一根總線之間的連接。每個(gè)EU902機(jī)架可以安裝19個(gè)功能塊和2個(gè)IM614接口模件。每個(gè)總線接口通過一個(gè)單獨(dú)的機(jī)架總線與一個(gè)單獨(dú)的IM614接口模塊連接。帶有功能塊的EU902機(jī)架通過IM314和IM614接口模塊連接到AP。一個(gè)IM614接口模塊連接到AP（A），另一個(gè)IM614接口模塊連接到AP（B），從而形成了從AP到功能塊的連續(xù)冗余總線。

AS620系統(tǒng)中存在AP到功能塊的連續(xù)冗余，因此當(dāng)兩列均失效的時(shí)候，AS620系統(tǒng)就失效了，A列線路由3個(gè)IM614和一個(gè)IM304模塊構(gòu)成，當(dāng)其中任意一個(gè)模件故障的時(shí)候，A列線路就失效了；B列線路同樣由3個(gè)IM614和一個(gè)IM304模塊構(gòu)成，當(dāng)其中任意一個(gè)模件故障時(shí)，B列線路就失效了，同時(shí)，A、B列線路各模件對(duì)應(yīng)位置、組成、型號(hào)均相同，所以需要考慮A、B列線路的共因失效；AP-A處理器模件是主處理器，由AP電源模件、CPU948R模件和CP1430模件，當(dāng)其中任意一個(gè)模件故障時(shí)，AP-A處理器模件就失效了；AP-B處理器模件是冗余的處理器，由AP電源模件、CPU948R模件和CP1430模件，當(dāng)其中任意一個(gè)模件故障時(shí)，AP-B處理器模件就失效了，同樣AP-A、AP-B處理器的模件組成、對(duì)應(yīng)于機(jī)架上的位置、模件型號(hào)等均相同，也需要考慮共因失效；兩個(gè)AP之間通過IM304、IM324模件實(shí)現(xiàn)AP之間的冗余。當(dāng)A列線路失效時(shí)，若B列線路或AP-B處理器失效時(shí)，則AS620失效。AP-A處理器失效時(shí)，若B線路或AP-B處理器模件失效時(shí)，AS620系統(tǒng)失效。此外，設(shè)置了冗余的AP和A、B列線路均存在共因失效（共因失效采用β模型建立在系統(tǒng)馬爾科夫模型中），一旦發(fā)生共因失效，AS620系統(tǒng)失效。

（2）電廠總線

電廠總線連接了AS620自動(dòng)控制系統(tǒng)和OM690操作監(jiān)視系統(tǒng)兩個(gè)部分，實(shí)現(xiàn)了兩部分的信息傳遞，沒有設(shè)置冗余。本多功能平臺(tái)中，當(dāng)OSM ITP53交換機(jī)或DES-1008D交換機(jī)失效時(shí)，認(rèn)為信息將無法傳輸，那么電廠總線就失效了。

（3） OM690操作監(jiān)視系統(tǒng)

OM690系統(tǒng)主要用于對(duì)生產(chǎn)過程進(jìn)行控制核監(jiān)視，是操縱員與電廠之間的人機(jī)接口。在TXP系統(tǒng)多功能平臺(tái)中主要包括操作終端OT、處理單元PU及AT-FS716交換機(jī)。當(dāng)OT、PU和交換機(jī)AT-FS716失效時(shí)，OM690就失效了。根據(jù)上述的分析，以及實(shí)際系統(tǒng)可能出現(xiàn)的故障形態(tài)，我們把系統(tǒng)狀態(tài)分為正常狀態(tài)、降級(jí)失效狀態(tài)和系統(tǒng)失效狀態(tài)。其中系統(tǒng)失效狀態(tài)包括總電源失效、總線失效、采集卡失效、OM690系統(tǒng)失效、切換失效、AP失效、AB線路失效和A/B-AP失效八個(gè)狀態(tài)。降級(jí)失效狀態(tài)包括A列線路失效、B列線路失效、AP_A失效、AP_B失效和切換模件失效五個(gè)狀態(tài)。這個(gè)分類為后面馬爾科夫模型的搭建提供了狀態(tài)的參考。

3　失效數(shù)據(jù)收集與估算

系統(tǒng)各模件失效率主要是通過西門子官方數(shù)據(jù)確定下來的，而修復(fù)率主要是參考某核電站的標(biāo)準(zhǔn)，即模件修復(fù)時(shí)間不能超過4 h。其失效數(shù)據(jù)如表2所示。

表2　失效數(shù)據(jù)表

注：1* 參考研華工控機(jī)；2* 西門子官方數(shù)據(jù)；

根據(jù)表3即β因數(shù)估計(jì)表[4]進(jìn)行β因子值進(jìn)行定性估計(jì)，TXP系統(tǒng)多功能平臺(tái)中主要有冗余的AP處理器和冗余的A、B線路存在共因失效，由β=0開始計(jì)算，其中冗余的AP處理器安裝在同一個(gè)機(jī)架上，β增加0.01，各自使用獨(dú)立的電源，有電流地隔離，β增加0.002，它們之間設(shè)置了物理隔離，在設(shè)計(jì)上是相同的，β增加0.01，β因子的估計(jì)值為0.022，記為β1。A列與B列線路各個(gè)對(duì)應(yīng)傳輸卡件都安裝在同一個(gè)機(jī)架上的同一塊背板上，β增加0.01，使用公共電源，β增加0.01，它們之間設(shè)置了物理隔離，在設(shè)計(jì)上是相同的，β增加0.01，故β因子的估計(jì)值為0.04，記為β2。

表3　β因數(shù)估計(jì)表

續(xù)表

4　馬爾科夫模型定量分析

馬爾科夫模型，是由俄國科學(xué)家安德烈馬爾科夫提出來的，是一種采用狀態(tài)圖的可靠性和安全性建模的方法。被廣泛應(yīng)用于工業(yè)系統(tǒng)的可靠性的分析中[11, 12]。概率模型檢測工具PRISM是由M.Kwiatkowska在英國牛津大學(xué)開發(fā)的。主要用于系統(tǒng)可靠性方面的建模和分析，其可以用于分析離散時(shí)間馬爾科夫鏈、連續(xù)時(shí)間馬爾科夫鏈、馬爾科夫決策過程以及概率和時(shí)間自動(dòng)計(jì)算模型[13-15]，PRISM通過模塊化建模，提高了建模效率，大幅度降低可靠性工程師建模工作量。

4.1　建模假設(shè)

（1）只考慮運(yùn)行失效，不考慮啟動(dòng)失效等。

（2）只考慮硬件失效，不考慮軟件失效、操作員誤操作失效等其他失效。軟件失效和操作員誤操作分析方法與馬爾科夫方法屬于不同體系，在馬爾科夫模型中很難準(zhǔn)確描述。

（3）不考慮DCS系統(tǒng)機(jī)柜背板的失效，公開發(fā)表的文獻(xiàn)上沒有一例背板失效導(dǎo)致的系統(tǒng)失效的案例。

（4）考慮到組合失效的概率極低，為了簡化分析，對(duì)AS620系統(tǒng)中的AP到功能塊的連續(xù)冗余部分，只考慮AP-A處理器、AP-B處理器、A列線路和B列線路的兩兩失效組合，而忽略三個(gè)及以上的同時(shí)失效所導(dǎo)致的系統(tǒng)失效。這種忽略發(fā)生概率極低的組合事件的“截?cái)唷狈椒ㄔ诟怕拾踩治鲋惺菑V泛使用的。

（5）不考慮鼠標(biāo)、鍵盤、顯示器和ASCLL終端的失效，其失效一般不會(huì)導(dǎo)致整個(gè)系統(tǒng)失效，修復(fù)一般很快（典型值為數(shù)分鐘到數(shù)十分鐘），且其產(chǎn)品型號(hào)及失效數(shù)據(jù)難以獲取。

（6）不考慮ES680系統(tǒng)，ES680主要用于邏輯功能圖的修改、AP代碼的生成及傳送、MMI畫面的修改、生成及傳送，是核電廠正常運(yùn)行儀控系統(tǒng)多功能測試、診斷和培訓(xùn)平臺(tái)的組態(tài)和調(diào)試工具。故其失效并不會(huì)導(dǎo)致系統(tǒng)失效。

（7）不考慮ESDBA系統(tǒng)管理員站，ESDBA是本系統(tǒng)的調(diào)試管理工具，用來對(duì)本平臺(tái)的OT、PU等系統(tǒng)設(shè)備進(jìn)行安裝、軟件組態(tài)燈光工作。其失效并不會(huì)使得系統(tǒng)喪失正常運(yùn)行能力，不會(huì)導(dǎo)致系統(tǒng)失效。

（8）系統(tǒng)由各部分失效到正常所需要的修復(fù)時(shí)間均設(shè)為國內(nèi)某核電站修復(fù)時(shí)間的標(biāo)準(zhǔn)，即4小時(shí)。

（9）不考慮連接網(wǎng)線、電纜等的失效，此類設(shè)備若采用滿足設(shè)計(jì)要求的產(chǎn)品并按相關(guān)規(guī)定鋪設(shè)，失效率一般很低，將此類失效歸并到所連接設(shè)備的失效中是廣泛接受的做法。

4.2　馬爾科夫模型

我們按前面系統(tǒng)狀態(tài)的劃分及故障分析，建立了如圖2所示的馬爾科夫模型。

4.3　定量分析及結(jié)果

使用PRISM驗(yàn)證方法（將馬爾科夫模型用PRISM語言描述后，使用PRISM軟件輸入模型并設(shè)置計(jì)算參數(shù)，包括計(jì)算的時(shí)間、間隔時(shí)間、計(jì)算的失效狀態(tài)等，選擇驗(yàn)證方式進(jìn)行定量分析）。同時(shí)通過狀態(tài)轉(zhuǎn)移矩陣直接進(jìn)行系統(tǒng)不可用率計(jì)算，主要過程是根據(jù)系統(tǒng)馬爾科夫模型、失效率和修復(fù)率，寫出狀態(tài)轉(zhuǎn)移矩陣，對(duì)不斷進(jìn)行自乘，直到P+1=P（矩陣中的數(shù)值不再變化，達(dá)到穩(wěn)態(tài)），得到系統(tǒng)各個(gè)狀態(tài)的可用率，而各個(gè)失效狀態(tài)的不可用率相加便得到了系統(tǒng)的不可用率。系統(tǒng)不可用率隨時(shí)間的變化情況如圖3所示，基于PRISM和直接采用轉(zhuǎn)移矩陣的定量計(jì)算結(jié)果均為2.198×10-4，系統(tǒng)不能正常工作的概率在萬分之一的量級(jí)，滿足可用率大于99.9%的設(shè)計(jì)要求，驗(yàn)證了PRISM計(jì)算馬爾科夫模型的方法的正確性。同時(shí)，也得到了不同設(shè)備的不可用率及其對(duì)總不可用率的貢獻(xiàn)，如圖4所示，而求得的各設(shè)備穩(wěn)態(tài)不可用率分別如表5及圖5所示。

圖2　分布式控制系統(tǒng)TXP系統(tǒng)多功能平臺(tái)馬爾科夫模型

圖中虛線圈表示系統(tǒng)失效狀態(tài)，點(diǎn)線圈表示系統(tǒng)正常狀態(tài)，粗線圈表示降級(jí)失效狀態(tài)，分降級(jí)失效狀態(tài)可以在線修復(fù)為正常狀態(tài)，失效狀態(tài)可以停機(jī)修復(fù)為正常狀態(tài)。圖中各參數(shù)如表4所示。

表4　馬爾科夫模型參數(shù)表

續(xù)表

表5　各設(shè)備不可用率表

圖3　多功能平臺(tái)不可用率

Fig.3 The non-availability of the multifunctional platform

圖4　各系統(tǒng)失效狀態(tài)的餅狀圖

圖5　各系統(tǒng)失效狀態(tài)的失效率

此外，對(duì)系統(tǒng)失效狀態(tài)中的切換失效狀態(tài)的修復(fù)時(shí)間取2 h、4 h、8 h、12 h、24 h，而保持其他所有修復(fù)率不變，得到不同切換失效修復(fù)率swt下的系統(tǒng)不可用率隨時(shí)間的變化，如圖6（a）所示，設(shè)（＞1）為維修時(shí)間24 h和維修時(shí)間2小時(shí)系統(tǒng)穩(wěn)態(tài)不可用率的比值，值越大，說明該設(shè)備對(duì)系統(tǒng)不可用率的影響越大。可知swt約為1，則swt對(duì)系統(tǒng)的不可用率幾乎沒有影響。同理分別對(duì)電源失效、總線失效、采集卡失效、OM690系統(tǒng)失效、AP失效、AB線路失效和A/B-AP失效的修復(fù)時(shí)間按上述方法取2 h、4 h、8 h、12 h、24 h，得到對(duì)應(yīng)修復(fù)率下系統(tǒng)不可用率隨時(shí)間的變化情況，計(jì)算出pow、pb、fum、om、LAB、AP、co分別約為1.24、2.74、2.63、4.02、1.02、1.09、1，如圖6所示。

5　結(jié)論

建立了某核電站DCS完整子系統(tǒng)（包括DCS實(shí)時(shí)運(yùn)行涉及的所有子系統(tǒng)和設(shè)備）的馬爾科夫動(dòng)態(tài)可靠性分析模型，計(jì)算了該子系統(tǒng)的不可用率，分析了不同設(shè)備失效對(duì)總不可用率的貢獻(xiàn)，并對(duì)各設(shè)備的修復(fù)率進(jìn)行了敏感性分析，得到以下結(jié)論：

（1）基于PRISM和直接采用轉(zhuǎn)移矩陣的定量計(jì)算結(jié)果均為2.198×10-4，系統(tǒng)不能正常工作的概率在萬分之一的量級(jí)，滿足可用率大于99.9%的設(shè)計(jì)要求，驗(yàn)證了PRISM計(jì)算馬爾科夫模型的方法的正確性

（2）操作與監(jiān)視系統(tǒng)（OM690）、電廠總線和采集卡失效對(duì)系統(tǒng)不可用率的貢獻(xiàn)高達(dá)95%；

（3） OM690系統(tǒng)、電廠總線、采集卡、總電源修復(fù)率降低會(huì)顯著增加系統(tǒng)不可用率。在運(yùn)行環(huán)境滿足設(shè)計(jì)規(guī)定的前提下，這些設(shè)備的失效率主要取決于DCS制造商的工藝水平和質(zhì)量控制能力，維護(hù)策略對(duì)上述設(shè)備失效率影響不大；而適當(dāng)縮短OM690系統(tǒng)、總線設(shè)備、采集卡、總電源的定期檢測周期，增加它們的備件數(shù)量和維護(hù)人力，可有效提高上述設(shè)備的修復(fù)率，從而顯著降低系統(tǒng)不可用率。

［1］ 錢虹，古雅琦，劉鑫杰．基于動(dòng)態(tài)故障樹的核反應(yīng)堆穩(wěn)壓器數(shù)字壓力控制裝置可靠性研究［J］．核動(dòng)力工程，2019，40（3）：103-108．

［2］ 周世梁，劉玉燕，杜文．基于故障樹方法的核電廠數(shù)字化反應(yīng)堆功率控制系統(tǒng)可靠性分析［J］．核科學(xué)與工程，2013，33（4）：419-428．

［3］ 周世梁，王浩，田聰．動(dòng)態(tài)流圖法對(duì)核電廠數(shù)字化儀控系統(tǒng)的可靠性評(píng)價(jià)［J］．核科學(xué)與工程，2018，38（1）：88-98．

［4］ 王浩，余嘉煒，周世梁，等．基于 BDMP 的核電廠蒸汽發(fā)生器水位控制系統(tǒng)可靠性評(píng)價(jià)［J］．原子能科學(xué)技術(shù)，2017，51（12）：2330-2337．

［5］ Mao Yijing，Chen Xiyu，Zhou Shiliang，et al．Reliability analysis of Digital Pressurizer Water Level Control System in NPP based on Boolean logic Driven Markov Process［C］// 2018 14th Probabilistic Safety Assessment & Management conference．International Association for Probabilistic Safety Assessment and Managemen，2018．

［6］ 張慶，馬權(quán)，許標(biāo)，等．基于馬爾科夫法的核電廠安全級(jí)DCS功能安全分析［J］．儀器儀表用戶，2016，23（10）：77-81，24．

［7］ 馬權(quán)，羅琦，宋小明，等．?dāng)?shù)字化安全級(jí)DCS緊急停堆系統(tǒng)共因失效分析［J］．核動(dòng)力工程，2018，39（3）：95-99．

［8］ 王新，張寶龍，魏龍彪，等．田灣核電站數(shù)字化儀控TXP系統(tǒng)多功能平臺(tái)的研制［J］．中國儀器儀表，2014（1）：55-58．

［9］ 徐正清，王興葉．西門子TXP系統(tǒng)在揚(yáng)州二電廠600 MW機(jī)組上成功投運(yùn)［J］．電力自動(dòng)化設(shè)備，1999，19（1）：41-43．

［10］王云偉，冷杉，劉志聲，等．虛擬TXP控制系統(tǒng)軟件設(shè)計(jì)與開發(fā)［J］．核動(dòng)力工程，2008，29（6）：128-131．

［11］李元章，何春雄．馬爾科夫過程與實(shí)用隨機(jī)模型［M］．廣州：華南理工大學(xué)出版社，2018．

［12］施仁杰．馬爾科夫鏈基礎(chǔ)及其應(yīng)用［M］．西安：西安電子科技大學(xué)出版社，1992．

［13］張國強(qiáng)，殷博，朱靜雯，等．基于概率模型檢測的移動(dòng)應(yīng)用缺陷評(píng)估［J］．計(jì)算機(jī)工程與設(shè)計(jì)，2019，40（7）：1908-1914．

［14］ Clemens Wiltsche，Marta Kwiatkowska，David Parker. PRISM-games：verification and strategy synthesis for stochastic multi-player games with multiple objectives［J］. International Journal on Software Tools for Technology Transfer：STTT，2018，20（2）：195-210．

［15］ Kwiatkowska M，Norman G，Parker D．PRISM 4.0：Verification of probabilistic real-time system［C］// Computer Aided Verification-International Conference，2011：585-591．

The Dynamic Reliability Analysis of the Distributed Control System of Nuclear Power Plant Based on the Probabilistic Model Detector

XIA Linlu1, 2，ZHANG Xuesong1, 2，ZHAO Pengfei1，CHEN Xiyu3，ZHOU Shiliang1, 2, *

（1. North China Electric Power University School of Nuclear Science And Engineering，Beijing 102206，China；2. Beijing Key Laboratory of Passive Nuclear Safety Technology，Beijing 102206，China；3. China Nuclear Power Engineering Corporation，Beijing 100840，China）

The distributed control system (DCS) is the nerve center of nuclear power plant. It can improve the safety level of power plant by analyzing its reliability, locating its weak links, and carrying out targeted design, operation and maintenance improvement. DCS components have dynamic behaviors such as the standby self-cast and online repair, which cannot be adequately described by traditional fault trees. To solve the above problems, the Markov model is used to establish a complete reliability model of the DCS subsystem, including operating terminals, PU processing units, switches, processors, power supplies and other modules. The probabilistic model detector (PRISM) is used to carry out quantitative calculation on the Markov model to obtain the system unavailability. The sensitivity analysis is also carried out for the maintenance rate of each failure state of the system, the results show that the operation and monitoring system (OM690), the contribution of the failure of power plant bus and acquisition card to the system unavailability is as high as 95%, by increasing OM690 system, bus equipment, acquisition card number of spare parts and maintenance of human, which can effectively improve the reliability of the equipment.

Distributed control system; Markov model; PRSIM; Transition matrix; Dynamic reliability

TL48

A

0258-0918（2022）02-0318-11

2021-01-05

夏林路（1997—），男，湖南邵陽人，碩士研究生，現(xiàn)主要從事DCS系統(tǒng)可靠性方面研究

裝備預(yù)研重點(diǎn)實(shí)驗(yàn)室基金項(xiàng)目資助（6142A07200311）；中央高?；究蒲袠I(yè)務(wù)費(fèi)專項(xiàng)資金資助（2019MS022，2019MS036）

周世梁，E-mail：zhoushiliang@ncepu.edu.cn