姚力愷YAO Li-kai；馬蜀MA Shu；王志武WANG Zhi-wu；涂畫TU Hua；彭超PENG Chao；劉立華LIU Li-hua

（①蘇州熱工研究院設(shè)備管理中心，深圳 518000；②中廣核核電運(yùn)營(yíng)有限公司重大設(shè)備管理辦公室，深圳 518000；③大亞灣公司中長(zhǎng)期改造項(xiàng)目部，深圳 518000）

0 引言

國(guó)內(nèi)外第二代核電建設(shè)高潮已過(guò)去30-40 年，上世紀(jì)80-90 年代建成的核電站正逐漸面臨延壽考驗(yàn)。上世紀(jì)建成的核電儀控系統(tǒng)普遍使用模擬控制技術(shù)，目前面臨備件停產(chǎn)、設(shè)備老化、難以增加冗余設(shè)備導(dǎo)致CCM 設(shè)備數(shù)量偏多、抗干擾能力弱且難以與當(dāng)前無(wú)線化智能化的手持工具相兼容的諸多問(wèn)題。因此國(guó)內(nèi)外多個(gè)核電站都在考慮和實(shí)施將舊有的模擬量控制系統(tǒng)改造為新型的數(shù)字化DCS控制系統(tǒng)。

目前已經(jīng)實(shí)施的模擬量系統(tǒng)改造為數(shù)字化DCS控制系統(tǒng)的成功經(jīng)驗(yàn)尚且不多，改造過(guò)程中面臨工期緊、任務(wù)重的諸多困難，還必須控制風(fēng)險(xiǎn)。如果繼續(xù)沿用通用的新建電廠DCS安裝調(diào)試風(fēng)險(xiǎn)控制方法可能無(wú)法完成在大修期間完成設(shè)備安裝調(diào)試工作且控制好風(fēng)險(xiǎn)。本文通過(guò)系統(tǒng)梳理突破過(guò)去風(fēng)險(xiǎn)控制方法產(chǎn)生的經(jīng)驗(yàn)反饋和成熟的風(fēng)險(xiǎn)控制方法。提出根據(jù)風(fēng)險(xiǎn)概率和后果評(píng)估風(fēng)險(xiǎn)，構(gòu)建全范圍、全生命周期驗(yàn)證測(cè)試系統(tǒng)，提前進(jìn)行數(shù)字化施工等方法在縮短DCS改造實(shí)施工期的同時(shí)控制風(fēng)險(xiǎn)。

1 風(fēng)險(xiǎn)評(píng)估方法

控制改造風(fēng)險(xiǎn)的整體思路如圖1 所示。首先通過(guò)經(jīng)驗(yàn)反饋梳理已有的風(fēng)險(xiǎn)控制措施，然后梳理已有的DCS系統(tǒng)在運(yùn)維過(guò)程的故障歷史，統(tǒng)計(jì)哪一類故障模式容易成為突破式的故障模式，即已有的風(fēng)險(xiǎn)控制措施對(duì)該類故障模式的風(fēng)險(xiǎn)控制不足。

圖1 風(fēng)險(xiǎn)評(píng)估與控制流程

DCS系統(tǒng)在運(yùn)行過(guò)程中故障導(dǎo)致的預(yù)期總損失滿足式（1）。

其中Pi為第i 種故障模式發(fā)生的概率；Ai為該故障模式導(dǎo)致的直接后果損失，如故障導(dǎo)致跳機(jī)的損失；Bi為維修成本，如更換備件的物料和人工成本；Ni為具有該故障模式的設(shè)備總量。

由于Ai一般顯著大于Bi，因此通過(guò)風(fēng)險(xiǎn)控制措施顯著降低Pi或Ai即可降低總損失。

根據(jù)經(jīng)驗(yàn)反饋輸入的突破性故障模式，在設(shè)計(jì)、實(shí)施、運(yùn)維各個(gè)階段選擇合適的風(fēng)險(xiǎn)控制方法，通過(guò)降低Pi或Ai，即可降低預(yù)期總損失。同時(shí)根據(jù)在實(shí)施過(guò)程中發(fā)現(xiàn)的新的突破性故障模式不斷迭代風(fēng)險(xiǎn)控制方案。

在選取風(fēng)險(xiǎn)控制方案時(shí)遵循以下原則，如圖2 所示，重點(diǎn)針對(duì)發(fā)生概率高且后果嚴(yán)重的故障模式，對(duì)后果嚴(yán)重但發(fā)生概率低或發(fā)生概率高但后果較輕的故障模式在成本允許的條件下適當(dāng)關(guān)注其風(fēng)險(xiǎn)控制方法。對(duì)于發(fā)生概率低且后果輕的故障模式可忽略。

圖2 風(fēng)險(xiǎn)控制方案選取原則

1.1 已有風(fēng)險(xiǎn)控制方法

如圖3 所示，在設(shè)計(jì)過(guò)程中，通過(guò)對(duì)圖紙的設(shè)計(jì)驗(yàn)證以確保各層級(jí)的設(shè)計(jì)滿足上一層級(jí)的需求。同時(shí)通過(guò)單體、系統(tǒng)集成、全系統(tǒng)聯(lián)調(diào)、在廠安裝測(cè)試和最終全電廠聯(lián)調(diào)的方式驗(yàn)證實(shí)際設(shè)備滿足需求規(guī)格書的要求。這一套V型設(shè)計(jì)驗(yàn)證流程已在新建DCS系統(tǒng)的設(shè)計(jì)建造調(diào)試過(guò)程中廣泛應(yīng)用。

圖3 設(shè)計(jì)驗(yàn)證流程圖

圖3中右側(cè)各項(xiàng)測(cè)試工作是對(duì)設(shè)計(jì)需求和目標(biāo)的最終驗(yàn)證，在確保設(shè)備具備設(shè)計(jì)功能的同時(shí)也可以發(fā)現(xiàn)大量非預(yù)期特性或缺陷并及時(shí)更正。DCS系統(tǒng)新建項(xiàng)目中通常單體測(cè)試、系統(tǒng)集成、全系統(tǒng)聯(lián)調(diào)包含的具體測(cè)試項(xiàng)目為：

①電源性能測(cè)試，如電源電壓、功率；②IO 通道性能測(cè)試，如通道精度等；③裕量測(cè)試，如CPU 負(fù)荷，內(nèi)存裕量，網(wǎng)絡(luò)裕量；④冗余功能測(cè)試；⑤接線測(cè)試，檢查實(shí)際接線與圖紙一致性；⑥畫面檢查；⑦自診斷功能測(cè)試；⑧超量程測(cè)試；⑨外觀檢查；⑩尺寸測(cè)試；?控制和保護(hù)功能測(cè)試，主要驗(yàn)證其與上游設(shè)計(jì)的邏輯圖和模擬圖功能一致性；?可維護(hù)性測(cè)試；?響應(yīng)時(shí)間測(cè)試。

上述測(cè)試中的大部分內(nèi)容用于測(cè)試設(shè)備實(shí)際構(gòu)成、邏輯與設(shè)計(jì)要求的一致性。某項(xiàng)目工廠測(cè)試階段發(fā)現(xiàn)的缺陷類型分布如圖4 所示，其中軟硬件詳細(xì)設(shè)計(jì)缺陷占主要數(shù)量。其中大部分為比較簡(jiǎn)單的“粗心”類錯(cuò)誤，如錯(cuò)誤的接線、錯(cuò)誤的線標(biāo)、軟件中變量名錯(cuò)誤等。

圖4 某項(xiàng)目工廠測(cè)試階段缺陷原因分布

1.2 突破性故障模式

在完成已有測(cè)試驗(yàn)證后，DCS系統(tǒng)將交付電廠進(jìn)入商業(yè)化運(yùn)營(yíng)階段。在此過(guò)程中，在運(yùn)營(yíng)過(guò)程中，DCS系統(tǒng)中各類設(shè)備不可避免的發(fā)生隨機(jī)故障，但有3 類情況應(yīng)極力避免：①單個(gè)設(shè)備故障導(dǎo)致停機(jī)或停堆的嚴(yán)重后果；②設(shè)計(jì)缺陷導(dǎo)致機(jī)組或設(shè)備工作在某種特定但必然會(huì)處于的狀態(tài)時(shí)會(huì)導(dǎo)致停機(jī)停堆或大幅度降功率；③某種共模因素導(dǎo)致大量設(shè)備同時(shí)故障。

在經(jīng)過(guò)已有風(fēng)險(xiǎn)控制方法測(cè)試驗(yàn)證后發(fā)生的上述3類情況在本文中定義為突破性故障。

對(duì)某集團(tuán)近10 年來(lái)14 起DCS系統(tǒng)故障導(dǎo)致停機(jī)停堆或大幅度降功率的突破性故障案例進(jìn)行分析，可總結(jié)成表1。

表1 DCS 系統(tǒng)故障導(dǎo)致的突破性故障案例

通過(guò)分析某核電集團(tuán)歷年其他有一定后果的DCS設(shè)備故障情況，如表2 所示，卡件/繼電器等硬件類故障次數(shù)占多數(shù)。

表2 DCS 系統(tǒng)故障原因分類

如表3 所示，其中通信類設(shè)備和IO 模塊的故障次數(shù)占多數(shù)。

表3 DCS 系統(tǒng)故障卡件類型統(tǒng)計(jì)

考慮到通信設(shè)備通常有冗余且較少傳輸重要信號(hào)，對(duì)部分型號(hào)IO 設(shè)備和控制器失效后果的結(jié)果見(jiàn)表4 至表6。在實(shí)際工程中，單一設(shè)備故障可以導(dǎo)致停機(jī)停堆的IO設(shè)備占總IO 設(shè)備的總數(shù)不足10%。但考慮到單一設(shè)備故障如果導(dǎo)致停機(jī)停堆的損失非常嚴(yán)重，而增加冗余的成本較低。因此依然有必要進(jìn)行專門的梳理，以盡量減少單一設(shè)備故障導(dǎo)致停機(jī)停堆或大幅度降功率的情況發(fā)生。

表4 模擬量輸入輸出卡件故障直接后果分布

表5 數(shù)字量輸入輸出卡件故障直接后果分布

表6 控制器故障直接后果分布

1.3 改造特有風(fēng)險(xiǎn)

DCS改造項(xiàng)目相對(duì)于新建DCS項(xiàng)目具有以下特點(diǎn)：

時(shí)間壓力更大：改造項(xiàng)目通常安排在長(zhǎng)大修窗口進(jìn)行，舊設(shè)備拆除和新設(shè)備安裝調(diào)試工期不超過(guò)60 天。而新建DCS項(xiàng)目安裝調(diào)試時(shí)間則在半年以上。

空間受限：改造活動(dòng)在已有廠房進(jìn)行，廠房?jī)?nèi)存在不在改造范圍內(nèi)無(wú)法移動(dòng)的設(shè)備，舊設(shè)備拆除若與新設(shè)備安裝同步進(jìn)行則可能阻擋新設(shè)備安裝。

保留使用的舊設(shè)備存在缺陷隱患：為控制工期和成本，改造過(guò)程中會(huì)留用部分舊設(shè)備（如電纜）。舊設(shè)備在整個(gè)改造過(guò)程中可能受損或因老化存有缺陷，有可能導(dǎo)致改造后的故障。

2 風(fēng)險(xiǎn)控制方法

2.1 整體

如圖5 所示，為控制核電DCS改造風(fēng)險(xiǎn)，以風(fēng)險(xiǎn)評(píng)估方法為基礎(chǔ)，將經(jīng)驗(yàn)反饋數(shù)據(jù)整理和分析后在接口與接線、合同與供應(yīng)鏈管理、人因工程、通信等12 個(gè)領(lǐng)域以全范圍全生命周期驗(yàn)證測(cè)試系統(tǒng)、電纜端接管理系統(tǒng)、3D 虛擬化設(shè)備拆裝仿真系統(tǒng)、電纜老化檢測(cè)與評(píng)估工具作為軟硬件基礎(chǔ)設(shè)備，開(kāi)展專項(xiàng)的風(fēng)險(xiǎn)評(píng)估與控制、測(cè)試流程來(lái)整體控制DCS改造風(fēng)險(xiǎn)。各個(gè)專項(xiàng)的風(fēng)險(xiǎn)評(píng)估與控制、測(cè)試流程貫穿整個(gè)設(shè)計(jì)、制造、測(cè)試、調(diào)試、運(yùn)維過(guò)程。

圖5 風(fēng)險(xiǎn)控制方法整體結(jié)構(gòu)

2.2 設(shè)計(jì)階段

對(duì)已經(jīng)發(fā)現(xiàn)的突破性故障模式，在設(shè)計(jì)審查階段最容易降低風(fēng)險(xiǎn)的措施是適當(dāng)提高冗余設(shè)計(jì)的合理性，減少單一故障導(dǎo)致嚴(yán)重后果的設(shè)備數(shù)量。在設(shè)計(jì)階段容易出現(xiàn)的問(wèn)題包括：多個(gè)冗余的信號(hào)自身或其質(zhì)量位信號(hào)通過(guò)單一設(shè)備傳遞或計(jì)算；供電回路中存在單一失效使冗余徹底喪失的設(shè)備；冗余的回路中部分設(shè)備故障后沒(méi)有報(bào)警。

通過(guò)分析每個(gè)設(shè)備的故障后果，即危害分析，可以發(fā)現(xiàn)此類問(wèn)題?；贒CS設(shè)計(jì)實(shí)際情況，對(duì)所有DCS設(shè)備進(jìn)行危害分析難度大、工作量大?？赏ㄟ^(guò)從誤動(dòng)或據(jù)動(dòng)會(huì)導(dǎo)致直接嚴(yán)重后果的下游輸出設(shè)備（如IO 卡）開(kāi)始，向上游梳理其相關(guān)設(shè)備，對(duì)其相關(guān)設(shè)備逐個(gè)進(jìn)行危害分析。在梳理過(guò)程中，已經(jīng)設(shè)計(jì)有冗余的部分不可直接忽略，宜仔細(xì)評(píng)估冗余設(shè)計(jì)中是否存在下列情況：①冗余部分失效后無(wú)報(bào)警；②冗余設(shè)備間同步信息或狀態(tài)的設(shè)備失效可能導(dǎo)致冗余整體失去。同時(shí)在設(shè)計(jì)階段宜充分考慮熱設(shè)計(jì)、降額、電磁干擾和設(shè)備老化的影響，避免由于共模因素導(dǎo)致的設(shè)備故障率高，使冗余設(shè)備同時(shí)故障。

2.3 調(diào)試測(cè)試階段

DCS改造工作安排在大修窗口進(jìn)行，此時(shí)若執(zhí)行調(diào)試試驗(yàn)時(shí)發(fā)現(xiàn)設(shè)計(jì)錯(cuò)誤，重新修改設(shè)計(jì)導(dǎo)致的時(shí)間延誤將帶來(lái)極大的經(jīng)濟(jì)損失。因此需通過(guò)構(gòu)建全范圍、全生命周期驗(yàn)證測(cè)試系統(tǒng)，使得絕大部分調(diào)試試驗(yàn)可以在該系統(tǒng)上提前開(kāi)展。通過(guò)在該系統(tǒng)提前執(zhí)行核島控制輸入輸出檢查、閉環(huán)動(dòng)態(tài)驗(yàn)證和報(bào)警邏輯功能驗(yàn)證、常規(guī)島/電氣控制邏輯功能驗(yàn)證、基準(zhǔn)設(shè)計(jì)瞬態(tài)等試驗(yàn)，可有效節(jié)約改造工期15 天，創(chuàng)造大量經(jīng)濟(jì)效應(yīng)。同時(shí)在該系統(tǒng)對(duì)各項(xiàng)潛在風(fēng)險(xiǎn)進(jìn)行充分的測(cè)試，可以避免商運(yùn)后各項(xiàng)突破性故障。

一種典型的驗(yàn)證測(cè)試系統(tǒng)結(jié)構(gòu)如圖6 中所示。通過(guò)拓展半實(shí)物仿真技術(shù)（圖中ATE 系統(tǒng)），連接實(shí)體DCS（圖中LFV系統(tǒng)）與工藝仿真模型（圖中FSE），在工廠內(nèi)實(shí)現(xiàn)涵蓋全廠DCS及工藝系統(tǒng)、覆蓋整個(gè)項(xiàng)目的周期的全范圍閉環(huán)驗(yàn)證技術(shù)。系統(tǒng)通過(guò)硬接線將重要信號(hào)與真實(shí)DCS相連，通過(guò)系統(tǒng)采集分析后與模擬機(jī)（圖中FSE）系統(tǒng)相連實(shí)現(xiàn)工藝系統(tǒng)的全范圍模擬，同時(shí)通過(guò)網(wǎng)絡(luò)實(shí)現(xiàn)第三方控制系統(tǒng)的模擬和一些非重要信號(hào)的模擬。

圖6 某典型全范圍、全生命周期驗(yàn)證測(cè)試系統(tǒng)結(jié)構(gòu)

在全范圍驗(yàn)證測(cè)試系統(tǒng)上，可進(jìn)行下列測(cè)試：①設(shè)備故障測(cè)試：模擬典型設(shè)備故障，確保故障后不導(dǎo)致非預(yù)期、突破性后果且有充足的故障診斷信息以方便維修人員修復(fù)故障。②機(jī)組控制試驗(yàn)：包括對(duì)正常可能出現(xiàn)工況的模擬，以驗(yàn)證功能設(shè)計(jì)的完備性。此時(shí)應(yīng)注意盡量使用現(xiàn)場(chǎng)真實(shí)數(shù)據(jù)作為系統(tǒng)輸入，并涵蓋機(jī)組啟停機(jī)過(guò)程中的各種預(yù)期出現(xiàn)的工況。③運(yùn)行操作測(cè)試：由操作員進(jìn)行實(shí)際操作，發(fā)現(xiàn)潛在的人因陷阱，驗(yàn)證運(yùn)行程序。④維修操作測(cè)試：由維修人員進(jìn)行維修操作，確保維修過(guò)程不導(dǎo)致故障影響擴(kuò)大至不可接受程度。通過(guò)上述測(cè)試可部分替代大修改造期間的測(cè)試，預(yù)計(jì)可節(jié)約15 天左右工期。

2.4 施工階段

由于DCS改造的施工窗口較正常新建機(jī)組短，因此應(yīng)提前對(duì)DCS改造施工過(guò)程進(jìn)行推演并對(duì)其中工作量大、出錯(cuò)幾率高的環(huán)節(jié)進(jìn)行針對(duì)性優(yōu)化。某核電站的DCS改造過(guò)程中，使用3D 技術(shù)對(duì)電氣廠房和DCS機(jī)柜設(shè)備進(jìn)行數(shù)字虛擬化，在3D 虛擬場(chǎng)景中進(jìn)行設(shè)備的拆裝和運(yùn)輸操作，尋找出最優(yōu)的拆裝順序、運(yùn)輸路徑。針對(duì)改造過(guò)程中大量的電纜拆裝和部分電纜修改敷設(shè)需求，某核電站的DCS改造項(xiàng)目建立了電纜信息管理系統(tǒng)并開(kāi)發(fā)了電纜缺陷診斷裝置。使用數(shù)字化的施工過(guò)程管理方法，可以最大限度的實(shí)現(xiàn)施工過(guò)程的并行化，實(shí)現(xiàn)最優(yōu)關(guān)鍵路徑排列，并有效的降低人因錯(cuò)誤帶來(lái)的風(fēng)險(xiǎn)，避免電纜在施工過(guò)程中未能發(fā)現(xiàn)的損傷帶入到商運(yùn)后的風(fēng)險(xiǎn)。

2.5 運(yùn)維階段

DCS系統(tǒng)在運(yùn)維階段面臨的主要困難和風(fēng)險(xiǎn)包括設(shè)備老化、通信系統(tǒng)故障、改造驗(yàn)證困難等。通過(guò)全范圍驗(yàn)證測(cè)試系統(tǒng)可在運(yùn)維期間持續(xù)進(jìn)行人員訓(xùn)練、改造驗(yàn)證測(cè)試、通信故障測(cè)試。同時(shí)通過(guò)易老化元件識(shí)別，提前制定合適的老化緩解措施，可有效的降低設(shè)備老化帶來(lái)的共因風(fēng)險(xiǎn)。針對(duì)DCS系統(tǒng)相對(duì)模擬系統(tǒng)新增加的大量數(shù)字化通信設(shè)備的老化管理，可通過(guò)在系統(tǒng)中預(yù)留的數(shù)據(jù)管理軟件，對(duì)數(shù)據(jù)流量、異常數(shù)據(jù)包等進(jìn)行實(shí)時(shí)分析。利用網(wǎng)絡(luò)流量、負(fù)荷、丟包率、延時(shí)、光功率等指標(biāo)監(jiān)測(cè)通信設(shè)備的老化狀態(tài)。

3 結(jié)束語(yǔ)

在全范圍梳理核電模擬系統(tǒng)向DCS系統(tǒng)改造升級(jí)的各項(xiàng)風(fēng)險(xiǎn)的基礎(chǔ)上，重點(diǎn)研究在各個(gè)階段可以采取的風(fēng)險(xiǎn)控制措施。目前各項(xiàng)風(fēng)險(xiǎn)控制措施涉及的設(shè)備已完成設(shè)計(jì)和部分制造，正在大亞灣核電廠30 年大修D(zhuǎn)CS改造項(xiàng)目中測(cè)試。通過(guò)本文總結(jié)的一整套風(fēng)險(xiǎn)控制方法，可在有效縮短改造工期的同時(shí)有效降低改造風(fēng)險(xiǎn)。