李明鋼

（北京廣利核系統(tǒng)工程有限公司，北京 100094）

0 引言

ATWT（Anticipated Transients Without Trip，未停堆的預(yù)期瞬態(tài)緩解系統(tǒng)）系統(tǒng)在二代壓水堆核電站中，是作為應(yīng)對因給水泵故障或給水調(diào)節(jié)閥故障引起的正常給水喪失，且保護系統(tǒng)未能執(zhí)行保護動作的工況。該工況由于二回路吸收一回路熱量的能力下降而引起一回路溫度和壓力上升，進而可能導(dǎo)致蒸汽發(fā)生器燒干。為了限制這些后果，在當(dāng)核功率大于30%且主給水流量小于6%時，ATWT 系統(tǒng)便會觸發(fā)跳堆、汽機脫扣、啟動輔助給水、閉鎖汽機旁路系統(tǒng)（GCT）第三組排放閥等保護動作[1]。大亞灣核電廠1、2 號機組ATWT 系統(tǒng)應(yīng)用模擬系統(tǒng)（Bailey9020）設(shè)計，目前已運行近30 年，各類模塊陸續(xù)超過老化處理期限，因此需要對ATWT 系統(tǒng)進行改造以確保系統(tǒng)可用。

因ATWT 應(yīng)對的是保護系統(tǒng)失效的情況，根據(jù)核安全法規(guī)HAF102 要求，應(yīng)考慮ATWT 和保護系統(tǒng)的多樣性以避免發(fā)生共因故障[2]。為此大亞灣ATWT 改造采用廣利核公司研制的基于FPGA 技術(shù)的數(shù)字化平臺FitRel 實現(xiàn)，既可保證與當(dāng)前保護系統(tǒng)采用的基于模擬技術(shù)的Bailey9020系統(tǒng)在設(shè)計、設(shè)備、人員等多維度具有充分多樣性[3,4]，也可保證后續(xù)保護系統(tǒng)應(yīng)用DCS 改造后具有充分的多樣性。數(shù)字化改造后的系統(tǒng)需要進行可靠性分析評價，以驗證滿足既定的可靠性指標(biāo)要求。本文基于FitRel 平臺完成ATWT 系統(tǒng)改造設(shè)計方案并通過對改造后ATWT 系統(tǒng)進行故障樹建模，對系統(tǒng)可用性、誤動率、拒動率分別進行分析評價，以確認是否可滿足核電廠提出的設(shè)計指標(biāo)要求。

1 ATWT整體改造設(shè)計方案

1.1 整體架構(gòu)設(shè)計

ATWT 整體設(shè)計方案如圖1 所示。ATWT 系統(tǒng)基于FitRel 平臺設(shè)計了兩系完全相同的控制站，并分別布置在兩個不同的機柜（700AR/720AR）中。反應(yīng)堆保護系統(tǒng)的第4 保護通道（SIP-IV）安全級機柜KRG043AR 將3 個環(huán)路對應(yīng)的主給水流量信號ARE049MD/050MD/051MD 首先通過隔離分配（IS）傳遞給ATWT 系統(tǒng)，3 個信號再通過ATWT 系統(tǒng)隔離分配模塊將信號分配到兩系控制站，兩系控制站分別通過模擬量輸入模塊進行信號采集，然后通過處理器進行濾波FI（一階滯后）和閾值（XU）處理。當(dāng)主給水流量小于6%時，觸發(fā)生成3 個開關(guān)量信號并執(zhí)行2/3 表決邏輯運算，然后對表決邏輯結(jié)果與RPN 系統(tǒng)處理的核功率信號RPN013MA/014MA（核功率大于30%）執(zhí)行“&”邏輯后，輸出驅(qū)動現(xiàn)場相關(guān)安全功能設(shè)備的控制指令。考慮ATWT 雖然也執(zhí)行了安全功能，但應(yīng)對的是概率極低的超設(shè)計基準(zhǔn)事件，因此不需要像反應(yīng)堆保護系統(tǒng)那樣滿足單一故障準(zhǔn)則。但考慮ATWT 如果因故障誤觸發(fā)便會造成反應(yīng)堆緊急停堆，從而會對電站帶來極大的經(jīng)濟損失，因此應(yīng)盡量防止ATWT 誤觸發(fā)，為了防止系統(tǒng)故障造成ATWT 誤動作，設(shè)計的兩系控制站并分別布置在兩個機柜（RPA700ARRPA720AR）中，充分實現(xiàn)實體的分隔，而且對兩系控制站的控制輸出進行“&”邏輯后，再觸發(fā)現(xiàn)場執(zhí)行機構(gòu)動作，即只有當(dāng)兩系控制站均輸出驅(qū)動指令后，才會真正觸發(fā)現(xiàn)場執(zhí)行機構(gòu)動作。另外，考慮報警信號誤觸發(fā)不會對電站安全性和經(jīng)濟性產(chǎn)生影響，反而更應(yīng)防止不觸發(fā)，因此對兩系控制站的報警指令進行“OR”邏輯后輸出，以確保報警監(jiān)視功能具有更高的可靠性。

具體ATWT 系統(tǒng)方案配置為：ATWT 每系由1 個獨立的控制站組成，控制站包括獨立的模擬量輸入模塊（AI）、控制器單元（MPU）、開關(guān)量輸出模塊（DO），以及獨立的冗余電源模塊（AC/DC）供電。兩個控制站實現(xiàn)的邏輯功能完全一致，ATWT 系統(tǒng)從SIP-IV 采集的主給水流量信號，由KRG043AR 中的隔離（IS）模塊送出，通過ATWT 系統(tǒng)側(cè)的“一分四”隔離分配模塊（IM）硬接線傳送給兩系控制站。從RPN005AR 機柜采集的核功率高開關(guān)量信號分別通過多觸點繼電器（RLY）分配給兩系控制站。在ATWT控制站內(nèi)實現(xiàn)所有模擬量運算及邏輯運算功能，兩系控制站輸出通過端子繼電器實現(xiàn)“&”“OR”邏輯后驅(qū)動現(xiàn)場執(zhí)行機構(gòu)或觸發(fā)主控室報警。

1.2 定期試驗方案

數(shù)字化改造后，為了進一步提高可靠性，設(shè)計了如圖2 所示的定期試驗方案，主要包括傳感器及信號輸入通道試驗（T1）、控制功能邏輯試驗（T2）、控制輸出及執(zhí)行機構(gòu)試驗（T3）。因為FitRel 平臺僅有1%的剩余故障需通過定期試驗探測，因此除T2 試驗外，T1、T2 定期試驗周期通?？稍O(shè)定為一個換料周期（18 個月）一次，數(shù)字化系統(tǒng)定期試驗可通過控制站連接FitRel 平臺專用維護工具運行試驗用例自動實現(xiàn)，相比模擬系統(tǒng)試驗時間也可大大縮短。

圖2 ATWT定期試驗方案Fig.2 ATWT Regular test plan

原設(shè)計方案T1 試驗過程中，主給水流量的測試信號只需從KRG043AR 進行信號注入和采集。數(shù)字化改造后，需要在SIP-IV 機柜注入信號并在ATWT 機柜讀取信號，因兩個機柜不在同一個樓層，為試驗帶來不便，為此將機柜附近棄用的KRG899CR 改裝成T1 試驗專用箱，新增ATWT機柜至KRG899CR 的模擬量信號輸出接口及測量電纜傳輸3 個給水流量的測試回讀信號。T1 試驗過程中主給水流量信號由ATWT 采集后隔離分配（1 分4IM 模塊）送至KRG899CR 回讀，另外在ATWT 機柜內(nèi)通過在端子側(cè)注入4mA ～20mA 信號通過接入專用維護工具回讀，可覆蓋對輸入通道（AI）的測試。

T2 試驗通過接入專用維護工具，并通過其中預(yù)置的測試用例自動進行信號注入和結(jié)果回讀校驗完成ATWT 功能邏輯試驗。

T3 試驗仍保持原ATWT 系統(tǒng)的試驗方法，在ATWT 機柜內(nèi)設(shè)計T3 試驗專用面板，包括硬接線開關(guān)以及信號反饋指示燈，接入ATWT 系統(tǒng)，通過手動操作實現(xiàn)跳堆等執(zhí)行機構(gòu)的回路試驗。

1.3 表決邏輯降級設(shè)計

原設(shè)計為了保證ATWT 控制的可靠性，通過對3 個ARE 流量信號執(zhí)行“三取二表決邏輯”后執(zhí)行ATWT 驅(qū)動。進行數(shù)字化改造后，依然保持該表決邏輯，并且結(jié)合數(shù)字化系統(tǒng)的特性，通過基于主給水流量信號的質(zhì)量位執(zhí)行“三取二表決邏輯”的邏輯退化，同時考慮安全性和經(jīng)濟性2/3表決邏輯退化規(guī)則，見表1。另外，對RPN013MA/014MA（核功率大于30%）執(zhí)行“&”邏輯也考慮相應(yīng)的邏輯退化，當(dāng)一個RPN 信號失效，“&”邏輯退化為1/1，兩個信號失效，“&”邏輯退化為觸發(fā)。

表1 ARE流量2/3表決邏輯降級規(guī)則Table 1 ARE Traffic 2/3 voting logic degradation rules

2 可靠性分析

2.1 故障樹建模分析

2.1.1 故障樹建模

因?qū)τ贏TWT 系統(tǒng)需分析誤動率、拒動率以及可用性，基于ATWT 系統(tǒng)架構(gòu)并依據(jù)IEEE-352 相關(guān)要求[5]，構(gòu)建了如圖3 所示的故障樹基本模型，可將誤動故障、拒動故障以及可用性進行關(guān)聯(lián)。

圖3 ATWT故障樹基本模型Fig.3 ATWT Fault tree basic model

模型基本事件源于各部件失效率，包括輸入單元：調(diào)理板卡、AI、板卡、DI 板卡；處理單元：IO 通信板卡、MPU 板卡；輸出單元：DO 板卡、繼電器；供電單元：電源模塊、空開、浪涌吸收器、濾波器?；诠收鲜欠窨勺栽\斷，故障率可分為：λDD為導(dǎo)向拒動的可診斷失效率，λSD為導(dǎo)向誤動的可診斷失效率（因ATWT 可診斷故障均設(shè)定為導(dǎo)向不驅(qū)動，因此該部分為0），λDU為導(dǎo)向拒動的不可診斷失效率，λSU為導(dǎo)向誤動的不可診斷失效率。

2.1.2 誤動率的計算

可診斷故障會將故障輸出設(shè)定為不驅(qū)動，而不可診斷發(fā)生誤動故障，則可通過設(shè)備動作信息結(jié)合分析判別，所以誤動故障均可馬上進行故障處理，因此誤動率=λSU·MTTR。

2.1.3 拒動率的計算

如果設(shè)備出現(xiàn)拒動故障，可診斷故障可即刻處理，而不可診斷故障則需通過定期試驗探測，因此拒動率=λDD·MTTR+λDU·Ti/2。

2.1.4 可用性的計算

根據(jù)可用性定義可知：可用率=MTBF/（MTBF+MTTR），考慮到可診斷故障（λD）可及時發(fā)現(xiàn)后馬上能執(zhí)行維修活動，對于不可診斷故障（λU）只能通過定期試驗探測故障，因此平均維修時間會拉長為Ti/2+MTTR（因MTTR 遠小于Ti，可忽略[4]）。因此，可用率=MTTR·λD/(1+MTTR·λD)+Ti/2·λU/(1+ Ti/2·λU)，其中：λD=λDD+λSD，λU=λDU+λSU。

2.2 基礎(chǔ)數(shù)據(jù)來源

FitRel 板卡以及外購物項的可靠性指標(biāo)（MTBF）依據(jù)MIL-HDBK-217F 中提供的可靠性數(shù)據(jù)以及元器件廠家提供的可靠性數(shù)據(jù)標(biāo)確定。SIP IV 系統(tǒng)的IS 隔離模塊因為是1E級未在改造范圍，因原始的可靠性指標(biāo)已無法找到，考慮通過運行數(shù)據(jù)統(tǒng)計分析得出。依據(jù)大亞灣10 年的運行統(tǒng)計數(shù)據(jù)，大亞灣項目共應(yīng)用了400 塊該IS 模塊，10 年期間出現(xiàn)了4 塊板卡故障，因此可得出其失效率（λ）為114FIT。

2.3 可靠性評價

FitRel 各模塊的失效率基礎(chǔ)數(shù)據(jù)包括可診斷失效率和不可診斷失效率?？稍\斷失效可通過設(shè)置故障安全值確定為導(dǎo)向動作或不動作，而不可診斷故障的最終后果是導(dǎo)向動作還是不動作具有不確定性，因此保守考慮將λSU和λDU均按不可診斷總失效率進行計算。定期試驗周期（Ti）按18 個月分析計算，改造后ATWT 各模塊的修復(fù)均通過備件更替方式完成，因此MTTR 小于4h。通過計算可得出可用性、拒動率和誤動率結(jié)果見表2。

表2 ATWT可靠性指標(biāo)匯總表Table 2 Summary of ATWT reliability indicators

通過上述計算指標(biāo)可以看出，改造后各項可靠性指標(biāo)均滿足要求，因此可將ATWT 定期試驗周期由原2 個月延長至18 個月。

3 結(jié)論

應(yīng)用基于FPGA 技術(shù)的FitRel 平臺設(shè)計了ATWT 系統(tǒng)，考慮兼顧安全性和經(jīng)濟性，設(shè)計了兩系完全冗余的控制站，并對兩系控制站的驅(qū)動現(xiàn)場執(zhí)行機構(gòu)的控制輸出進行“&”邏輯表決。通過對數(shù)字化改造后ATWT 系統(tǒng)進行故障樹建模分析，改造后ATWT 系統(tǒng)可用性可達99.994%，誤動率小于1.5E-08，拒動率小于0.005，各項可靠性指標(biāo)均滿足設(shè)計要求。而且相比原模擬系統(tǒng)可大幅縮短定期試驗周期，可由原2 個月延長至18 個月，從而大幅降低了運行維護人員負擔(dān)。