劉廉隅　張帆　田暉

【摘 要】當(dāng)前國(guó)內(nèi)新建核電廠控制室基本上均采用了數(shù)字化的控制平臺(tái)與常規(guī)盤(pán)臺(tái)后備相結(jié)合的方式，實(shí)現(xiàn)對(duì)核電廠的監(jiān)控，確保核電廠安全運(yùn)行。本文以M310核電站數(shù)字化控制室為背景，在數(shù)字化控制平臺(tái)、常規(guī)后備盤(pán)的功能分析的基礎(chǔ)上，結(jié)合實(shí)際數(shù)字化控制系統(tǒng)的結(jié)構(gòu)，對(duì)核電廠數(shù)字化控制室控制權(quán)切換功能實(shí)現(xiàn)方法進(jìn)行了研究，并對(duì)不同的實(shí)現(xiàn)方案進(jìn)行了比較。

【關(guān)鍵詞】數(shù)字化控制室；DCS；控制權(quán)切換

當(dāng)前，國(guó)內(nèi)在建核電廠以及部分已經(jīng)建成核電廠的儀控系統(tǒng)均采用了先進(jìn)而又成熟的數(shù)字化分布式控制系統(tǒng)（DCS）。相應(yīng)的在主控制室內(nèi)，設(shè)置了數(shù)字化的操縱員工作站作為主要的監(jiān)控方式，常規(guī)的后備盤(pán)（BUP）作為數(shù)字化操縱員工作站不能工作時(shí)的后備監(jiān)控手段，以及緊急操作臺(tái)（ECP）在緊急情況下完成手動(dòng)停堆和驅(qū)動(dòng)系統(tǒng)級(jí)安全操作。當(dāng)主控制室由于某種原因（例如發(fā)生火災(zāi)）變得不可利用時(shí)，操縱員從主控制室撤離到遠(yuǎn)程停堆站（RSS）進(jìn)行監(jiān)控，維持核電廠的安全。

核電廠控制手段的多樣化，可以很好得保證核電廠的運(yùn)行安全，但同時(shí)也必須對(duì)這些監(jiān)控手段有很好的權(quán)限管理，以保證同一時(shí)間，只有一個(gè)操控地點(diǎn)對(duì)核電廠進(jìn)行控制，以防止不同的操控點(diǎn)誤發(fā)操作命令，影響核電廠正常運(yùn)行。單純以加強(qiáng)人員管理來(lái)避免不同的操控地點(diǎn)誤發(fā)命令，并不能從本質(zhì)上杜絕誤發(fā)命令。因此，控制權(quán)的切換功能必須結(jié)合DCS系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)和軟硬件特點(diǎn)進(jìn)行設(shè)計(jì)，實(shí)現(xiàn)在某一控制點(diǎn)進(jìn)行操作時(shí)，閉鎖其他可能會(huì)有誤動(dòng)作的控制點(diǎn)的控制命令下發(fā)。

核電廠的控制模式主要分為主要控制模式（MCM）、BUP控制模式以及RSS控制模式。DCS系統(tǒng)應(yīng)能夠使操縱員在特定情況下，實(shí)現(xiàn)MCM與BUP之間的切換和MCM與RSS之間的切換。

MCM控制模式即主要控制模式，是DCS系統(tǒng)正常運(yùn)行時(shí)，采用的控制方式。操作核電廠需要的全部信息、控制功能都可以在MCM控制模式下完成。在此模式下，DCS系統(tǒng)應(yīng)能夠?qū)崿F(xiàn)：

（1）數(shù)字化工作站處于MCM控制模式；

（2）BUP上的控制功能被閉鎖；

（3）ECP功能可用；

（4）RSS工作站控制功能被閉鎖。

即使數(shù)字化的MCM控制方式具有高度的可靠性，MCM控制失效仍然是需要考慮的。當(dāng)電廠喪失數(shù)字化的MCM控制方式時(shí)，應(yīng)能夠通過(guò)常規(guī)的后備盤(pán)（BUP）將核電廠帶到并維持在安全狀態(tài)。因此BUP上僅布置了能夠?qū)崿F(xiàn)將核電廠帶到并維持在安全狀態(tài)所需的監(jiān)控設(shè)備。BUP控制模式即在BUP上實(shí)現(xiàn)監(jiān)控，在此模式下，DCS系統(tǒng)應(yīng)能夠?qū)崿F(xiàn)：

（1）BUP上的控制功能可用；

（2）MCM工作站控制功能被閉鎖；

（3）ECP功能可用；

（4）RSS工作站控制功能被閉鎖。

當(dāng)主控制室由于某種原因（例如發(fā)生火災(zāi)）變得不可利用時(shí)，操縱員需要從主控制室撤離到遠(yuǎn)程停堆站，利用遠(yuǎn)程停堆站系統(tǒng)，完成適當(dāng)?shù)牟僮?，使反?yīng)堆迅速熱停堆，并配合少量的就地控制，把反應(yīng)堆安全地帶入并維持在冷停堆狀態(tài)。RSS控制模式即在RSS數(shù)字化工作站上實(shí)現(xiàn)監(jiān)控，在此模式下，DCS系統(tǒng)應(yīng)能夠?qū)崿F(xiàn)：

（1）RSS工作站處于控制模式；

（2）MCM工作站控制功能被閉鎖；

（3）BUP上的控制功能被閉鎖；

（4）除反應(yīng)堆停堆外，其它的ECP功能均被抑制。

通過(guò)以上功能分析，我們可以得出，RSS控制模式的優(yōu)先級(jí)是最高的，一旦主控制室不可用，除ECP上的停堆功能可用外，主控制室內(nèi)的其他命令均需被閉鎖，這時(shí)只能通過(guò)RSS工作站實(shí)現(xiàn)對(duì)核電廠的控制。其次是BUP控制模式與MCM控制模式，他們的優(yōu)先級(jí)是一樣的，這兩種控制模式的選擇是以MCM是否可用為依據(jù)，MCM可用即選MCM控制模式，MCM不可用則選BUP控制模式。

DCS系統(tǒng)可以有多種網(wǎng)絡(luò)結(jié)構(gòu)方案。在討論控制權(quán)切換方案前，先簡(jiǎn)要介紹下當(dāng)前國(guó)內(nèi)數(shù)字化M310核電廠采用的DCS系統(tǒng)的結(jié)構(gòu)，見(jiàn)下圖。

數(shù)字化M310核電廠的控制系統(tǒng)通?？煞譃長(zhǎng)evel 0工藝系統(tǒng)層、Level 1控制邏輯層、Level 2控制信息層（人機(jī)接口層）。其中屬于數(shù)字化分布式控制系統(tǒng)DCS范圍的有Level 1和Level 2兩層。

Level 2的MCM、RSS的數(shù)字化工作站通過(guò)網(wǎng)絡(luò)與Level 1進(jìn)行連接， BUP的大部分常規(guī)設(shè)備通過(guò)硬接線的方式，與Level 1進(jìn)行連接。他們的命令是通過(guò)Level 1控制邏輯層進(jìn)行邏輯處理后，對(duì)Level 0層工藝設(shè)備進(jìn)行控制，并通過(guò)Level 1接收來(lái)自Level 0的反饋信息。ECP的常規(guī)設(shè)備以及BUP上的少量常規(guī)設(shè)備通過(guò)硬接線的方式與level 0層直接連接，實(shí)現(xiàn)命令發(fā)送及信息反饋。

通過(guò)DCS系統(tǒng)實(shí)現(xiàn)控制模式間的切換，設(shè)計(jì)方案可以有很多。下面分別對(duì)MCM控制模式與RSS控制模式間和MCM控制模式與BUP控制模式間的切換方案進(jìn)行了闡述，并對(duì)每種方案的優(yōu)勢(shì)和劣勢(shì)進(jìn)行分析。

1）MCM控制模式與RSS控制模式間的切換

由MCM控制模式切換到RSS控制模式時(shí)，主控制室內(nèi)除了ECP上的反應(yīng)堆停堆功能外，其他控制命令均被閉鎖。由RSS控制模式切回MCM控制模式時(shí)，主控室內(nèi)的所有控制功能須全部恢復(fù)。

由于主控制室內(nèi)BUP上有部分設(shè)備以及ECP設(shè)備是采取的硬接線的方式與Level 0層設(shè)備進(jìn)行直接連接，這部分設(shè)備數(shù)量較少，切換時(shí)可以通過(guò)在BUP、ECP搭接硬邏輯，并在RSS設(shè)置切換開(kāi)關(guān)向硬邏輯發(fā)信號(hào)，以控制這部分硬接線控制信號(hào)的通斷。

BUP上還有大量設(shè)備是通過(guò)硬接線的方式與Level 1連接，由于這部分設(shè)備較多，采用搭硬邏輯的方式在Level 2實(shí)現(xiàn)閉鎖相比于在Level 1引入RSS切換開(kāi)關(guān)信號(hào)實(shí)現(xiàn)軟邏輯的閉鎖更復(fù)雜，工作量也大很多，因此通常采用在Level 1引入RSS切換開(kāi)關(guān)信號(hào)的方式實(shí)現(xiàn)對(duì)BUP的閉鎖。

對(duì)于MCM和RSS數(shù)字化工作站的切換可以有以下方案：

方案一：通過(guò)切斷數(shù)字化工作站對(duì)應(yīng)的通信網(wǎng)絡(luò)交換機(jī)電源，實(shí)現(xiàn)切換。這種方案優(yōu)點(diǎn)是不需要有在DCS系統(tǒng)中做邏輯處理，從DCS系統(tǒng)實(shí)現(xiàn)上看，非常容易。缺點(diǎn)是工作站電源斷路器的布置位置需要進(jìn)行特殊考慮，要將電源布置的相對(duì)集中并且要配備醒目標(biāo)識(shí)，以防止誤操作。切換的操作步驟相對(duì)繁瑣，需對(duì)多個(gè)電源斷路器操作來(lái)閉鎖數(shù)字化工作站，以及對(duì)切換開(kāi)關(guān)進(jìn)行操作閉鎖或解鎖ECP和BUP。

方案二：通過(guò)Level 1的控制邏輯實(shí)現(xiàn)。將RSS的切換開(kāi)關(guān)信號(hào)引入Level 1，在Level 1中做切換邏輯，實(shí)現(xiàn)對(duì)MCM和RSS控制模式的閉鎖和解鎖。這種方案的優(yōu)點(diǎn)是，切換操作簡(jiǎn)便，僅通過(guò)切換開(kāi)關(guān)即可實(shí)現(xiàn)控制模式的切換。缺點(diǎn)是，Level 1需分辨來(lái)自MCM和來(lái)自RSS的信號(hào)，需在Level 1做大量的切換閉鎖邏輯，Level 1的工作量較大。

方案三：通過(guò)Level 2的控制邏輯實(shí)現(xiàn)。將RSS的切換開(kāi)關(guān)信號(hào)引入Level 2，在數(shù)字化工作站中通過(guò)權(quán)限管理，來(lái)實(shí)現(xiàn)對(duì)控制命令的閉鎖。這個(gè)方案的優(yōu)點(diǎn)除了操作簡(jiǎn)便，通過(guò)切換開(kāi)關(guān)即可實(shí)現(xiàn)控制模式的切換外，Level 1也不需要對(duì)MCM和RSS的信號(hào)進(jìn)行分辨，減少了Level 1的工作量。缺點(diǎn)是權(quán)限管理的方式可以閉鎖人為的控制命令下發(fā)，但無(wú)法阻止不可預(yù)期的（如火災(zāi)情況下）Level 2的命令自動(dòng)下發(fā)。

2）MCM控制模式與BUP控制模式間的切換

MCM控制模式與BUP控制模式的切換，需以主控制室可用為前提，即RSS切換開(kāi)關(guān)位置在主控制室位置。

不論MCM模式還是BUP控制模式， ECP功能均可用，RSS工作站控制功能均被閉鎖。因此在MCM控制模式與BUP控制模式切換時(shí)，僅考慮MCM與BUP兩者間的閉鎖方案。

由于BUP與一層是通過(guò)硬接線方式連接，采用搭硬邏輯的方式在Level 2實(shí)現(xiàn)閉鎖相比于在Level 1引入BUP切換開(kāi)關(guān)信號(hào)實(shí)現(xiàn)軟邏輯的閉鎖更復(fù)雜，工作量也大很多。因此通常采用在Level 1引入BUP切換開(kāi)關(guān)信號(hào)的方式實(shí)現(xiàn)對(duì)BUP的閉鎖。

對(duì)MCM數(shù)字化工作站的控制命令的閉鎖方案，與上文中MCM和RSS數(shù)字化工作站的切換方案類(lèi)似，可以分別通過(guò)切斷電源、通過(guò)將BUP切換開(kāi)關(guān)信號(hào)引入Level 1邏輯、通過(guò)將BUP切換開(kāi)關(guān)信號(hào)引入Level 2邏輯實(shí)現(xiàn)，在此不再累述。

核電廠數(shù)字化控制權(quán)切換功能的實(shí)現(xiàn)方法與DCS系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)密切相關(guān)，這其中還涉及到如何在不同安全級(jí)別（1E、NC）的網(wǎng)絡(luò)中實(shí)現(xiàn)控制權(quán)的切換；設(shè)備故障對(duì)控制權(quán)切換功能的影響；如何提高切換方案的可靠性等，對(duì)于這些問(wèn)題，需要再結(jié)合具體DCS系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行具體分析、深入研究。

[責(zé)任編輯：湯靜]