李 菁，劉松林

（中國(guó)核電工程有限公司，北京 100840）

0 引言

核電技術(shù)是改善國(guó)內(nèi)能源結(jié)構(gòu)，應(yīng)對(duì)世界氣候變化的有效途徑。數(shù)字化儀控系統(tǒng)（DCS）是對(duì)核電廠進(jìn)行監(jiān)視和控制的核心，其中的安全級(jí)DCS 部分需要完成事故工況下的安全停堆和事故后果緩解功能，對(duì)核電廠的安全可靠運(yùn)行起到重要保障作用。

安全系統(tǒng)用于反應(yīng)堆的安全停堆、堆芯余熱排出或限制預(yù)計(jì)運(yùn)行事件和設(shè)計(jì)基準(zhǔn)事故的后果[1]，反應(yīng)堆保護(hù)系統(tǒng)是整個(gè)核電廠中最重要的安全系統(tǒng)之一，由安全級(jí)DCS設(shè)備實(shí)現(xiàn)。

根據(jù)GB/T 5204-2021《核電廠安全系統(tǒng)定期試驗(yàn)與監(jiān)測(cè)》中的要求，需要對(duì)安全系統(tǒng)的性能和功能進(jìn)行定期試驗(yàn)以驗(yàn)證能否實(shí)現(xiàn)預(yù)期的系統(tǒng)可用性。雖然安全級(jí)DCS 平臺(tái)都具備自診斷功能，但本功能不能覆蓋安全系統(tǒng)存在的所有故障類型，無(wú)法替代定期試驗(yàn)，必須制定全面的定期試驗(yàn)方案，檢測(cè)自診斷范圍以外可能出現(xiàn)的故障，降低安全系統(tǒng)拒動(dòng)的風(fēng)險(xiǎn)[2]。

本文基于中核集團(tuán)自主研發(fā)的安全級(jí)DCS 平臺(tái)NASPIC，提出了一種全新的安全系統(tǒng)定期試驗(yàn)方案。其定期試驗(yàn)方案覆蓋范圍完整、技術(shù)先進(jìn)，并提高了定期試驗(yàn)的便利性。

1 安全系統(tǒng)定期試驗(yàn)種類

在核電廠保護(hù)系統(tǒng)定期試驗(yàn)的過程中，首先要明確定期試驗(yàn)的范圍，然后對(duì)定期試驗(yàn)的種類進(jìn)行劃分。

保護(hù)系統(tǒng)的定期試驗(yàn)范圍必須覆蓋從傳感器到保護(hù)邏輯、輸出信號(hào)、相關(guān)驅(qū)動(dòng)裝置路徑上所有的邏輯部件。由于其試驗(yàn)范圍涵蓋的路徑非常長(zhǎng)，通過單次試驗(yàn)無(wú)法完成全路徑的實(shí)驗(yàn)?zāi)康?，因而有必要?duì)定期試驗(yàn)進(jìn)行拆分，通過分段試驗(yàn)的方式，實(shí)現(xiàn)定期試驗(yàn)的全部功能。

通過上述分析，將定期試驗(yàn)種類分為：T1 試驗(yàn)（傳感器通道試驗(yàn)）；T2 試驗(yàn)（邏輯功能試驗(yàn)）；T3 試驗(yàn)（DO 輸出信號(hào)到執(zhí)行器的試驗(yàn)）；響應(yīng)時(shí)間試驗(yàn)[3]。從圖1 中可以明確，本試驗(yàn)方案與標(biāo)準(zhǔn)中的交迭試驗(yàn)定義和要求是一致的，能覆蓋安全系統(tǒng)中整個(gè)保護(hù)功能邏輯的處理通道，確保安全系統(tǒng)定期試驗(yàn)的完整性。

圖1 定期試驗(yàn)的種類和范圍Fig.1 Types and scope of regular tests

圖2 RTS邏輯功能試驗(yàn)Fig.2 RTS Logic function test

圖3 停堆斷路器配置方案Fig.3 Configuration plan for shutdown circuit breakers

圖4 PLM輸出閉鎖試驗(yàn)Fig.4 PLM output blocking test

2 安全系統(tǒng)定期試驗(yàn)方案

核電廠的安全系統(tǒng)按照序列A、B、C、D 的四重冗余組成，各個(gè)序列之間在實(shí)體、電氣和功能上都是相互隔離的，滿足獨(dú)立性要求[4]。此冗余設(shè)計(jì)方案可以保證安全系統(tǒng)在進(jìn)行定期試驗(yàn)時(shí)，保持系統(tǒng)對(duì)真實(shí)信號(hào)的響應(yīng)能力，在必要時(shí)觸發(fā)被試驗(yàn)通道的輸出。

對(duì)于不同的定期試驗(yàn)類型，可分別在核電廠正常運(yùn)行期間和停堆換料期間進(jìn)行。

2.1 T1（傳感器通道）試驗(yàn)

本試驗(yàn)內(nèi)容分為交叉檢驗(yàn)和通道試驗(yàn)兩部分。

2.1.1 交叉檢驗(yàn)

交叉檢驗(yàn)是在電廠正常運(yùn)行時(shí)，對(duì)設(shè)置冗余測(cè)量通道的參數(shù)進(jìn)行通道之間的交叉檢驗(yàn)；另外，對(duì)每個(gè)通道中進(jìn)入不同子組的相同信號(hào)也進(jìn)行交叉檢驗(yàn)[5]。

交叉檢驗(yàn)無(wú)需信號(hào)旁通，無(wú)需輸入試驗(yàn)信號(hào)和額外的試驗(yàn)工具。在操縱員站的非安全級(jí)顯示單元上實(shí)時(shí)監(jiān)測(cè)采集的數(shù)據(jù)，是否在預(yù)期范圍以內(nèi)。如果發(fā)生故障和超預(yù)期的漂移，則會(huì)在非安全級(jí)顯示單元上產(chǎn)生報(bào)警。

交叉檢驗(yàn)的過程不介入安全系統(tǒng)的正常運(yùn)行，對(duì)電廠的可用性指標(biāo)無(wú)影響。

2.1.2 傳感器通道試驗(yàn)

傳感器通道試驗(yàn)分為模擬量輸入通道可用性，及精度、開關(guān)量輸入通道可用性兩部分內(nèi)容。

通過單個(gè)參數(shù)旁通面板上的開關(guān)將現(xiàn)場(chǎng)真實(shí)信號(hào)設(shè)置到“旁通”狀態(tài)，手動(dòng)注入試驗(yàn)信號(hào)，在MTS（維護(hù)試驗(yàn)單元）的在線監(jiān)視軟件上讀取該信號(hào)在進(jìn)行閾值比較前的數(shù)值，并與期望值進(jìn)行比對(duì)，判斷傳感器通道的可用性和精度（僅模擬量）。

為了降低試驗(yàn)風(fēng)險(xiǎn)，T1 試驗(yàn)在停堆期間進(jìn)行，并且一次只能對(duì)一個(gè)測(cè)量通道進(jìn)行試驗(yàn)。如果該試驗(yàn)信號(hào)通過隔離分配模塊傳輸至其他系統(tǒng)時(shí)，必須提前采取措施在其他系統(tǒng)中旁通該信號(hào)，以免試驗(yàn)信號(hào)的注入導(dǎo)致其他系統(tǒng)的誤動(dòng)作。

試驗(yàn)完成后，先將傳感器通道的試驗(yàn)端恢復(fù)為正常采集端，通過MTS 確認(rèn)本傳感器信號(hào)開始正常采集以后，通過參數(shù)面板上的開關(guān)取消傳感器的“旁通”狀態(tài)，并斷開MTS 與ALU（信號(hào)采集及邏輯處理單元）的連接，試驗(yàn)完成。

2.2 T2（邏輯功能）試驗(yàn)

邏輯功能試驗(yàn)是針對(duì)ALU 的內(nèi)部邏輯以及不同序列之間通信進(jìn)行的試驗(yàn)，包括停堆（RTS）邏輯功能試驗(yàn)和專設(shè)安全設(shè)施驅(qū)動(dòng)系統(tǒng)（ESFAS）邏輯功能試驗(yàn)。

T2 試驗(yàn)與T1 試驗(yàn)在信號(hào)采集及邏輯處理單元的I/O 輸入處實(shí)現(xiàn)重疊。

2.2.1 RTS邏輯功能試驗(yàn)

RTS 邏輯功能試驗(yàn)是驗(yàn)證ALU 中反應(yīng)堆停堆邏輯功能的正確性，試驗(yàn)范圍包括輸入模塊、停堆邏輯處理模塊和信號(hào)輸出模塊。對(duì)于ACP1000 的安全系統(tǒng)，其反應(yīng)堆保護(hù)系統(tǒng)為四序列冗余設(shè)計(jì)，每個(gè)序列中還設(shè)計(jì)了兩個(gè)冗余子組ALU-X1 和ALU-X2 同時(shí)實(shí)現(xiàn)停堆功能。

RTS 邏輯功能試驗(yàn)以序列為單位，逐個(gè)進(jìn)行。試驗(yàn)前，先旁通被試驗(yàn)的序列，此序列不再執(zhí)行安全系統(tǒng)的保護(hù)功能，其旁通信號(hào)傳遞給其他3 個(gè)序列使安全系統(tǒng)可以正常執(zhí)行保護(hù)功能，這樣就可以保證RTS 邏輯功能試驗(yàn)不影響安全系統(tǒng)執(zhí)行保護(hù)功能的能力。

進(jìn)行RTS 邏輯功能試驗(yàn)時(shí)，必須保證本序列處于維護(hù)模式且輸出信號(hào)閉鎖。MTS 通過維護(hù)網(wǎng)絡(luò)，在被試驗(yàn)的序列中，以強(qiáng)制手段注入試驗(yàn)信號(hào)。此信號(hào)替換ALU 中的輸入數(shù)據(jù)，參與邏輯運(yùn)算，邏輯運(yùn)算后的結(jié)果通過維護(hù)網(wǎng)絡(luò)送至MTS 進(jìn)行顯示，試驗(yàn)操作人員在MTS 上判斷試驗(yàn)結(jié)果是否符合預(yù)期。

該試驗(yàn)可在核電廠功率運(yùn)行期間進(jìn)行。

2.2.2 ESFAS邏輯功能試驗(yàn)

ESFAS 邏輯功能試驗(yàn)是驗(yàn)證ALU 中專設(shè)安全設(shè)施邏輯功能的正確性，試驗(yàn)范圍包括：輸入模塊、專設(shè)安全設(shè)施邏輯處理模塊和信號(hào)輸出模塊。其試驗(yàn)分為專設(shè)安全設(shè)施局部觸發(fā)邏輯功能試驗(yàn)和專設(shè)安全設(shè)施觸發(fā)邏輯功能試驗(yàn)。

ESFAS 局部觸發(fā)的邏輯功能試驗(yàn)是為了驗(yàn)證每個(gè)引起專設(shè)局部動(dòng)作的輸入信號(hào)組合，包括：安全注入、安全噴淋、安全殼隔離、主給水隔離、主蒸汽隔離和輔助給水6個(gè)安全功能。本試驗(yàn)檢驗(yàn)反應(yīng)堆保護(hù)系統(tǒng)中專設(shè)邏輯功能的正確性，試驗(yàn)方法與RTS 邏輯功能試驗(yàn)相同，可同步進(jìn)行。

ESFAS 觸發(fā)邏輯功能試驗(yàn)是為了檢驗(yàn)專設(shè)啟動(dòng)邏輯功能的正確性，試驗(yàn)時(shí)需要旁通被試驗(yàn)通道。ESFAS 的保護(hù)變量分為兩種情況，分別是啟動(dòng)專設(shè)的同時(shí)觸發(fā)緊急停堆和啟動(dòng)專設(shè)但不觸發(fā)緊急停堆。對(duì)于啟動(dòng)專設(shè)，但不觸發(fā)緊急停堆的功能，保護(hù)通道被旁通時(shí)，其ESFAS 中的符合邏輯應(yīng)當(dāng)降級(jí)。

該試驗(yàn)可在核電廠功率運(yùn)行期間進(jìn)行。

2.3 T3（DO輸出信號(hào)到執(zhí)行器）試驗(yàn)

在核電廠正常運(yùn)行期間，安全功能的設(shè)備一般都處于正常狀態(tài)，保證在發(fā)生事故時(shí)，觸發(fā)執(zhí)行相關(guān)功能的設(shè)備。為了保證這些設(shè)備執(zhí)行保護(hù)動(dòng)作的可靠性和有效性，需要進(jìn)行定期試驗(yàn)，即T3 試驗(yàn)。T3 試驗(yàn)主要分為：停堆斷路器動(dòng)作試驗(yàn)、多樣化停堆功能試驗(yàn)、優(yōu)先級(jí)處理（PLM）輸出閉鎖試驗(yàn)和專設(shè)驅(qū)動(dòng)器動(dòng)作試驗(yàn)。

T3 試驗(yàn)與T2 試驗(yàn)在信號(hào)采集及邏輯處理單元的I/O 輸出處實(shí)現(xiàn)重疊。

2.3.1 停堆斷路器動(dòng)作試驗(yàn)

核電廠的停堆斷路器共8 個(gè)，分為4 對(duì)，通過四取二邏輯觸發(fā)緊急停堆。停堆斷路器動(dòng)作試驗(yàn)按照保護(hù)序列分別進(jìn)行，每個(gè)保護(hù)序列中的ALU 控制一對(duì)停堆斷路器，試驗(yàn)時(shí)不滿足四取二邏輯，因而不會(huì)觸發(fā)真實(shí)的反應(yīng)堆緊急停堆。

停堆斷路器動(dòng)作試驗(yàn)的開關(guān)設(shè)置在SVDU（安全顯示單元）畫面上，每個(gè)ALU 控制兩個(gè)停堆斷路器，共設(shè)計(jì)兩個(gè)試驗(yàn)開關(guān)。試驗(yàn)過程中根據(jù)規(guī)定的順序?qū)ν６褦嗦菲鬟M(jìn)行斷開和復(fù)位操作，并通過SVDU 畫面上的反饋信號(hào)判斷試驗(yàn)是否通過。

本試驗(yàn)對(duì)核電廠的正常運(yùn)行無(wú)影響，可在功率運(yùn)行期間進(jìn)行。

2.3.2 多樣化停堆功能試驗(yàn)

本試驗(yàn)是為了檢驗(yàn)安全系統(tǒng)輸出到棒控和棒位系統(tǒng)電源柜的多樣性緊急停堆信號(hào)的回路可用性。

安全系統(tǒng)的每個(gè)保護(hù)序列設(shè)有一個(gè)試驗(yàn)按鈕，用于試驗(yàn)送至電源柜的多樣性停堆信號(hào)。通過試驗(yàn)按鈕，觸發(fā)控制棒掉棒，在非安全級(jí)操縱員站上查看所有控制棒落入堆芯底部，確認(rèn)多樣性停堆機(jī)制的有效性。

該試驗(yàn)在停堆期間執(zhí)行。

2.3.3 PLM輸出閉鎖試驗(yàn)

本試驗(yàn)是檢查ALU 中涉及PLM 的兩個(gè)子組及其通訊模塊與PLM 模塊之間的連接及相關(guān)設(shè)備的可用性。在試驗(yàn)時(shí)，按照安全系統(tǒng)的不同序列分別進(jìn)行，因?yàn)榇藭r(shí)對(duì)PLM輸出進(jìn)行了閉鎖，不會(huì)觸發(fā)驅(qū)動(dòng)器真實(shí)動(dòng)作，但本試驗(yàn)時(shí)不會(huì)閉鎖非安全級(jí)的指令。

在進(jìn)行本試驗(yàn)前，首先在SVDU 上確認(rèn)本序列的ALU沒有真實(shí)的專設(shè)驅(qū)動(dòng)指令，并且PLM 機(jī)柜狀態(tài)正常。通過SVDU 上的試驗(yàn)允許指令，對(duì)PLM 進(jìn)行閉鎖，然后才能發(fā)出某個(gè)PLM 機(jī)柜對(duì)應(yīng)的試驗(yàn)指令。試驗(yàn)信號(hào)通過ALU 中的邏輯子組、通訊模塊下發(fā)至對(duì)應(yīng)的PLM。試驗(yàn)命令為3s寬度的脈沖信號(hào)，PLM 模塊收到試驗(yàn)命令信號(hào)后，反饋的狀態(tài)信號(hào)通過通訊模塊傳至SVDU 進(jìn)行顯示。當(dāng)確認(rèn)試驗(yàn)反饋信號(hào)滿足預(yù)期要求后，通過SVDU 試驗(yàn)畫面中試驗(yàn)允許的復(fù)位按鈕，對(duì)軟件閉鎖進(jìn)行復(fù)位。

本試驗(yàn)對(duì)核電廠的正常運(yùn)行無(wú)影響，可在功率運(yùn)行期間進(jìn)行。

2.3.4 專設(shè)驅(qū)動(dòng)器動(dòng)作試驗(yàn)

本試驗(yàn)的目的是驗(yàn)證所有安全系統(tǒng)驅(qū)動(dòng)設(shè)備的可運(yùn)行性。試驗(yàn)時(shí)，通過位于主控室的非安全級(jí)操縱員站界面或安全級(jí)的SVDU 上觸發(fā)驅(qū)動(dòng)器真實(shí)動(dòng)作，并監(jiān)測(cè)驅(qū)動(dòng)器的反饋狀態(tài)。

該試驗(yàn)針對(duì)單個(gè)設(shè)備驅(qū)動(dòng)器進(jìn)行試驗(yàn)，每個(gè)試驗(yàn)開關(guān)都配有專門的試驗(yàn)授權(quán)按鈕。在授權(quán)后，才可通過試驗(yàn)界面的試驗(yàn)開關(guān)發(fā)出指令。對(duì)于試驗(yàn)平臺(tái)的選擇遵循如下原則：

1）非安全級(jí)DCS 和安全級(jí)DCS 都可控制的驅(qū)動(dòng)設(shè)備，可在非安全級(jí)界面進(jìn)行。

2）只在安全級(jí)DCS 可控的驅(qū)動(dòng)設(shè)備，只能在SVDU上進(jìn)行。

大部分設(shè)備驅(qū)動(dòng)器的試驗(yàn)在反應(yīng)堆停堆期間進(jìn)行，但堆芯冷卻系統(tǒng)的部分驅(qū)動(dòng)器需要在反應(yīng)堆功率運(yùn)行期間進(jìn)行。

3 定期試驗(yàn)平臺(tái)實(shí)現(xiàn)

在傳統(tǒng)的安全系統(tǒng)定期試驗(yàn)平臺(tái)，T1 試驗(yàn)和T2 試驗(yàn)分別在不同的試驗(yàn)臺(tái)進(jìn)行，在進(jìn)行維護(hù)試驗(yàn)時(shí)，需要在核電廠不同的房間進(jìn)行安裝、調(diào)試和試驗(yàn)，這對(duì)試驗(yàn)的靈活性進(jìn)行了限制。

本試驗(yàn)方案，基于中核集團(tuán)自行研發(fā)的安全級(jí)DCS 平臺(tái)，將T1 和T2 試驗(yàn)設(shè)備集成到統(tǒng)一的MTS 平臺(tái)進(jìn)行，T3試驗(yàn)根據(jù)不同的試驗(yàn)類型在非安全級(jí)操縱員站和安全級(jí)的SVDU 分別進(jìn)行。對(duì)不同種類的試驗(yàn)，通過分段、交迭式的試驗(yàn)策略，優(yōu)化了試驗(yàn)流程，節(jié)省了定期試驗(yàn)的時(shí)間，并提高了試驗(yàn)人機(jī)接口的友好型。

T1 和T2 試驗(yàn)的硬件設(shè)備包括MTS、測(cè)試結(jié)果打印機(jī)、網(wǎng)絡(luò)交換機(jī)及電纜等四部分，只有處于旁通模式下的通道才可進(jìn)行試驗(yàn)。

在MTS 的定期試驗(yàn)界面上可以選擇不同的試驗(yàn)類型，其試驗(yàn)界面如圖5 所示。

圖5 MTS定期試驗(yàn)界面Fig.5 MTS Regular test interface

T2 試驗(yàn)的軟件設(shè)計(jì)以MTS 為試驗(yàn)主體，其試驗(yàn)的軟件設(shè)計(jì)流程如圖6 所示。

圖6 T2試驗(yàn)軟件流程Fig.6 T2 Test software process

T3 定期試驗(yàn)在操縱員站和SVDU 上執(zhí)行，安全級(jí)的SVDU 上，停堆斷路器動(dòng)作試驗(yàn)的試驗(yàn)界面如圖7 所示。8個(gè)停堆斷路器，分為4 對(duì)，組成了四取二的緊急停堆邏輯。每次試驗(yàn)時(shí)，只針對(duì)每套停堆斷路器中的一個(gè)，因此不會(huì)觸發(fā)反應(yīng)堆緊急停堆。通過畫面中的試驗(yàn)按鈕，下發(fā)試驗(yàn)指令，并觀察斷路器的狀態(tài)反饋信號(hào)，以確定定期試驗(yàn)是否通過。

圖7 SVDU定期試驗(yàn)界面Fig.7 SVDU Regular test interface

非安全級(jí)的操縱員站上執(zhí)行的試驗(yàn)為T3 不閉鎖試驗(yàn)。T3 不閉鎖試驗(yàn)的軟件設(shè)計(jì)流程按照試驗(yàn)允許、試驗(yàn)指令、行程時(shí)間清零、觀察設(shè)備狀態(tài)、確定行程時(shí)間，并最終判斷試驗(yàn)是否通過。其平臺(tái)試驗(yàn)界面如圖8 所示。

圖8 操縱員站定期試驗(yàn)界面Fig.8 Operator station regular test interface

4 總結(jié)

在目前核電廠的安全系統(tǒng)設(shè)計(jì)中，必須要考慮反應(yīng)堆保護(hù)系統(tǒng)定期試驗(yàn)的方案是否滿足國(guó)內(nèi)相關(guān)法規(guī)標(biāo)準(zhǔn)的要求。在此基礎(chǔ)上，根據(jù)NASPIC 平臺(tái)的特點(diǎn)設(shè)計(jì)了安全系統(tǒng)定期試驗(yàn)的實(shí)施方案。

根據(jù)上述分析可以看到，NASPIC 平臺(tái)的定期試驗(yàn)方案充分考慮了平臺(tái)特性，顯著提高了核電廠運(yùn)行人員定期試驗(yàn)的自動(dòng)化水平，全面覆蓋了定期試驗(yàn)的檢測(cè)范圍，在定期試驗(yàn)便利性、有效性方面得到了明顯提升。

針對(duì)不同的試驗(yàn)需求和內(nèi)容，可以在核電廠正常運(yùn)行以及停堆換料期間分別進(jìn)行，對(duì)核電廠的可用性和可靠性指標(biāo)提供了正向增益，保證了核電廠的安全可靠運(yùn)行。