成衛(wèi)東 ，劉 云 ，，冷 杉

（1.西門子電站自動化有限公司，江蘇 南京 211000；2.東南大學(xué) 能源與環(huán)境學(xué)院，江蘇 南京 210096）

0 引言

安全是核電廠設(shè)計、運(yùn)行和維護(hù)技術(shù)的核心問題。數(shù)字化安全儀控系統(tǒng)TXS對核電廠實施安全保護(hù)和控制，實現(xiàn)對核電廠反應(yīng)性控制、確保堆芯冷卻以及包容放射性產(chǎn)物等安全功能。TXS自身的可靠性對核電廠安全、經(jīng)濟(jì)運(yùn)行影響極大：誤動信號導(dǎo)致核電廠的虛假保護(hù)動作，產(chǎn)生安全隱患；拒動信號導(dǎo)致核電廠保護(hù)在異常工況下不能正常啟動，這是一種危險性故障，嚴(yán)重影響系統(tǒng)或設(shè)備的安全[1-3]。

為了保證核電廠TXS的可靠性，其采用實體隔離的四重冗余（通道 E、F、G、H）設(shè)計，以滿足單一故障準(zhǔn)則。為了降低共因故障的可能性，TXS采用2個多樣性序列A、B，2個序列盡可能采用不同的觸發(fā)參數(shù)、處理邏輯和測量儀表。

除了在硬件設(shè)備上采用多樣性原則以降低和避免共模故障影響外[4-5]，①EDF Framatome Sofinel.Probability safety assessment of China national pressurized water reactor 1000MW.1999.，TXS 通過合理規(guī)劃軟件功能提高系統(tǒng)整體可靠性[6-8]。TXS的控制功能組態(tài)軟件是加載到各分布式控制器中運(yùn)行的，控制器的加載分布策略會影響系統(tǒng)整體可靠性，需有量化的結(jié)果。

1 控制器分布規(guī)律

TXS的控制結(jié)構(gòu)見圖1，按功能分為4個部分。

a.信號采集：接收來自各自冗余通道的獨立變送器信號，并進(jìn)行預(yù)處理。

b.數(shù)據(jù)邏輯處理：將采集的模擬量信號經(jīng)限值等運(yùn)算轉(zhuǎn)換為保護(hù)指令信號。

c.數(shù)據(jù)邏輯表決：將4個通道的保護(hù)指令進(jìn)行4取2表決，然后將指令輸出到相應(yīng)的機(jī)柜/開關(guān)柜驅(qū)動各自的執(zhí)行機(jī)構(gòu)。

d.信號監(jiān)視和服務(wù)：監(jiān)測某些中間信號。

上述4種控制邏輯被分別下載到不同的控制器中，以達(dá)到分布式控制的作用。

圖1 TXS的功能結(jié)構(gòu)圖Fig.1 Functional structure of TXS

TXS的組態(tài)被分成功能圖組FDG（Functional Diagram Group）下載到分布式控制器中。如某核電廠的TXS中反應(yīng)堆保護(hù)系統(tǒng)就包括73個FDG組態(tài)數(shù)據(jù)包，分別按1～73編號，其分布規(guī)律如下：各通道內(nèi)的2個多樣性序列中，各分布2個FDG進(jìn)行信號采集及處理邏輯、3個FDG處理表決及輸出邏輯；另外每通道還各分布5個FDG以監(jiān)測本通道相關(guān)參數(shù)并傳送至信號監(jiān)測與服務(wù)單元；剩余13個FDG完成四通道兩序列監(jiān)測信號的綜合處理功能。TXS的FDG分布如表1所示，表中A、B對應(yīng)序列A、B。

表1 TXS安全保護(hù)功能的FDG分布Tab.1 FDG distribution of TXS safety protection function

2 控制器可靠性自動建模

為了分析TXS控制器分布的可靠性，本文采用Risk Spectrum（簡稱RS）程序建立故障樹模型并進(jìn)行定量分析[9-11]，該程序采用 RSMCS算法和“下行法”運(yùn)算法則，需構(gòu)建體現(xiàn)故障樹特點的結(jié)構(gòu)，從而得到最小割集 MCS（Minimal Cut Set）①RELCON A B.Risk spectrum theory manual.1998.。

TXS信號采集部分的硬件包括信號采集模塊SAA1、信號分配模塊SNV1、模擬量輸入模塊S466；邏輯處理和表決部分的硬件包括處理器模塊SVE1或SVE2、通信模塊SL21、光電轉(zhuǎn)換模塊SLLM、通信接口模塊SK01、擴(kuò)展接口模塊SBU1、數(shù)字量輸出模塊S451、通信處理器模塊SCP1和子機(jī)架SBG1或SBG2，每個多樣性序列形成的驅(qū)動信號經(jīng)過二極管后進(jìn)入AV42優(yōu)選模塊驅(qū)動相關(guān)部件動作。只有當(dāng)2個多樣性序列的表決器全部失效時，安全功能才會失效。

TXS控制器的功能組態(tài)和分布十分復(fù)雜，人工建立故障樹模型不僅費時費力，且無法使故障樹模型的風(fēng)格、編碼、假設(shè)以及其他在建模中需要考慮的因素保持一致，同時會存在相當(dāng)多的人為錯誤。因此，為了簡化故障樹建模工作，本文采用ActiveX控件開發(fā)技術(shù)和Visio二次開發(fā)技術(shù)對TXS硬件設(shè)備進(jìn)行圖形化組態(tài)和拓?fù)浣Y(jié)構(gòu)程序分析，完成故障樹自動建模。這樣可以提高故障樹建模效率，簡化故障樹建模的工作。

Visio具有良好的圖形界面和開放性，本文利用Visio二次開發(fā)機(jī)制并對其定制，實現(xiàn)組態(tài)信息自動建模功能[12-13]。為了實現(xiàn)控制器可靠性自動建模軟件與RS軟件平臺數(shù)據(jù)共享，需要將VSD格式的圖形文件進(jìn)行組態(tài)信息提取、簡析，并生成RS接口文件，以便導(dǎo)入RS軟件中進(jìn)行故障樹的自動生成和可靠性參數(shù)的量化分析。

RS軟件接口文件由故障樹及轉(zhuǎn)移門記錄、基本事件記錄、門記錄和可靠性參數(shù)記錄4個部分組成。每條記錄中包含了多個不同類型的數(shù)據(jù)項，因此為每種記錄定義了一個結(jié)構(gòu)體，并利用動態(tài)鏈表將結(jié)構(gòu)體類型數(shù)據(jù)按照一定的原則連接起來，最后通過讀取鏈表中的節(jié)點數(shù)據(jù)輸出RS接口文件。相關(guān)程序流程圖如圖2所示。

3 控制器分布可靠性分析

以高壓安全注入（下文簡稱安注）系統(tǒng)儀控功能BA11為例，其功能邏輯如圖3所示，控制器分布如下。

a.多樣性序列A：激發(fā)高壓安全注入功能的輸出信號被啟動，當(dāng)操縱員發(fā)出命令，或冷卻劑熱段溫度高于150℃且一回路冷卻劑的過冷度（反應(yīng)堆內(nèi)偏離冷卻劑沸騰溫度）Δt＜10℃時，使用傳感器組A。四通道相關(guān)邏輯分別下載在控制器1、25、44、59中。

圖2 組態(tài)信息自動建模功能程序流程圖Fig.2 Flowchart of automatic modeling for configuration information

b.多樣性序列B：激發(fā)高壓安全注入功能的輸出信號被啟動，當(dāng)安全殼內(nèi)大氣壓力高于0.129 MPa或操縱員發(fā)出命令時，使用傳感器組B。四通道相關(guān)邏輯分別下載在功能控制器3、27、46、61中。

c.四通道產(chǎn)生的邏輯信號經(jīng)4取2表決后輸入AV42模塊并驅(qū)動相關(guān)閥門開關(guān)及安注泵啟動，其中序列A表決邏輯分布在控制器5、33、48、63中，序列B表決邏輯分布在控制器 6、34、49、64中。

根據(jù)TXS的硬件結(jié)構(gòu)結(jié)合BA11功能邏輯，以及本文開發(fā)的控制器可靠性自動建模軟件，設(shè)計了通道E的儀控功能組態(tài)圖如圖4所示。

利用該軟件在RS程序中自動建立以“高壓安注啟動信號（BA11信號）失效”為頂事件的故障樹模型。由于篇幅限制，本文只給出部分故障樹圖如圖5所示。

圖3 高壓安注系統(tǒng)BA11功能的邏輯圖Fig.3 Logic of function module BA11 of HP-injection system

圖4 BA11功能組態(tài)邏輯圖（通道E）Fig.4 Configuration logic of BA11（channel E）

圖5 BA11功能失效故障樹Fig.5 Fault tree of BA11 failure

量化結(jié)果舉例：計算得到通道E高壓安注儀控功能的平均不可用度為8.05×10-4。同時可以得到對通道E高壓安注儀控功能失效貢獻(xiàn)最高的10個最小割集 MCS（Minimal Cut Set）如表 2所示。

表2 高壓安注儀控功能的不可用度Tab.2 Unavailability of HP-injection system

從表2可以看出，通道E高壓安注儀控功能的不可用度前10位最小割集占總不可用率的28.12%。貢獻(xiàn)最大的設(shè)備是二極管元件和AV42優(yōu)選模塊，其中共有24個AV42模塊，對系統(tǒng)失效貢獻(xiàn)達(dá)到64.32%。

a.分布策略1。從圖1可知，安注系統(tǒng)儀控功能可以分為現(xiàn)場數(shù)據(jù)（壓力、溫度）的采集、功能邏輯運(yùn)算及表決輸出3個部分，若將3個部分功能分別加載到不同的控制器中，將能提高系統(tǒng)的響應(yīng)時間。利用本文開發(fā)的軟件，可以得到通道E高壓安注儀控功能的平均不可用度為8.12×10-4，對比原有設(shè)計，可靠性降低了0.87%。

b.分布策略2。控制器（SVE2）之間通過通信模塊SL21、光電轉(zhuǎn)換模塊SLLM傳輸數(shù)據(jù)，這些模塊對系統(tǒng)可靠性產(chǎn)生消極影響。將2個控制器的功能邏輯加載到同一個控制器中完成，這樣可以減少系統(tǒng)模塊的使用數(shù)量，從而減小系統(tǒng)的不可用度。設(shè)計對應(yīng)的組態(tài)邏輯圖，可以得到通道E高壓安注儀控功能的平均不可用度為7.76×10-4，比原有設(shè)計降低了3.6%。

對比原有的控制器分布策略量化結(jié)果，本文提出的2種分布策略的高壓安注系統(tǒng)儀控功能的不可用度前10位最小割集分布尚能保持一致，處在安全范圍之內(nèi)。

4 結(jié)語

TXS采用分布式控制器實現(xiàn)安全儀控功能，本文深入研究了其分布規(guī)律。為了簡化分布式控制器可靠性研究的故障樹建模工作，本文運(yùn)用ActiveX控件技術(shù)和Visio二次開發(fā)技術(shù)專門開發(fā)了圖形化的控制器可靠性自動建模軟件。

以高壓安注儀控功能為例，分析了TXS控制器不同分布策略下的可靠性，為安全儀控系統(tǒng)的可靠設(shè)計和組態(tài)提供了量化的結(jié)果。