基于NASPIC平臺輸出至外部系統(tǒng)試驗(yàn)的設(shè)計(jì)與研究

周 岱，許金濤，黃 鵬，胡清仁，彭 浩

（中國核動力研究設(shè)計(jì)院 核反應(yīng)堆系統(tǒng)設(shè)計(jì)技術(shù)重點(diǎn)實(shí)驗(yàn)室，成都 610213）

定期試驗(yàn)是對于核電廠探查故障、檢查可運(yùn)行性，按計(jì)劃的時間間隔所進(jìn)行的試驗(yàn)[1]。其中，按照功能、實(shí)驗(yàn)對象的不同劃分為T1試驗(yàn)：測量通道的試驗(yàn)，包括輸入通道試驗(yàn)和輸入通道不一致比較試驗(yàn)；T2試驗(yàn)：系統(tǒng)邏輯功能試驗(yàn)；T3試驗(yàn)：輸出通道及相關(guān)驅(qū)動器的試驗(yàn)；響應(yīng)時間試驗(yàn)；SICS相關(guān)試驗(yàn)以及其它試驗(yàn)[2]。其中，輸出至外部系統(tǒng)連接T3試驗(yàn)，由于其具有同步進(jìn)行、順序進(jìn)行的多重要求，需傳輸信號至外部系統(tǒng)配合的特點(diǎn)，根據(jù)目前的實(shí)現(xiàn)方案，存在著邏輯復(fù)雜，軟件中網(wǎng)絡(luò)變量過多等問題，一度造成軟件實(shí)現(xiàn)時出現(xiàn)組態(tài)困難、軟件變量超上限等情況。上述問題對NASPIC平臺的數(shù)據(jù)量、負(fù)荷、軟件可靠性產(chǎn)生了較大影響。本文針對此問題，提出了輸出至外部系統(tǒng)試驗(yàn)的具體優(yōu)化方案以及可行性分析。

1 概要

1.1 NASPIC平臺

NASPIC平臺是由中國核工業(yè)集團(tuán)有限公司中國核動力研究設(shè)計(jì)院自主研發(fā)的一個通用的安全級DCS平臺。該平臺具有高安全性、高可靠性、高技術(shù)成熟性等特點(diǎn)，可滿足三代核電及其他設(shè)施的要求。NASPIC平臺主要包括現(xiàn)場控制站、傳輸站、網(wǎng)關(guān)站、安全顯示站和工程師站等5個基本的功能站等，構(gòu)成完整的核電廠安全級DCS的設(shè)備集成解決方案[3]。

1.2 基于NASPIC平臺的反應(yīng)堆保護(hù)系統(tǒng)架構(gòu)

根據(jù)反應(yīng)堆保護(hù)系統(tǒng)功能和設(shè)計(jì)準(zhǔn)則要求，結(jié)合NASPIC平臺特點(diǎn)，華龍一號的安全級DCS架構(gòu)主要包括緊急停堆子系統(tǒng)（RTS）、專設(shè)驅(qū)動子系統(tǒng)（ESFAS）、安全信息和控制系統(tǒng)（SVDU）、網(wǎng)關(guān)系統(tǒng)（GW）、維護(hù)系統(tǒng)（MS）?？傮w上，安全級DCS包含4個保護(hù)組（保護(hù)組I、保護(hù)組II、保護(hù)組III以及保護(hù)組IV）和兩個邏輯系列（邏輯系列A和邏輯系列B），每個保護(hù)組分為兩個多樣性子組，每個邏輯系列包含 F-SC1、F-SC2 兩個安全等級的專設(shè)驅(qū)動系統(tǒng)，每個邏輯系列中執(zhí)行F-SC1級功能也分為兩個多樣性子組。

1.3 輸出至外部系統(tǒng)連接試驗(yàn)

輸出至外部系統(tǒng)連接試驗(yàn)的目的是對反應(yīng)堆保護(hù)系統(tǒng)輸出至外部系統(tǒng)的硬接線連接回路進(jìn)行檢查。該試驗(yàn)通過輸出至外部系統(tǒng)的信號數(shù)量以及外部系統(tǒng)需要處理的方式分為類型1、類型2以及類型3三種類型[4]。

類型1：該試驗(yàn)類型針對安全級DCS系統(tǒng)傳輸至其它系統(tǒng)的信號為兩路冗余信號，并在目標(biāo)系統(tǒng)進(jìn)行“與”邏輯運(yùn)算后產(chǎn)生真實(shí)動作信號的情況。其試驗(yàn)反饋信號經(jīng)過“異或”邏輯運(yùn)算后產(chǎn)生。試驗(yàn)時，每次只觸發(fā)其中的一路輸出。因此，試驗(yàn)不會導(dǎo)致目標(biāo)系統(tǒng)產(chǎn)生真實(shí)的動作信號，但是會產(chǎn)生試驗(yàn)反饋信號傳輸至安全級DCS系統(tǒng)，從而安全級DCS系統(tǒng)可以獲悉目標(biāo)系統(tǒng)已接收到了該試驗(yàn)信號。此類型的邏輯示意圖如圖1。

圖1 安全級DCS輸出至外部系統(tǒng)連接試驗(yàn)類型1Fig.1 Test type 1 for connection of safety level DCS output to external system

類型2：該試驗(yàn)類型針對安全級DCS系統(tǒng)傳輸四路冗余信號至目標(biāo)系統(tǒng)，在目標(biāo)系統(tǒng)進(jìn)行“2/4”邏輯運(yùn)算后產(chǎn)生真實(shí)動作信號的情況。任意一個輸入信號產(chǎn)生且沒有真實(shí)動作信號觸發(fā)的情況會產(chǎn)生試驗(yàn)反饋信號。試驗(yàn)時，每次只觸發(fā)四路信號中的一路輸出。因此，試驗(yàn)不會導(dǎo)致目標(biāo)系統(tǒng)產(chǎn)生真實(shí)的動作信號，但是會產(chǎn)生試驗(yàn)反饋信號傳輸至安全DCS系統(tǒng)，從而安全級DCS系統(tǒng)可以獲悉目標(biāo)系統(tǒng)已接收到了該試驗(yàn)信號。此類型的邏輯示意圖如圖2。

類型3：該試驗(yàn)類型針對安全級DCS系統(tǒng)傳輸三路信號至目標(biāo)系統(tǒng)，在目標(biāo)系統(tǒng)進(jìn)行“2/3”邏輯運(yùn)算后產(chǎn)生真實(shí)動作信號的情況。任意一個輸入信號產(chǎn)生且沒有真實(shí)動作信號觸發(fā)的情況會產(chǎn)生試驗(yàn)反饋信號。試驗(yàn)時，每次只觸發(fā)其中的一路輸出。因此，試驗(yàn)不會導(dǎo)致目標(biāo)系統(tǒng)產(chǎn)生真實(shí)的動作信號，但是會產(chǎn)生試驗(yàn)反饋信號傳輸至安全級DCS系統(tǒng)，從而安全級DCS系統(tǒng)可以獲悉目標(biāo)系統(tǒng)已接收到了該試驗(yàn)信號。此類型的邏輯示意圖與圖2類似。

圖2 安全級DCS輸出至外部系統(tǒng)連接試驗(yàn)類型2Fig.2 Connection test type 2 of safety level DCS output to external system

2 改進(jìn)前的輸出至外部系統(tǒng)連接試驗(yàn)方案

為了滿足試驗(yàn)的同時進(jìn)行以及一鍵啟動的要求，在SVDU上設(shè)置一鍵啟動按鈕，下發(fā)實(shí)驗(yàn)開始的脈沖信號，同時采用多個延時模塊、邊沿脈沖發(fā)生器在TU站中搭建時序功能塊，以體現(xiàn)每個信號的試驗(yàn)順序。

2.1 試驗(yàn)介紹

以SVDU-A中IP通道為例，該試驗(yàn)包含RTC-11和RTC-12，按照RTC-11和RTC-12子組順序執(zhí)行。當(dāng)RTC-11輸出至外部接口試驗(yàn)中的類型1、2和3的試驗(yàn)結(jié)束后，自動執(zhí)行RTC-12的輸出至外部接口試驗(yàn)中的類型1、2和3試驗(yàn)，其中在執(zhí)行RTC-11或者RTC-12的試驗(yàn)時，類型1、2和3同步進(jìn)行，每個類型中的試驗(yàn)信號順序執(zhí)行。使用開延時模塊和邊沿脈沖發(fā)生器模塊，每個試驗(yàn)信號采用1.5s的脈沖信號，應(yīng)保證1.5s能夠覆蓋從試驗(yàn)信號的產(chǎn)生到SVDU收到試驗(yàn)反饋信號并在屏幕上顯示的時間。

在SVDU上設(shè)置一鍵啟動按鈕和復(fù)位按鈕，一鍵啟動和復(fù)位按鈕均為脈沖信號。當(dāng)試驗(yàn)開始后，TU-A將啟動信號發(fā)送給TU-1，在TU-1中完成試驗(yàn)前自動檢查試驗(yàn)反饋信號，試驗(yàn)中順序下發(fā)試驗(yàn)信號給RTC-11，真實(shí)信號將觸發(fā)試驗(yàn)自動退出。RTC-11接收到試驗(yàn)信號后傳遞給外部接口系統(tǒng)，并在RTC-11中執(zhí)行多路試驗(yàn)信號聯(lián)鎖功能。當(dāng)試驗(yàn)結(jié)束后，TU-A將復(fù)位信號發(fā)送給TU-1，在TU-1中執(zhí)行復(fù)位功能。

2.2 試驗(yàn)過程與顯示

在SVDU-A畫面上設(shè)置有反饋信號指示燈用來顯示試驗(yàn)結(jié)果。同時，畫面上還設(shè)置了真實(shí)信號指示燈，IP通道試驗(yàn)畫面中涉及到的每一個真實(shí)信號從RTC-11或者RTC-12通過網(wǎng)絡(luò)傳輸?shù)絋U-1中后送SVDU-A顯示，表示是否有真實(shí)信號觸發(fā)。為了便于操作員查找故障原因，對于需要分別試驗(yàn)兩個子組的輸出信號的情況，則除每個子組信號設(shè)置一個試驗(yàn)信號反饋燈外，還需設(shè)置一個任一子組存在反饋信號指示燈。

2.3 試驗(yàn)順序進(jìn)行的實(shí)現(xiàn)方式

在SVDU上將“存在任一反饋信號”作為“啟動”按鈕的使能，只有當(dāng)不存在任一反饋信號的時候，“啟動”按鈕才能啟動。

當(dāng)試驗(yàn)信號開始下發(fā)后，通過第一個TPG模塊開始計(jì)時，發(fā)出一個能夠覆蓋本通道試驗(yàn)時間的脈沖信號。在此時間內(nèi)，通道內(nèi)所有輸出至外部接口試驗(yàn)應(yīng)能夠完成。第1個TPG信號的時間應(yīng)為邏輯中包含的TNF模塊的最大時間加上1.5s。針對信號順序執(zhí)行的情況，則從第2個信號開始依次采用TNF延時來控制信號的順序執(zhí)行，TNF延時時間為上一個TNF延時時間加上3s。

2.4 試驗(yàn)總結(jié)

本設(shè)計(jì)方案為了區(qū)分試驗(yàn)進(jìn)行的進(jìn)程，添加了多個延時模塊以及RS觸發(fā)器模塊，大幅增加了網(wǎng)絡(luò)變量的使用。同時，多個信號的互鎖、延時模塊的使用也造成了邏輯復(fù)雜程度的大幅增加。此方法不僅增加了CPU的負(fù)荷，網(wǎng)絡(luò)變量的使用數(shù)量也即將到達(dá)平臺上限。同時，繁雜的邏輯給軟件實(shí)現(xiàn)人員也帶來了更大的人因失誤的可能。

3 改進(jìn)后的輸出至外部系統(tǒng)連接試驗(yàn)方案

3.1 改進(jìn)原理

時序邏輯在主控模塊中難以實(shí)現(xiàn)，導(dǎo)致了邏輯的冗雜，故將此部分時序邏輯移至其他部件即可完成優(yōu)化目的。

SVDU本身為定期試驗(yàn)工具，同時作為安全級設(shè)備，SVDU具有較高的安全等級，在網(wǎng)絡(luò)安全等方面也具有較好的表現(xiàn)，故在SVDU上進(jìn)行時序邏輯的完成是較好的方式。

3.2 試驗(yàn)介紹

以SVDU-A中IP通道為例，該試驗(yàn)包含RTC-11和RTC-12，按照RTC-11和RTC-12子組順序執(zhí)行。當(dāng)RTC-11輸出至外部接口試驗(yàn)中的類型1、2和3的試驗(yàn)結(jié)束后，自動執(zhí)行RTC-12的輸出至外部接口試驗(yàn)中的類型1、2和3試驗(yàn)。其中，在執(zhí)行RTC-11或者RTC-12的試驗(yàn)時，類型1、2和3順序進(jìn)行，每個類型中的試驗(yàn)信號順序執(zhí)行。以RTC-11為例進(jìn)行邏輯說明，邏輯示意圖如圖7。圖中未包含所有的RTC-11試驗(yàn)信號，僅列出3個信號作為邏輯示例，每個通道的試驗(yàn)按照類型1、2和3順序進(jìn)行，當(dāng)前通道試驗(yàn)結(jié)束后，點(diǎn)擊畫面復(fù)位和試驗(yàn)復(fù)位按鈕進(jìn)行復(fù)位操作。

3.3 試驗(yàn)結(jié)果與顯示

在SVDU-A畫面上設(shè)置有試驗(yàn)指令下發(fā)控件用來顯示目前試驗(yàn)的進(jìn)行情況，同時設(shè)置了試驗(yàn)反饋信號指示燈用來顯示試驗(yàn)結(jié)果。同時，畫面上還設(shè)置了真實(shí)信號指示燈，以指示IP/IIP/IIIP/IVP通道以及A/B列中是否存在真實(shí)信號。

3.4 試驗(yàn)順序進(jìn)行的實(shí)現(xiàn)方式

在SVDU上設(shè)置一鍵啟動按鈕、畫面復(fù)位按鈕和試驗(yàn)復(fù)位按鈕，以上按鈕均為脈沖信號，畫面復(fù)位用來將所有下發(fā)指令顯示燈恢復(fù)到試驗(yàn)前狀態(tài)，保證反饋及真實(shí)信號試驗(yàn)燈與實(shí)際一致。試驗(yàn)復(fù)位按鈕用來在試驗(yàn)中止或試驗(yàn)結(jié)束后使用，用來復(fù)位試驗(yàn)已啟動信號。當(dāng)試驗(yàn)開始后，TU-A將啟動信號發(fā)送給TU-1，試驗(yàn)中順序下發(fā)試驗(yàn)信號給RTC-11，試驗(yàn)期間產(chǎn)生的真實(shí)信號將觸發(fā)全部試驗(yàn)停止，在SVDU上應(yīng)設(shè)置一個試驗(yàn)中止指示燈，以表征試驗(yàn)因真實(shí)信號的觸發(fā)而中止。試驗(yàn)停止后，已進(jìn)行的試驗(yàn)畫面保持當(dāng)前狀態(tài)，試驗(yàn)中止燈亮，需進(jìn)行復(fù)位操作才能再次進(jìn)行試驗(yàn)。RTC-11接收到試驗(yàn)信號后傳遞給外部接口系統(tǒng)，并在RTC-11中執(zhí)行多路試驗(yàn)信號聯(lián)鎖功能。當(dāng)試驗(yàn)結(jié)束后，在SVDU上先后點(diǎn)擊試驗(yàn)復(fù)位按鈕和畫面復(fù)位按鈕進(jìn)行復(fù)位，恢復(fù)到試驗(yàn)前的狀態(tài)。

試驗(yàn)進(jìn)行的邏輯如下：

1）在SVDU上將“不存在任一反饋信號”且“不存在真實(shí)驅(qū)動信號”作為“一鍵啟動”按鈕的使能，只有當(dāng)不存在任一反饋信號且不存在任一真實(shí)驅(qū)動信號的時候，“一鍵啟動”按鈕才能啟動，不能進(jìn)行的試驗(yàn)的按鈕在SVDU上應(yīng)該有專門的顏色區(qū)分。點(diǎn)擊“一鍵啟動”按鈕后，試驗(yàn)信號開始下發(fā)。

2）SVDU下發(fā)Step1的3s的試驗(yàn)指令信號（脈沖信號），在TU-1里將Step1的試驗(yàn)指令信號與Step1的試驗(yàn)反饋信號取“與”作為Step1的試驗(yàn)反饋信號，在SVDU上設(shè)置試驗(yàn)反饋控件，控件在3s內(nèi)接收到Step1的試驗(yàn)反饋信號后，此步驟的試驗(yàn)反饋控件指示燈變綠，表明試驗(yàn)通過。若未在3s內(nèi)接收到Step1的試驗(yàn)反饋信號，此步驟的試驗(yàn)反饋控件指示燈變紅，表明試驗(yàn)未通過，不能進(jìn)行下一步，本組試驗(yàn)自動停止。試驗(yàn)反饋信號指示燈狀態(tài)應(yīng)一直保持，直至按下畫面復(fù)位按鈕。Step1的試驗(yàn)指令下發(fā)控件下發(fā)信號時應(yīng)該在SVDU上有明顯的表征，信號下發(fā)結(jié)束后應(yīng)該恢復(fù)原狀。

3）當(dāng)SVDU收到前一步的試驗(yàn)反饋信號且Step2的真實(shí)反饋信號和任一真實(shí)驅(qū)動信號不存在時，將自動下發(fā)Step2的試驗(yàn)指令信號。當(dāng)試驗(yàn)信號開始下發(fā)后，SVDU下發(fā)Step2的3s的試驗(yàn)指令信號（脈沖信號），在SVDU里將Step2的試驗(yàn)指令信號與Step2的試驗(yàn)反饋信號取“與”作為Step2的試驗(yàn)反饋。在SVDU上設(shè)置試驗(yàn)反饋控件，控件在3s內(nèi)接收到Step2的試驗(yàn)反饋信號后，此步驟的試驗(yàn)反饋控件指示燈變綠，表明試驗(yàn)通過。若未在3s內(nèi)接收到Step1的試驗(yàn)反饋信號，此步驟的指示燈變紅，表明試驗(yàn)未通過，不能進(jìn)行下一步，本組試驗(yàn)自動停止，試驗(yàn)反饋信號指示燈狀態(tài)應(yīng)一直保持，直至按下畫面復(fù)位按鈕。Step2的試驗(yàn)指令下發(fā)控件下發(fā)信號時應(yīng)該在SVDU上有明顯的表征，信號下發(fā)結(jié)束后應(yīng)該恢復(fù)原狀。

4）以此類推完成本頁的試驗(yàn)。在SVDU上的使能邏輯示意圖如圖3。

圖3 SVDU上的使能邏輯示意圖Fig.3 Schematic diagram of enable logic on SVDU

4 優(yōu)化可行性分析

根據(jù)HAF 102-10核動力廠儀表和控制系統(tǒng)設(shè)計(jì)2021版6.1.3節(jié)要求[5]，“安全儀控系統(tǒng)設(shè)計(jì)應(yīng)避免不必要的復(fù)雜性”。優(yōu)化前，各TU軟件組態(tài)邏輯中為實(shí)現(xiàn)輸出至外部系統(tǒng)連接試驗(yàn)設(shè)計(jì)邏輯算法約占整個TU站邏輯的30%，極大增加了安全級DCS的邏輯復(fù)雜度，而通過對SVDU的二次開發(fā)來實(shí)現(xiàn)上述功能，將輸出至外部系統(tǒng)試驗(yàn)的部分邏輯放置于SVDU上執(zhí)行，能夠很大程度上解決上述問題。

同時，由于定期試驗(yàn)本身是非安全級功能，將一部分功能轉(zhuǎn)移至更高安全等級的SVDU上去執(zhí)行，不會引起安全降級等問題，網(wǎng)絡(luò)安全也不會因此受到威脅。SVDU只需要開發(fā)一部分使能元件，不會對SVDU負(fù)荷造成過多增加。

經(jīng)評估，改進(jìn)后的輸出至外部系統(tǒng)連接試驗(yàn)的優(yōu)化參數(shù)詳見表1。

表1 改進(jìn)后的輸出至外部系統(tǒng)連接試驗(yàn)優(yōu)化項(xiàng)Table 1 Optimized items for connection test of improved output to external system

改進(jìn)后的實(shí)現(xiàn)方案能釋放30%左右的全局變量，大大改善原方案即將達(dá)到平臺上限的全局變量的狀況，為后續(xù)改造、擴(kuò)容提供了平臺條件。

5 結(jié)束語

現(xiàn)階段基于NASPIC平臺的輸出至外部系統(tǒng)試驗(yàn)有較大隱患，對于全局變量的使用十分受限，TU站點(diǎn)的負(fù)荷較大，根據(jù)優(yōu)化方案的可行性分析結(jié)果來看，實(shí)施優(yōu)化后能有效降低系統(tǒng)的負(fù)荷，釋放大量全局變量，且不會對系統(tǒng)的可靠性造成較大影響，進(jìn)一步增加了NASPIC平臺的可靠性及完備性，對后續(xù)平臺的改造和擴(kuò)容增加了可行性[6]。