核電站安全專設設備防誤啟動功能優化

郭海寧，李宜民，周宏偉

（中廣核核電運營有限公司，廣東 深圳518124）

1 引言

國內某核電站3/4 號機組非安DCS 控制系統采用德國西門子的TXP 系統，其承擔核電站NC、1E 級設備的控制。應急母線的負荷加載功能也是在TXP 中實現。應急母線加載功能：在柴油機為應急母線供電后，應急母線所帶的負載在卸載前若存在啟動信號則對這些負載按照所規定的程序進行重新加載。某次大修在余熱排出泵RRA001PO 維修結束后解除隔離時發生了自動啟動[1]。經分析自啟動的原因為加載邏輯設計存在缺陷。

2 背景介紹

某次大修中余熱排出泵RRA001PO 解除隔離時出現了非預期啟動。事件經過如下：大修中進行柴油機加卸載試驗，試驗結束后無異常，在進行RRA001PO 再鑒定試驗時，解除RRA001PO 隔離后，RRA001PO 非預期啟動。查詢歷史記錄，RRA001PO 隔離檢修過程中電氣盤觸發過狀態運行信號，在進行柴油機加卸載試驗時觸發RRA001PO 的DS ON 信號，在其后的RRA001PO 再鑒定試驗解除隔離后直接啟動。

3 控制原理及原因分析

以余熱排出泵RRA001PO 為例對安全專設設備的控制原理進行說明，原理如圖1所示，圖中RS 觸發其的作用是記憶設備的狀態，在安全級指令觸發卸載重新加載后恢復到設備卸載前的狀態；安全級指令后的延時器的作用是在安全級指令消失后的t 時間內恢復設備之前的狀態；運行狀態CB ON后的延時器的作用是保證安全級指令消失后t 時間內能夠復位RS 觸發器。由圖1可以看出，安全級指令在應急母線電壓低時觸發，余熱排出泵RRA001PO 會接收到卸載指令自動停運，對于專設安全設施，要求在應急母線電壓恢復后，設備需要在一定時間內恢復到之前狀態，在非安全級DCS 組態時，在運行反饋信號CB ON 信號后增加RS 觸發器保持卸載前設備狀態，同時安全級指令觸發發出卸載指令，RRA001PO 停運，重新加載后產生余熱排出泵RRA001PO 的自動啟動信號，RRA001PO 自動恢復到運行狀態。

某核電廠某次大修RRA001PO 非預期啟動的詳細動作的時序如圖2所示，在t0 時刻RRA001PO 電氣控制回路維修過程中觸發了設備的狀態信號CB ON，此時CB ON 被保持，在進行柴油機試驗時，t1 時刻觸發卸載信號，即1E 級指令（也稱之為安全級指令），經過時間t，在t2 時刻觸發RRA001PO 的自動啟動信號，由于核電站安全級DCS 指令優先于非安全級DCS 指令，且此時RRA001PO 處于隔離狀態，不會誤啟動，但當柴油機試驗完成卸載信號消失的時間t 內觸發了RRA001PO 的DS ON（期望啟動指令），因此時RRA001PO 處于隔離狀態，不會造成誤啟動的發生，但在RRA001PO 進行再鑒定t5 時刻解除隔離時，由于此時存在DS ON 指令，直接導致RRA001PO 的非預期啟動。

圖1 RRA001PO 控制邏輯圖

圖2 RRA001PO 動作時序圖

由圖1RRA001PO 的控制原理和圖2RRA001PO 的動作時序圖可知，RRA001PO 非預期啟動的原因是：RRA001PO 隔離檢修時電氣盤觸發了設備狀態信號CB ON 耦合柴油機加卸載指令觸發DS ON 信號，在解除RRA001PO 隔離前，由于邏輯設計的原因，操縱員未能識別出設備的狀態。此類設備的運行狀態記憶信號和DS ON 均未上傳到人機界面顯示，同樣存在誤啟動的風險。

4 優化與改進

從上述的案例中分析可知，目前設備存在非預期啟動的問題的原因在于：①參與泵啟動指令運算的信號存在自保持，而這類信號在設備檢修的過程中會觸發，而操作員無法提前識別，不能進行復位的操作；②控制邏輯不完善導致CB ON信號被誤記憶。針對上述原因，有以下兩種解決方案，具體方案如下。①方案一：將安全專設設備的自動啟動信號前的RS 觸發器的狀態輸出至人機接口界面，這樣在進行試驗時，操縱員可在人機接口界面查看狀態，提前進行信號復位操作，同時開放安全專設設備的啟動指令信號監視端口，使該信號在動態功能圖中可見，以便操縱員可以在人機接口界面上確認設備的自動啟動信號狀態，避免設備的非預期啟動。②方案二：RRA001PO 優化后的控制邏輯如圖3所示，對比圖1控制邏輯圖，優化后，只在安全級指令觸發耦合設備狀態反饋信號CB ON 產生記憶信號，RS 觸發器復位信號增加泵的運行信號，即泵在運行時復位RS 觸發器，防止RS 觸發器被誤置位，避免在日常或大修檢修期間無法啟動指令，造成設備的誤啟動。

針對RRA001PO 非預期啟動的問題，方案一通過把DS ON 信號和設備狀態記憶信號傳輸至人機界面顯示，有利于操縱員監視，提前識別設備狀態；方案二對RRA001PO 的設備記憶信號及復位信號進行優化，從根本上消除RS 觸發器被誤置位，設備誤啟動和操作員誤操作的風險。

圖3 優化后RRA001PO 控制邏輯

5 結論

某核電站3/4 機組均已按方案一和方案二對RRA001PO、RRA002PO 進行了優化，對同類設備按方案一進行了優化。經過幾個輪次大修的跟蹤，實施效果良好，在優化實施后未再發生類似RRA001PO 非預期啟動的發生。

此類優化可以應用到國內同類型核電站的控制邏輯中，對新建核電站的設計同樣具有借鑒意義。