基于FitRel系統平臺的多樣化反應堆保護系統定期試驗設計

陳 鵬，李謝晉，羅 煒，周繼翔，蔣天植

(中國核動力研究設計院 核反應堆系統設計技術重點實驗室，四川 成都 610041)

為了應對安全級數字化儀控系統共因失效的風險，滿足核電廠縱深防御和多樣性的要求，通過結合國內其他同類型采用數字化儀控系統的二代加核電廠經驗，在田灣核電站擴建工程5、6號機組中設計了一套多樣化反應堆保護系統DAS(DAS，Diverse Actuation System)，以提供多樣性的保護手段來降低保護系統共因失效的風險。由于DAS系統功能在反應堆正常運行過程中并不被啟用，需要通過定期試驗來保證其預期的可用性。并且，美國核管會發布的標準審查大綱第7.8節[1]中要求，申請者/持照者應確定多樣化保護系統的試驗、維修、監測和校準程序。因此，系統設計方需要為多樣化保護系統設計一套定期試驗方案。

在國內外已發表的文獻中，與DAS系統定期試驗方案設計相關的很少。文獻[2]列出了8種設計有多樣化保護系統的海外堆型。每一種堆型均設計了多樣化保護系統定期試驗，但卻未對定期試驗方案策略進行說明。國內已運行的福清一期、福清二期、方家山和海南一期核電項目，包括在建的“華龍一號”核電項目均設計了多樣化保護系統。其定期試驗方案是采用GB/T 5204[3]給出的分段交迭試驗方法，充分考慮所采用的儀控平臺特性，并結合多樣化保護系統的具體功能來進行設計的。本文根據田灣核電站擴建工程5、6號機組的多樣化反應堆保護系統設計，并充分考慮FitRel(FitRel，Fit and Reliable System)平臺的自身特性，采用分段交迭試驗的方式設計了一套符合法規標準要求的DAS系統定期試驗方案。

1 多樣化反應堆保護系統設計

在田灣核電站擴建工程5、6號機組中，DAS系統分為兩個通道，每個通道都包含獨立的信號輸入處理模塊、處理單元(MPU，Main Processing Unit)、輸出處理模塊等設備。兩個通道的輸出經2取2符合邏輯后，生成自動驅動信號，其結構如圖1所示[4]。多樣化反應堆保護系統是由基于FPGA(FPGA，Field-Programmable Gate Array)技術的FitRel平臺實現，與由基于微處理器技術實現的反應堆保護系統FirmSys(FirmSys，Firm System)平臺相比，滿足NUREG/CR-6303中的多樣性要求[5]。為了防止因設備故障引起虛假動作，DAS系統不采用故障安全設計原則。DAS系統產生的緊急停堆信號設計成得電動作的方式，機柜或者卡件失電不會觸發緊急停堆。DAS系統輸出到專設安全設施驅動器的控制信號與反應堆保護系統相同，采用的是有電動作原則。

圖1 多樣化反應堆保護系統結構示意圖Fig.1 Schematic of diverse actuation system

2 定期試驗設計方案

在反應堆正常運行過程中，DAS系統的功能并不被啟用，因此需要通過定期試驗來保證其可用性，并達到最低限度的性能水平。DAS系統定期試驗用于監測DAS系統性能并檢測隱藏的故障。它采用分段交迭試驗方式，分為T1試驗、T2試驗和T3試驗。T1試驗主要驗證過程儀表系統和核儀表系統的測量通道；T2試驗為多樣化保護邏輯功能試驗，T3試驗主要檢查DAS輸出到設備接口模塊CIM(CIM，Component Interface Module，用于執行控制信號的優先級管理和設備的驅動控制功能)[6]或者外部系統的接口回路。DAS工程師站(可移動的計算機)提供DAS系統T2/T3試驗的測試用例和T3試驗測試允許信號[4]。試驗時，定期試驗維護人員利用工程師站內安裝的FitRel平臺維護軟件FitRel-MT向DAS系統注入試驗指令，通過將試驗結果與預期值進行比較來判斷試驗成功與否[7]。基于FitRel系統平臺的田灣核電站擴建工程5、6號機組的多樣化反應堆保護系統定期試驗分段如圖1所示。

2.1 T1試驗

DAS系統的T1試驗主要包括交叉比較和通道驗證。DAS系統自動對測量同一參數的冗余輸入通道進行交叉比較。當任意兩個輸入信號之間的偏差超過信號量程的10%(可調)，將在電廠計算機信息與控制系統KIC(KIC，Plant Information and Control System)上觸發工藝報警。針對同一傳感器信號，操縱員每天對DAS送KIC的指示值與反應堆保護系統RPS(RPS，Reactor Protection System)送KIC的指示值進行比較；針對測量同一參數的冗余傳感器信號，操縱員每天對其進行交叉比較。

對于DAS系統與反應堆保護系統共用的過程傳感器/探測器輸入通道，DAS系統和RPS分別設計有信號分斷刀閘(如圖2所示)，定期試驗維護人員可以根據現場實際情況通過分斷DAS側或者RPS側端子切換真實輸入信號，再從端子測試信號注入口注入試驗信號，同時在DAS工程師站讀取試驗結果。在電廠計劃停堆期間，定期試驗維護人員也可以通過圖2所示的方式對儀表通道的精度進行驗證。當所有相關的冗余信號都在給定的精度誤差允許范圍內，即表明相關通道的精度滿足要求。傳感器/變送器的精度檢查可由反應堆保護系統輸入通道精度檢查所覆蓋。

圖2 通道校準試驗方案示意圖Fig.2 Schematic of channel calibration

對于來自核儀表系統RPN(RPN，Nuclear Instrumentation System)的模擬量輸入通道，除了DAS系統將對其進行自動交叉比較外，在進行RPN測量通道的定期試驗時，還需要同時對DAS系統相關的輸入通道進行驗證。RPN模擬通道可以通過維護試驗設備MTE(MTE，Maintenance and Test Equipment)進行試驗。MTE是一臺可移動的計算機，它可以通過注入模擬試驗信號檢測源量程、中間量程和功率量程通道的狀況。試驗時MTE注入幾個不同的試驗電流至RPN，試驗人員通過在主控室查看經過RPN和DAS處理后的相關信號的狀態，并將其與期望值進行比較，以判斷來自RPN系統的模擬信號是否正確傳輸至DAS。在試驗過程中，處于試驗的RPN通道向DAS系統發出“通道試驗或故障”信號，DAS系統將進行邏輯退化處理。操縱員可以通過主控制室的報警獲悉通道正在進行試驗。

2.2 T2試驗

DAS系統基于FitRel平臺，具備在線自檢能力，包括MPU板卡、網絡通信板卡、I/O(I/O，Input/Output)模塊、以及內部總線和網絡通訊都能進行在線驗證。T2試驗主要是驗證處理單元內邏輯功能的正確運行。在反應堆停堆期間，試驗人員通過DAS工程師站和T2試驗開關對單個DAS設備通道進行試驗。首先，定期試驗維護人員通過DAS機柜中T2試驗開關切除未進行T2功能試驗的DAS設備通道的DO(DO，Digital Output)板卡的供電，確認其無法輸出“觸發”信號后，再在DAS工程師站上執行測試用例。測試用例按照DAS單通道和功能分別設計，通過對邏輯輸入信號進行批量強制后，再監視MPU邏輯輸出值并和預期值進行比較來判斷試驗成功與否。DAS系統T2試驗方案如圖3所示。測試用例中還包括對帶自保持觸發器輸出信號狀態的試驗前讀取和試驗后恢復。

由于DAS系統冗余設備通道采用繼電器“二取二”表決邏輯輸出，且每次僅對其中一個DAS設備通道進行試驗，因此在試驗期間DAS系統不會觸發設備動作。需要注意的是，針對包含觸發器邏輯的試驗，在試驗結束后需要將觸發器的輸出狀態恢復到試驗前的狀態。

圖3 T2試驗方案示意圖Fig.3 Schematic of T2 test

2.3 T3試驗

由于在反應堆保護系統的不閉鎖T3成組驅動器試驗中已對CIM輸出到下游驅動器的信號回路進行了試驗，因此DAS系統不需要再進行T3驅動器不閉鎖成組試驗。DAS系統的T3試驗分為兩種：一種為DAS系統輸出到CIM的驅動器閉鎖型試驗，另一種為DAS系統至外部系統的輸出連接試驗。試驗從DAS工程師站上觸發后便自動地進行。試驗結果在DAS工程師站中進行顯示。

2.3.1 DAS至CIM的輸出連接試驗(驅動器閉鎖型T3試驗)

DAS至CIM的輸出連接試驗包括所有由DAS驅動且受CIM控制的驅動器(如圖4所示)。試驗的目的是為了檢查DAS到CIM的輸出接口以及DAS與CIM之間的硬接線連接。定期試驗維護人員首先把位于DAS機柜中T3試驗開關切換至“試驗”位置。在確認T3試驗開關旁的T3試驗狀態指示燈點亮后，維護人員通過DAS工程師站強制觸發T3試驗請求信號，CIM接收到此信號后會閉鎖CIM卡的DAS指令輸入，并通過安全相關機柜(提供CIM模塊的定期試驗支持功能)發送試驗允許信號給DAS[8]。在試驗允許信號存在情況下，工程師站注入的試驗指令信號才能發送到CIM。因此，此試驗不會引起專設安全設施動作。DAS每個通道的DO輸出通過繼電器2取2符合邏輯后發送信號至CIM。

圖4 DAS和CIM接口試驗方案示意圖Fig.4 Schematic of DAS and CIM interface test

DAS每次只試驗其中一個CIM接口，通過回讀DO輸出和CIM試驗反饋信號的狀態判斷試驗成功與否。每個CIM機柜試驗后，DAS通過CIM試驗允許未解除信號的狀態判斷該機柜中所有CIM是否都已解除，如有某個CIM試驗允許未解除，試驗不通過。

如果在試驗過程中有真實的驅動指令產生，那么該指令會立即閉鎖MT注入的試驗指令信號，同時復位試驗請求信號，以保證真實動作信號立即觸發。試驗請求被復位后，試驗允許和試驗反饋信號均為0，試驗不通過。

2.3.2 DAS至外部系統的輸出連接試驗

DAS系統至外部系統輸出連接試驗包括DAS輸出到RGL(RGL，Rod Control System and Rod Position System)控制棒驅動機構電源柜的緊急停堆信號試驗、DAS輸出到汽輪機保護系統GSE(GSE，Turbine Protection System)的汽機跳閘信號試驗以及DAS輸出到主蒸汽系統VVP(VVP，Main Steam System)與化學和容積控制系統RCV(RCV，Chemical and Volume Control System)的信號試驗。這一試驗的目的是為了檢查DAS的輸出接口以及DAS與外部系統之間的硬接線連接。

以RGL系統為例，DAS送至控制棒控制系統RGL的緊急停堆信號(如圖5所示)，在RGL側進行“四取二”表決后觸發緊急停堆，在DAS工程師站上每次只能試驗其中的一路信號，當試驗其中某路信號時，其他三路輸出信號對應的試驗開關將無法操作；這樣的試驗方案設計保證了試驗時不會觸發目標系統設備真實的動作。DAS輸出到GSE的汽機停機信號的試驗方式與此方式類似。

對于DAS送至RCV的信號(如圖6所示)，每次僅試驗其中一個通道輸出，由于只有兩個通道信號同時存在時，“二取二”符合邏輯才有效，保證了試驗時不會觸發目標系統設備真實的動作。試驗結果在DAS工程師站上進行顯示。

如果在試驗過程中有真實的驅動指令產生(兩路或兩路以上信號同時存在)，那么真實的動作信號會立即觸發，并閉鎖試驗反饋信號，試驗不通過。

圖5 DAS與RGL/GSE接口試驗方案示意圖Fig.5 Schematic of DAS and RGL/GSE interface test

圖6 DAS與VVP/RCV接口試驗方案示意圖Fig.6 Schematic of DAS and VVP/RCV interface test

3 總結

田灣核電站擴建工程5、6號機組的多樣化反應堆保護系統定期試驗方案是在滿足相關法規標準的前提下，根據FitRel系統平臺的特點來設計的，目前已經應用于施工設計中。它具有以下特點：

1)充分利用數字化儀控平臺的在線自檢功能、冗余信號間的交叉互校功能，提高了系統的自診斷覆蓋率，減少了定期試驗頻度，對提高系統的可用性有利。在此基礎上，結合分段交迭的定期試驗方式，擴大了故障檢測范圍，顯著提高了定期試驗的有效性。

2)通過在DAS系統和RPS系統設計信號分斷刀閘，簡化了T1試驗的插拔線工作。與此同時，DAS工程師站的設計，使得T2和T3試驗一經觸發便可自動執行。試驗人員可以在工程師站上直接觀察T3試驗結果。上述設計減少了試驗維護人員的工作量，提高了定期試驗的工作效率。

3)DAS系統自身的“二取二”邏輯結構和得電動作設計，使得試驗維護人員在進行T2試驗時不用擔心誤觸發下游設備動作。通過設置合理的試驗允許邏輯與試驗閉鎖邏輯，并利用“四取二”和“二取二”符合設計，使得試驗維護人員在對某一輸出通道進行T3 試驗時，不用擔心誤觸發目標系統設備動作或者閉鎖真實的保護動作信號。這些試驗設計可以降低電廠設備在試驗期間的誤觸發概率，也提高了試驗的靈活性。

與由基于微處理器技術實現的反應堆保護系統(FirmSys)相比，基于FPGA技術實現的DAS系統(FitRel)雖然沒有操作系統和軟件，但是在定期試驗內容、方法和策略上，兩者無明顯差異。