一起主泵變頻控制器故障導(dǎo)致的反應(yīng)堆停堆事故分析

王豐軍，張盧翼

(三門核電有限公司，浙江 臺州 317112)

0 引 言

某核電廠機組主泵電機的電源為額定電壓6.9 kV，額定頻率60 Hz，每臺主泵電機均配置1臺主泵變頻器，用以將輸入10.5 kV、50 Hz的廠用電轉(zhuǎn)換為輸出6.9 kV、60 Hz的主泵電機用電，10.5 kV 廠用中壓母線設(shè)置1臺非1E級中壓斷路器，作為變頻器的運行電源，每臺主泵配置2臺串聯(lián)的1E級中壓斷路器，執(zhí)行安全相關(guān)功能。

2020年5月3日，1號機組主泵1B失電停運，反應(yīng)堆冷卻劑流量低，觸發(fā)停堆信號，反應(yīng)堆自動停堆，汽輪機自動停機。因此，對故障原因進行分析，查找各環(huán)節(jié)可能出現(xiàn)的問題，以防后患。

1 現(xiàn)場故障檢查過程

事故前機組運行狀態(tài)穩(wěn)定，系統(tǒng)無異?，F(xiàn)象。

1.1 變頻器EV41就地柜信息檢查

根據(jù)變頻器EV41就地柜人機界面故障首出信息初步判斷：主泵1B失電原因為變頻器EV41上游10.5 kV斷路器斷開，主泵1B失電惰轉(zhuǎn)。

1.2 變頻器EV41PLS工程師站信息檢查

電站控制系統(tǒng)(plant control system，PLS)側(cè)的事件序列如下：

1)主泵1B變頻器上游斷路器ECS-ES-EV41(52-1)分閘，變頻器EV41輸入輸出的電流、電壓、功率以及主泵轉(zhuǎn)速開始同步下降；

2)變頻器EV41停運；

3)熱段流量下降至90%，并觸發(fā)反應(yīng)堆停堆；

4)PLS觸發(fā)非指令監(jiān)視報警，并發(fā)出ECS-ES-EV41(52-1)分閘指令。

由事件序列可知，PLS在發(fā)出斷路器ECS-ES-EV41(52-1)分閘指令前，已收到ECS-ES-EV41(52-1)的分閘狀態(tài)反饋，因此可排除PLS跳斷路器ECS-ES-EV41(52-1)的可能。

1.3 變頻器EV41中壓斷路器信息檢查

現(xiàn)場檢查主泵1B變頻器斷路器1-ECS-EV-41(52)保護裝置，保護裝置正常運行，指示燈亮起，報警燈未點亮。檢查主泵1B變頻器斷路器(1-ECS-EV-41(52))保護裝置事件日志，顯示斷路器跳閘造成相關(guān)信號變位，無保護動作信息。

根據(jù)上述檢查結(jié)果，綜合信息判斷如下：

1)確認主泵1B變頻器斷路器首發(fā)跳閘；

2)檢查主泵1B變頻器故障日志，發(fā)現(xiàn)控制器A在無其他故障的前提下取消了合閘允許信號“OUTGOING : Permissive to Close ICB / M1”，使跳閘繼電器動作，跳開上游中壓斷路器，控制器A發(fā)出過損耗、配置文件讀取錯誤等多個對輸入至控制器A的信號進行了錯誤處理、判斷、響應(yīng)的故障信息，初步判斷主泵變頻器控制器A故障。

2 故障原因分析

根據(jù)上述檢查可知，主泵1B變頻器EV41控制器A故障和主泵1B變頻器上游中壓斷路器跳閘是造成主泵1B失電停運的原因。

2.1 對主泵1B變頻器上游中壓斷路器跳閘原因分析

檢查主泵1B變頻器上游中壓斷路器(1-ECS-EV- 41(52))跳閘回路，可以確認造成主泵1B變頻器上游中壓斷路器跳閘的可能原因包括：斷路器本體故障或保護動作導(dǎo)致斷路器跳閘[1]、PLS傳遞跳閘指令至斷路器控制回路、多樣化驅(qū)動系統(tǒng)跳閘繼電器動作、主泵變頻器傳遞跳閘指令至斷路器控制回路。針對上述可能原因進行逐項排查。

1)對斷路器手動跳閘開關(guān)進行檢查，其輔助接點正常；對斷路器進行外觀檢查和分合閘試驗，確認斷路器功能正常；對跳閘回路紅燈進行檢查無異常。對跳閘回路進行絕緣檢查，無異常。說明斷路器本體無故障，沒有出現(xiàn)偷跳情況[2]。

2)核查主泵1B變頻器斷路器繼電保護裝置無保護動作信息。

3)對PLS跳閘回路進行檢查，發(fā)現(xiàn)該接點處于閉合狀態(tài)，跳閘信號一直持續(xù)，解開接線后進行絕緣檢查正常；根據(jù)對PLS趨勢的分析可確認，PLS跳閘回路接點處于閉合狀態(tài)是斷路器非預(yù)期跳閘后PLS產(chǎn)生非指令監(jiān)視報警的正常響應(yīng)。

4)對DAS跳閘回路進行檢查，發(fā)現(xiàn)該接點處于打開狀態(tài)，解開接線后進行絕緣檢查無異常，可確認斷路器跳閘非DAS觸發(fā)。

5)對主泵變頻器跳閘回路進行檢查，發(fā)現(xiàn)該接點處于閉合狀態(tài)，跳閘信號一直持續(xù)，解開接線后進行絕緣檢查無異常。

通過上述排查、分析，同時對各跳閘回路接線進行檢查，所有接線都緊固可靠，無異常情況，主泵1B變頻器上游斷路器跳閘，繼電器處于動作狀態(tài)。由此可確認主泵1B變頻器向上游中壓斷路器發(fā)出跳閘信號、觸發(fā)變頻器上游中壓斷路器跳閘。

2.2 對主泵1B變頻器觸發(fā)上游中壓斷路器跳閘原因分析

現(xiàn)場分析主泵1B變頻器事件日志得到如下信息：主泵1B變頻器控制器A在無其他故障的前提下取消了合閘信號：“OUTGOING : Permissive to Close ICB / M1”，該信號的取消意味著主泵1B變頻器跳閘線圈TIMV-A與TIMV-B已經(jīng)失電。

主泵1B變頻器內(nèi)部跳閘線圈TIMV-A與TIMV-B在變頻器正常運行期間處于得電狀態(tài)，電源分別來自RACK-LV-A、RACK-LV-B上SLOT5模塊DO通道CHO，其串入上游中壓斷路器的輔助觸點始終保持為開點。當主泵變頻器控制器取消合閘允許信號“Permissive to Close ICB / M1”時，TIMV-A與TIMV-B線圈由得電狀態(tài)進入失電狀態(tài)，其串入上游中壓斷路器的對應(yīng)輔助觸點由開點變?yōu)殚]點，觸發(fā)斷路器跳閘線圈得電，斷路器跳閘。

主泵1B變頻器數(shù)據(jù)傳輸回路圖如圖1所示，主泵1B變頻器低電壓信號傳輸模塊LVA與LVB與可編程邏輯控制器(programmable logic controller，PLC)、控制器共處兩個通信環(huán)網(wǎng)中，PLC只執(zhí)行控制器傳輸至LV的數(shù)據(jù)監(jiān)測；因此，當主控制器發(fā)出跳閘命令時，將通過兩路通信環(huán)網(wǎng)傳輸至LVA與LVB，并觸發(fā)DO通道CHO失電。

圖1 主泵1B變頻器數(shù)據(jù)傳輸回路

通過對主泵變頻器本體的檢查可以確認：主泵1B變頻器跳閘回路接線良好，變頻器無跳閘(E-STOP)信號觸發(fā)，RACK-LV-A與RACK-LV-B上SLOT5模塊狀態(tài)監(jiān)測無異常，由于事件發(fā)生前后主泵1B一直處于控制器A的控制狀態(tài)，事件過程中無控制器切換，可排除跳閘回路硬件故障導(dǎo)致主泵1B變頻器斷路器非預(yù)期跳閘的情況。

2.3 對主泵1B變頻器控制器A觸發(fā)上游中壓斷路器跳閘原因分析

主泵變頻器正常運行時由預(yù)先設(shè)定的主控制器(控制器A)控制，當變頻器內(nèi)檢測到主控制器直流電源丟失、輸出瞬時過電流等故障時，會觸發(fā)控制器切換[3]。但當變頻器檢測到輸出接地、過損耗、輸入保護等故障時，變頻器則不會進行控制器切換，直接觸發(fā)上游非1E級中壓斷路器跳閘，確保設(shè)備可靠停電。因此當主泵1B變頻器控制器A出現(xiàn)錯誤的保護判斷觸發(fā)跳閘指令時，不會出現(xiàn)控制器切換。

控制器A在取消合閘允許指令后，報出多個報警、故障以及跳閘事件序列，通過對主泵1B變頻器輸入、輸出電氣量的趨勢分析，確認電機熱過載、過損耗、電機過電壓等故障均未真實發(fā)生，初步懷疑控制器A對自身監(jiān)測的各項參數(shù)進行了錯誤的處理、判斷及響應(yīng)或者狀態(tài)監(jiān)測信號的傳輸受到了干擾或中斷[4]。

為進一步確定控制器A是否存在故障，利用預(yù)充電過程中設(shè)備對控制器逐個自檢的原理，對主泵1B變頻器進行預(yù)充電驗證。依據(jù)預(yù)充電結(jié)果確認：控制器A不能執(zhí)行設(shè)計功能，出現(xiàn)功率單元數(shù)量配置偏差、功率單元配置錯誤等報警?？刂破鰾響應(yīng)正常，最終設(shè)備保持在控制器B運行。

綜上，可以確認由于主泵1B變頻器控制器A存在硬件故障對輸入控制器的正常數(shù)據(jù)進行了錯誤的處理、判斷和響應(yīng)或者狀態(tài)監(jiān)測信號的傳輸受到了干擾或中斷，觸發(fā)跳閘保護動作向上游中壓斷路器發(fā)出跳閘信號、觸發(fā)變頻器上游中壓斷路器跳閘。

2.4 對主泵1B變頻器控制器A硬件故障點分析

1號機組主泵變頻器為美國西門子公司生產(chǎn)的WCⅢ-HA型水冷變頻器，在其控制系統(tǒng)中配置有雙重控制器，其中控制器A為主控制器，控制器B為備用控制器。兩個控制器中都分別包含ISA總線背板、鍵盤適配器板、CPU板、調(diào)制器板、光纖板、系統(tǒng)接口板、通信板等功能卡件，如圖2所示。

圖2 主泵1B變頻控制器A各板卡布置

運行期間，控制器結(jié)合變頻器的參數(shù)配置、系統(tǒng)運行程序、控制系統(tǒng)軟件對監(jiān)測的各項數(shù)據(jù)進行判斷，按照預(yù)定的邏輯觸發(fā)主泵變頻器執(zhí)行電力電子調(diào)節(jié)、報警、跳閘等響應(yīng)，使得主泵變頻器的各項運行功能、保護配置、用戶指令得到實現(xiàn)[5]。

基于此次主泵1B 變頻器控制器A硬件故障狀態(tài)下，對輸入控制器的正常數(shù)據(jù)進行了錯誤的處理、判斷和響應(yīng)或者狀態(tài)監(jiān)測信號的傳輸受到了干擾或中斷，對主泵變頻器控制器各板卡的功能及在此次事件中硬件故障的可能情況分析如下。

1)鍵盤適配器板。用于主泵變頻器控制器與控制柜內(nèi)機械鍵盤的接口，該板卡故障只會導(dǎo)致對應(yīng)的機械鍵盤Keypad-A無法訪問控制器，因此可排除該板卡故障造成控制器A異常響應(yīng)的可能。

2)光纖板。只作為調(diào)制器板與功率單元進行光纖通信的拓展連接板卡，該板卡故障將不會導(dǎo)致變頻器相關(guān)電氣保護的觸發(fā)，故可排除該板卡故障造成控制器A異常響應(yīng)的可能。

3)ISA總線背板。作為控制器的系統(tǒng)總線背板工業(yè)標準體系結(jié)構(gòu)(industry standard architecture，ISA)，背板在為控制器內(nèi)各功能板卡提供工作電源的同時，還擔(dān)負起著各功能板卡之間的數(shù)據(jù)傳輸。如果ISA總線背板故障將可能導(dǎo)致板卡失電或數(shù)據(jù)傳輸異常，影響CPU板卡對數(shù)據(jù)的處理，不排除造成CPU板卡發(fā)出錯誤響應(yīng)的可能。

4)通信板與系統(tǒng)接口板。來自主泵變頻器PL-CI/O子系統(tǒng)的輸入信息經(jīng)過通信板傳遞至控制器內(nèi)，這些采集到的變頻器輸入、輸出電氣量、E-STOP信號等模擬量和數(shù)字量信息會在系統(tǒng)接口板上進行縮放、過濾及必要的模/數(shù)轉(zhuǎn)換，以便CPU板卡處理。當通信板與系統(tǒng)接口板存在異常時，將可能導(dǎo)致CPU板卡處理了錯誤的輸入信息，進行造成CPU板卡進行錯誤的判斷和響應(yīng)，因此通信板與系統(tǒng)接口板故障造成此次事件的發(fā)生具有一定的可能性。

5)調(diào)制器板卡。負責(zé)接收來自CPU板卡的電壓指令，并與功率單元和旁路控制板通信，在控制功率單元和旁路控制板的同時，監(jiān)測瞬時過電流(instantaneous over current，IOC)、E-STOP、和直流電源等硬件故障。結(jié)合主泵1B變頻器非預(yù)期跳閘時的事件日志中包含有未知的調(diào)制器板故障(trip-unknown modulator fault)信息，該信息是真實的調(diào)制器板卡故障觸發(fā)還是CPU板故障觸發(fā)未知。同時，由于控制器A在預(yù)充電期間自檢所報出的故障記錄為功率單元配置故障，故該板卡故障具有較大的可能性。

6)CPU板卡。負責(zé)運行設(shè)備預(yù)設(shè)的系統(tǒng)運行程序，執(zhí)行設(shè)備控制的邏輯，實現(xiàn)設(shè)備輸出控制與調(diào)節(jié)，產(chǎn)生三相電壓指令傳至調(diào)制器板，監(jiān)測輸入電壓、電流并執(zhí)行功率因數(shù)、輸入功率、諧波率、過損耗等輸入保護、輸入電壓幅值和頻率的計量。根據(jù)過損耗保護、輸入保護的計量和執(zhí)行邏輯，結(jié)合調(diào)制器板卡狀態(tài)監(jiān)測均位于CPU板上，判斷控制器A CPU板卡故障的可能性較大。

綜合上述排查分析，主泵1B變頻器控制器A通信板、系統(tǒng)接口板、調(diào)制器板、ISA總線背板、CPU板卡都有可能故障，導(dǎo)致此次事件發(fā)生，故對控制器A進行返廠檢測。

2.5 主泵1B變頻器控制器A返廠檢測分析

主泵1B變頻器故障控制器返廠后，美國西門子公司在主泵變頻器模擬器上開發(fā)并執(zhí)行了不同的測試方案以重現(xiàn)非預(yù)期跳閘事件，測試結(jié)果顯示，通過手動打開主泵變頻器輸入中壓繼電器，主泵變頻器會因喪失中壓而跳閘，但是由此產(chǎn)生的系統(tǒng)事件日志不包括現(xiàn)場系統(tǒng)事件日志中記錄的32個故障/報警。隨后，西門子公司對主泵變頻器PLC邏輯和故障控制器所用控制軟件進行了詳細的審查，未找到控制器或PLC軟件導(dǎo)致上游中壓跳閘的證據(jù)。對系統(tǒng)事件日志繼續(xù)分析，事件發(fā)生時現(xiàn)場系統(tǒng)事件日志中記錄的32個故障/報警狀態(tài)指示器由主泵變頻器故障控制器的16位故障字節(jié)寄存器中的6號位或14號位觸發(fā)，這些故障字節(jié)通過程序總線網(wǎng)絡(luò)(Profibus)發(fā)送給PLC使用。當Profibus傳遞的用于控制器中壓輸入斷路器的Net Dig Output 14(故障字節(jié)寄存器的第14位)信號標識受到影響時，PLC接收到錯誤的上游中壓跳閘命令，直接觸發(fā)上游中壓斷路器跳閘。同時，6號位的信號標識受到影響時，將觸發(fā)32個故障/報警狀態(tài)指示中的其他報警指示。故障控制器連接Profibus的通信板在金手指處使用8位數(shù)據(jù)總線，其中6號位用于傳輸16位故障字節(jié)寄存器中的6號位和14號位信號標識，當故障控制器連接Profibus的通信板金手指處6號位數(shù)據(jù)傳輸通道存在硬件故障時，將造成數(shù)據(jù)狀態(tài)傳輸錯誤，導(dǎo)致主泵1B變頻器上游中壓斷路器跳閘，同時觸發(fā)現(xiàn)場系統(tǒng)事件日志中記錄的32個故障/報警狀態(tài)指示。

通過對故障控制器連接Profibus的通信板數(shù)據(jù)總線連接、傳輸部位的20倍顯微檢查，發(fā)現(xiàn)在金手指處存在微動磨損點和可能的位置污染物，如圖3所示。檢查其他板卡均未觀察到類似的微動磨損或污染物。

圖3 金手指處微動斑和腐蝕鏡像圖

造成此次故障的根本原因為主泵1B變頻器控制器A通信板卡金手指存在微動磨損或臟污，導(dǎo)致故障控制器通信板卡與背板間數(shù)據(jù)6位置存在間歇性的連接終端，主泵1B變頻器用于控制中壓輸入斷路器的NetDigOutput 14(寄存器3的14號位)和6號位信號受到干擾，PLC在Profibus通信中對該信號異常狀況的判斷觸發(fā)了上游中壓跳閘指令，同時觸發(fā)了32個故障/報警狀態(tài)指示。

3 結(jié) 語

通過對主泵變頻器控制器故障導(dǎo)致的反應(yīng)堆自動停堆事件進行分析，確定故障原因為主泵變頻器控制器通信板卡金手指存在微動磨損。建議在后續(xù)運行過程中變頻器控制柜增加定期清洗濾網(wǎng)和保持室內(nèi)環(huán)境清潔措施，在變頻器維護項目中增加變頻器控制器各板卡金手指清潔檢查項目和信號傳動試驗項目，避免同類故障再次發(fā)生。